'Signal-schil die de Amerikaanse overheid gebruikte voor archivering is gehackt'

TeleMessage, een chatdienst die door de Amerikaanse overheid werd ingezet, is gehackt. Hierbij zijn berichten gestolen, zegt een hacker. Het bedrijf verantwoordelijk voor de app zegt 'uit voorzorg' de dienst voorlopig te stoppen. TeleMessage werkt als schil voor onder meer Signal.

TeleMessage is een client die een schil vormt over andere diensten heen, zoals WhatsApp of Signal. De dienst zegt de versleuteling van die diensten te gebruiken en daarbovenop een archieffunctie te gebruiken. Niet al die chatarchieven worden echter end-to-end versleuteld verstuurd naar de plek van archiefopslag. Dat zegt een hacker tegen 404 Media, die claimt daardoor chatberichten in individuele gesprekken en groepsgesprekken te hebben ingezien. Vorige week bleek de nationale veiligheidsadviseur voor de Amerikaanse regering, Michael Waltz, TeleMessage te gebruiken. Nadat dat bekend werd, stopte Waltz met zijn functie, al werd dat vertrek al verwacht vanwege zijn rol in het lekken van oorlogsplannen via Signal.

Hoewel TeleMessage in hoge kringen van de Amerikaanse overheid is gebruikt, zegt de hacker dat hij geen gevoelige overheidsinformatie gerelateerd aan de Amerikaanse nationale veiligheid heeft bemachtigd. Wel heeft hij 'data gerelateerd aan' de Amerikaanse grensbewaking, Coinbase 'en andere financiële instituties' bemachtigd. 404 Media zegt een deel van de data te hebben ingezien en deze te hebben geverifieerd.

