Det tjekkiske cybersikkerhedsagentur NÚKIB (National Cyber and Information Security Agency) offentliggjorde den 13. oktober 2026 en formel trusselsanalyse, der peger på aktører med forbindelse til Rusland som ansvarlige for en målrettet phishing-kampagne mod brugere af krypteringsappen Signal. Analysen, som blev opdateret dagen efter, slår fast, at angriberne ikke har brudt Signals kryptering. De har i stedet udnyttet almindelig menneskelig fejlbarlighed til at narre brugere til selv at give fremmede enheder adgang til deres konti.
Sagen er interessant, fordi den rammer et af de værktøjer, som journalister, embedsmænd og NGO’er i hele Europa bruger til deres mest følsomme kommunikation. NÚKIB har dokumenteret, at samme angrebsteknik er set i Tjekkiet, Tyskland, Frankrig, Holland og Ukraine. Fire af de fem lande er NATO-medlemmer, mens Ukraine ikke er. Den tjekkiske myndighed skriver selv, at kampagnens reelle udbredelse sandsynligvis er større end de offentligt dokumenterede sager.
Hvad NÚKIB konkret advarer om
NÚKIB skriver direkte i sin advarsel: “The National Cyber and Information Security Agency (NÚKIB) is warning about targeted phishing campaigns aimed at users of the Signal messaging app” (NÚKIB, 13. oktober 2026). På dansk betyder det, at myndigheden varsler om målrettede phishing-kampagner rettet mod brugere af Signal-appen. Det er ikke en generel advarsel om svindel-sms’er, men en specifik analyse af et mønster, NÚKIB har set gentage sig i flere europæiske lande gennem 2026.
Myndigheden går videre og peger på bagmændene: “These activities are primarily linked to actors connected to the Russian Federation, and their goal is to gain access to victims’ communications by exploiting human error.” Oversat skriver NÚKIB altså, at aktiviteterne primært er forbundet med aktører med tilknytning til Den Russiske Føderation, og at målet er at få adgang til ofrenes kommunikation ved at udnytte menneskelige fejl, ikke tekniske svagheder i appen selv. Det er en vigtig skelnen, fordi den fortæller noget om, hvor forsvaret skal ligge: hos brugeren, ikke i kryptografien.
Ifølge sikkerhedsmediet chiprook.com er Tjekkiet det femte vestlige land, hvis myndigheder offentligt har tilskrevet kampagnen til russisk-forbundne aktører. Det gør NÚKIB til endnu et led i en kæde af nationale advarsler, der har rullet hen over Europa i løbet af 2026.
Sådan fungerer linked-device-phishing i praksis
Signal har en indbygget funktion, der lader brugere tilkoble flere enheder til den samme konto, for eksempel en bærbar computer eller en tablet ud over telefonen. Funktionen kræver normalt, at brugeren scanner en QR-kode med sin telefon for at godkende den nye enhed. Det er netop denne legitime funktion, kampagnen misbruger.
De fem trin i angrebet
- Angriberen skaffer sig offerets telefonnummer og fastslår eller gætter, at personen bruger Signal.
- Offeret modtager en besked, der er udformet til at ligne en officiel Signal-advarsel, en supportmeddelelse eller en notifikation om en gruppe.
- Beskeden leder offeret til et falsk link eller en QR-kode, der ser ud som en legitim enhedsgodkendelse.
- Offeret scanner koden eller indtaster en PIN-kode i den tro, at det er en rutinemæssig sikkerhedshandling.
- Signal registrerer herefter angriberens enhed som en godkendt, tilkoblet enhed, der fremover kan læse nye beskeder, mens offerets egen telefon fortsætter med at fungere helt normalt.
Det sidste punkt er det, der gør angrebet svært at opdage. Fordi offerets originale telefon ikke mister adgang eller opfører sig unormalt, går der ofte lang tid, før den tilkoblede, uautoriserede enhed bliver bemærket. NÚKIB skriver selv, at den primære trusselstype, der er relevant for tjekkiske brugere, er “linked-device phishing”, altså phishing rettet mod netop denne tilkoblingsfunktion.
Det tekniske greb adskiller sig markant fra et klassisk hackerangreb. Der er intet exploit, ingen malware og ingen kodefejl i Signals app, der bliver udnyttet. Hele angrebet hviler på, at et menneske frivilligt godkender en handling, det tror er legitim. Det er samme logik, der ligger bag kontooverdragelser på andre platforme, blot flyttet over i en app, der er designet specifikt til at modstå overvågning.
De fem lande, der er bekræftet ramt
NÚKIB navngiver fem lande, hvor samme teknik er observeret: Ukraine, Tyskland, Frankrig, Holland og Tjekkiet. Det er værd at bemærke en detalje, som flere internationale medier har overset i deres dækning. Et amerikansk medie beskrev sagen under overskriften “Russia Compromised Signal Accounts in Five NATO Nations”, men det holder ikke ved en nøje gennemgang af NÚKIB’s eget materiale, fordi Ukraine ikke er NATO-medlem. Af de fem navngivne lande er det kun Tjekkiet, Tyskland, Frankrig og Holland, der faktisk er NATO-medlemmer (Tech Times, 14. oktober 2026).
Den distinktion betyder noget for, hvordan man skal læse sagen. Det er ikke primært en militær alliance, der er under angreb, men et bredere mønster af statsstøttet overvågning, der rammer civile brugere af en krypteringsapp i både NATO-lande og et land i krig med Rusland. Det gør historien bredere og mere alvorlig, ikke mindre.
| Land | NATO-medlem | Bekræftet af national myndighed | Kendte detaljer |
|---|---|---|---|
| Tjekkiet | Ja | NÚKIB, 13. oktober 2026 | Oprindelsesland for den offentlige advarsel, beskrives som den relevante hovedtrussel mod tjekkiske brugere |
| Tyskland | Ja | Nævnt i NÚKIB’s analyse | Et sekundært, ubekræftet medierapport nævner omkring 300 politiske konti som mål, men tallet er ikke bekræftet af NÚKIB selv |
| Frankrig | Ja | Nævnt i NÚKIB’s analyse | Intet offentliggjort ofretal |
| Holland | Ja | Nævnt i NÚKIB’s analyse | Intet offentliggjort ofretal |
| Ukraine | Nej | Nævnt i NÚKIB’s analyse | Samme tilkoblingsbaserede phishing-teknik observeret i krigssammenhæng |
Det skal understreges, at NÚKIB’s offentliggjorte materiale ikke indeholder et samlet antal kompromitterede konti, et samlet ofretal eller en dato for, hvornår kampagnen første gang blev opdaget. De fem lande repræsenterer dokumenteret aktivitet, ikke en fuldstændig liste over alle ramte brugere. Myndigheden skriver selv, at kampagnens faktiske geografiske fodaftryk sandsynligvis er større, end det der er offentligt dokumenteret indtil nu.
Er Signals kryptering blevet brudt?
Nej. Det er det centrale punkt, NÚKIB selv lægger vægt på, og det er værd at gentage, fordi mange nyhedsoverskrifter risikerer at give det modsatte indtryk. Signals end-to-end-kryptering er ikke blevet brudt eller svækket. Angriberne har ikke fundet en matematisk svaghed i protokollen, og de har ikke dekrypteret trafik fra Signals servere. De har udnyttet en funktion, appen tilbyder med vilje, nemlig muligheden for at koble flere enheder til samme konto.
Forskellen er afgørende for, hvordan man skal forholde sig til risikoen. Hvis kryptografien var brudt, ville alle brugere være udsatte, uanset hvor forsigtige de er. Når angrebet derimod kræver, at offeret selv godkender en handling, kan risikoen i høj grad reduceres gennem adfærd: at ignorere uopfordrede QR-koder, aldrig dele sin PIN-kode og regelmæssigt tjekke listen over tilkoblede enheder. NÚKIB formulerer det klart: “Instead, they use social engineering and phishing techniques to trick users into linking an attacker-controlled device to their account or disclosing their PIN or other credentials.” Oversat betyder det, at angriberne i stedet bruger social manipulation og phishing til at narre brugere til at tilkoble en enhed, angriberen kontrollerer, eller til at afsløre deres PIN-kode eller andre adgangsoplysninger.
Signals manglende officielle reaktion
Hverken Signal Foundation eller organisationens leder Meredith Whittaker har på nuværende tidspunkt afgivet en offentlig kommentar specifikt til NÚKIB’s analyse af 13. oktober 2026. Det er bemærkelsesværdigt, fordi Signal normalt er hurtig til at kommentere, når der rejses tvivl om platformens sikkerhed. Sikkerhedsmediet Security Affairs har tidligere i oktober 2026 beskrevet, hvordan Signal afviste påstande om en angivelig zero-day-sårbarhed i platformen efter en uafhængig undersøgelse (Security Affairs, oktober 2026), hvilket viser, at selskabet godt kan og vil svare offentligt, når det finder det nødvendigt.
Den tavshed betyder ikke, at Signal ignorerer sagen internt. Appen har allerede indbyggede modforanstaltninger, herunder funktionen Registration Lock, som NÚKIB netop anbefaler, at brugere aktiverer. Men det fraværende officielle svar efterlader et hul i historien: ingen har bekræftet, hvor mange konti der reelt er ramt, og ingen fra Signal har forklaret, om appen vil ændre selve tilkoblingsprocessen for at gøre den sværere at misbruge.
Historisk kontekst: tilkoblede enheder som svagt led
Linked-device-phishing er ikke et nyt angrebskoncept, men en variant af et mønster, der har ramt krypterede beskedapps gentagne gange de seneste år. Fælles for sagerne er, at selve krypteringen forbliver intakt, mens angriberen i stedet går efter kontoens identitet og autorisation. En tidligere sag i Tyskland handlede om, hvad der er blevet kaldt account-cloning, hvor en gerningsmand fik adgang til op mod 45 dages chathistorik ved at udnytte en lignende svaghed i godkendelsesflowet, ifølge rapportering fra tysk politi tidligere i 2026.
Mønsteret peger på en bredere sandhed om moderne, krypteret kommunikation. Når selve krypteringen bliver for svær at bryde, flytter statsstøttede aktører deres ressourcer over på det svageste led i systemet, som i praksis næsten altid er brugeren selv, kombineret med de godkendelsesmekanismer, der skal gøre livet nemmere. QR-kode-baseret enhedstilkobling er bekvem, men bekvemmelighed og sikkerhed trækker ofte i hver sin retning.
| Angrebstype | Metode | Bryder kryptering? | Eksempel |
|---|---|---|---|
| Linked-device-phishing | Socialt manipulerede QR-koder eller links | Nej | NÚKIB-sagen i fem lande, oktober 2026 |
| Account-cloning | Misbrug af gen-registrering eller godkendelsesflow | Nej | Tysk politisag, 2026, op mod 45 dages chathistorik tilgået |
| Endpoint-malware | Skadelig software installeret på offerets enhed | Nej, men læser data lokalt før kryptering | Generel angrebsklasse mod mobilenheder |
| Metadata-udtræk | Analyse af vedhæftede filer eller EXIF-data | Nej | Tidligere dokumenterede sager om geolokation via billeder delt i apps |
| Kryptografisk brud | Matematisk svaghed i selve protokollen | Ja, i teorien | Intet offentligt dokumenteret tilfælde mod Signals protokol |
Tabellen viser tydeligt, at de reelle angreb, der har fungeret mod Signal og lignende apps, stort set alle ligger i de øverste rækker. Det nederste scenarie, et direkte kryptografisk brud, forbliver teoretisk og udokumenteret i praksis. Det er en pointe, forsvarere af krypteret kommunikation ofte fremhæver, men den bør ikke bruges til at mindske alvoren af de angreb, der rent faktisk virker.
Hvorfor statsstøttede aktører går efter Signal
Signal er i dag et af de mest udbredte værktøjer blandt journalister, menneskerettighedsorganisationer, diplomater og embedsmænd i Europa, netop fordi appen er bygget til at modstå masseovervågning. Den popularitet gør appen til et attraktivt mål for efterretningstjenester, der ønsker adgang til kommunikation, de ikke kan opsnappe på anden vis.
Det giver et markedsmæssigt paradoks. Jo bedre krypteringen bliver, og jo flere mennesker der stoler på appen til deres mest følsomme samtaler, jo mere værdifuldt bliver det for en statsstøttet aktør at finde en vej uden om selve krypteringen. Linked-device-phishing er præcis den type vej. Det kræver ikke avancerede cyberværktøjer eller nul-dages-sårbarheder, blot en overbevisende besked og et menneske, der klikker eller scanner i det forkerte øjeblik.
For virksomheder og organisationer, der er underlagt NIS2-direktivet i Danmark og resten af EU, er sagen også en påmindelse om, at risikovurderinger af leverandørkæder og kommunikationsværktøjer skal omfatte social manipulation, ikke kun tekniske sårbarheder i softwaren selv. En app kan være kryptografisk solid og stadig udgøre en risiko, hvis medarbejderne ikke er trænet i at genkende falske sikkerhedsadvarsler.
Konkurrencebilledet: hvordan andre krypterede apps håndterer samme risiko
Tilkoblingsmekanismer varierer fra app til app
Signal er langt fra den eneste app, der tilbyder multi-enhedsstøtte via QR-koder. WhatsApp bruger en lignende mekanisme til sin desktop-klient, og Telegram har i årevis tilladt flere samtidige sessioner uden et separat PIN-lag som Signals Registration Lock. Matrix-baserede klienter, som er decentraliserede, håndterer enhedsgodkendelse forskelligt afhængigt af hvilken server og klient brugeren vælger, hvilket betyder, at sikkerhedsniveauet kan variere markant inden for samme protokol.
Den fælles udfordring for alle disse platforme er, at bekvem multi-enhedsadgang og modstand mod social manipulation trækker i hver sin retning. En app, der gør det besværligt at tilkoble en ny enhed, beskytter bedre mod phishing, men frustrerer samtidig almindelige brugere, der bare vil logge ind på en ny computer. Signals svar har indtil videre været den valgfrie Registration Lock-funktion, som NÚKIB netop fremhæver som en central beskyttelse, men funktionen er ikke slået til som standard for alle brugere.
Threema, som adskiller sig ved ikke at kræve et telefonnummer til oprettelse, har en anden angrebsflade, fordi kontoen ikke er bundet til samme identitetsmodel som Signal. Det gør telefonnummer-baseret phishing sværere at udføre mod Threema-brugere, men introducerer andre udfordringer omkring identitetsbekræftelse mellem kontakter.
Betydningen for Danmark og Norden
NÚKIB’s offentliggjorte materiale nævner ikke Danmark eller noget andet nordisk land ved navn. Det betyder ikke automatisk, at danske eller nordiske Signal-brugere er uberørte, men der findes på nuværende tidspunkt ingen bekræftede sager herfra. Myndighedens egen vurdering, at kampagnens reelle udbredelse er større end det dokumenterede, bør dog få danske myndigheder, journalister og virksomheder, der bruger Signal til følsom kommunikation, til at tage advarslen seriøst som et generelt varsel snarere end en regional nyhed uden relevans.
Danmarks databeskyttelsesmyndighed, Datatilsynet, skiller sig desuden ud fra de fleste andre EU-lande ved ikke selv at kunne udstede administrative GDPR-bøder direkte. Ifølge en gennemgang fra juridiske analytikere er Danmark og Estland de to eneste EU-medlemslande, der i stedet håndterer bødesager gennem domstolene som strafferetlige sanktioner under GDPR’s artikel 83, stykke 9-model (Data Protection Monitor, oktober 2026). Det er relevant i denne sammenhæng, fordi en eventuel fremtidig sag om kompromitterede Signal-konti blandt danske embedsmænd eller virksomheder ville følge en markant anden juridisk vej i Danmark end i lande som Tyskland eller Frankrig, hvor tilsynsmyndighederne selv kan idømme bøder.
For nordiske organisationer, der er omfattet af NIS2-direktivet, understreger sagen igen, at leverandørvurderinger og medarbejdertræning i phishing-genkendelse bør dække kommunikationsapps på linje med e-mail og VPN-adgang. En krypteret app er ikke automatisk et sikkert endepunkt, hvis brugerne kan narres til selv at åbne døren.
NÚKIB’s konkrete råd til at beskytte din Signal-konto
Den tjekkiske myndighed afslutter sin analyse med en liste af praktiske modforanstaltninger, som alle Signal-brugere, ikke kun dem i de fem navngivne lande, bør følge. NÚKIB skriver blandt andet: “Regularly check the list of connected devices and immediately remove any unknown ones.” Oversat betyder det, at man regelmæssigt bør tjekke listen over tilkoblede enheder og øjeblikkeligt fjerne eventuelle ukendte enheder fra kontoen.
- Tjek regelmæssigt listen over tilkoblede enheder i Signals indstillinger, og fjern alt, du ikke selv genkender.
- Aktiver Registration Lock, så kontoen ikke kan genregistreres på en ny telefon uden din PIN-kode.
- Del aldrig din Signal-PIN med nogen, heller ikke hvis beskeden ser ud til at komme fra Signal selv.
- Scan ikke uopfordrede QR-koder, selv hvis de ligner en officiel sikkerhedsadvarsel.
- Klik ikke på links i beskeder, der hævder at komme fra Signals support, uden at bekræfte afsenderen gennem en anden kanal.
- Bekræft mistænkelige henvendelser via et separat og kendt kommunikationsspor, for eksempel ved at ringe til personen direkte.
NÚKIB understreger desuden, at Signals officielle support aldrig vil bede om din PIN-kode eller andre loginoplysninger. Enhver besked, der hævder det modsatte, bør betragtes som et forsøg på phishing, uanset hvor overbevisende den ser ud.
Forventninger til, hvad der sker fremover
Sagen er langt fra afsluttet, og flere udviklinger ser sandsynlige ud i de kommende måneder baseret på, hvordan lignende kampagner historisk har udviklet sig i Europa.
- Flere nationale cybersikkerhedsmyndigheder i EU vil med stor sandsynlighed offentliggøre egne landespecifikke advarsler i de kommende måneder, i takt med at NÚKIB’s egen vurdering om et større, udokumenteret fodaftryk bliver bekræftet af andre landes efterforskning.
- Signal kan komme under stigende pres for at ændre selve tilkoblingsflowet, for eksempel med tydeligere advarsler ved enhedsgodkendelse eller en standardaktiveret variant af Registration Lock, hvis mønstret fortsætter med at blive dokumenteret i flere lande.
- Nordiske CERT-enheder og sikkerhedsmyndigheder forventes at udsende vejledning til embedsmænd og journalister, der bruger Signal, i kølvandet på, at mønstret allerede har spredt sig gennem Central- og Vesteuropa.
- Den endelige attribution til en navngivet, specifik aktørgruppe mangler stadig i NÚKIB’s offentlige materiale, og yderligere efterretningsrapporter forventes at forsøge at knytte kampagnen til en kendt, navngiven gruppe.
- Brugen af Registration Lock og regelmæssig gennemgang af tilkoblede enheder vil sandsynligvis blive fremhævet som standard sikkerhedshygiejne af flere udbydere af krypteret kommunikation, ikke kun Signal, i takt med at angrebsmønsteret bliver mere kendt.
Den regulatoriske dimension for europæiske virksomheder
Ud over den rent sikkerhedsmæssige side af sagen rejser kampagnen også spørgsmål for virksomheder, der er underlagt databeskyttelseslovgivning. Hvis en medarbejders Signal-konto kompromitteres, og kontoen indeholder personoplysninger om kunder eller borgere, kan det i visse tilfælde udløse en anmeldelsespligt under GDPR, afhængigt af hvilke data der rent faktisk er blevet eksponeret, og hvor længe den uautoriserede enhed har haft adgang.
Det europæiske databeskyttelsesråd arbejder i øvrigt allerede med at harmonisere, hvordan nationale tilsynsmyndigheder udmåler bøder og andre korrigerende beføjelser efter sikkerhedsbrud, gennem retningslinjer, der blev sendt til offentlig konsultation i september 2026. Den proces illustrerer, at europæiske myndigheder generelt er i gang med at stramme kravene til, hvordan virksomheder dokumenterer og reagerer på sikkerhedshændelser, uanset om bruddet skyldes en teknisk fejl eller, som i dette tilfælde, social manipulation af medarbejdere.
Hvad virksomheder og organisationer bør gøre nu
For it-sikkerhedsansvarlige i danske og nordiske organisationer er den mest konkrete handling at opdatere den interne phishing-træning, så den specifikt dækker krypterede beskedapps og ikke kun e-mail og klassiske loginsider. Mange sikkerhedsprogrammer har historisk fokuseret næsten udelukkende på e-mail-baseret phishing, fordi det har været den mest almindelige vektor. Denne sag viser, at samme psykologiske teknik, en falsk advarsel der skaber et akut behov for handling, fungerer lige så godt rettet mod en app, medarbejderne opfatter som sikker netop fordi den er krypteret.
En simpel, konkret handling er at indføre en fast rutine, hvor medarbejdere, der håndterer følsom kommunikation via Signal, en gang om måneden tjekker listen over tilkoblede enheder som en del af en generel sikkerhedstjek-proces, på linje med at skifte adgangskoder eller gennemgå adgangsrettigheder. Det koster minimal tid og lukker netop det svage led, kampagnen har udnyttet i de fem dokumenterede lande.
Ofte stillede spørgsmål
Hvad er linked-device-phishing på Signal?
Det er en angrebsteknik, hvor angriberen narrer offeret til at godkende en fremmed enhed som en tilkoblet enhed på ofrets Signal-konto, typisk ved at få offeret til at scanne en falsk QR-kode eller afgive sin PIN-kode. Den tilkoblede enhed kan derefter læse nye beskeder.
Er Signals kryptering blevet brudt af denne kampagne?
Nej. NÚKIB skriver direkte, at angriberne udnytter menneskelig fejl og social manipulation, ikke en svaghed i selve krypteringsprotokollen. Signals end-to-end-kryptering forbliver intakt.
Hvilke lande har bekræftet, at de er ramt?
NÚKIB navngiver fem lande med dokumenteret aktivitet: Tjekkiet, Tyskland, Frankrig, Holland og Ukraine. Fire af dem, alle undtagen Ukraine, er NATO-medlemmer.
Er Danmark eller andre nordiske lande nævnt i advarslen?
Nej, NÚKIB’s offentliggjorte materiale nævner ikke Danmark, Norge, Sverige, Finland eller Island. Det udelukker ikke, at nordiske brugere kan være ramt, men der er på nuværende tidspunkt ingen bekræftede sager derfra.
Hvordan beskytter jeg min Signal-konto mod denne type angreb?
Tjek regelmæssigt listen over tilkoblede enheder, aktiver Registration Lock, del aldrig din PIN-kode, og scan ikke uopfordrede QR-koder selv om de ser officielle ud.
Hvad er Registration Lock, og hvordan aktiverer jeg det?
Registration Lock er en funktion i Signals indstillinger under privatliv og sikkerhed, der kræver din PIN-kode, før kontoen kan genregistreres på en ny enhed. Det forhindrer, at en angriber kan overtage kontoen alene ved at kende dit telefonnummer.
Har Signal kommenteret NÚKIB’s advarsel?
Nej, hverken Signal Foundation eller organisationens leder Meredith Whittaker har på nuværende tidspunkt afgivet en offentlig kommentar specifikt til denne sag.
Hvem står bag kampagnen?
NÚKIB knytter aktiviteten til aktører med forbindelse til Den Russiske Føderation, men myndigheden har ikke navngivet en specifik, kendt hackergruppe i sit offentliggjorte materiale.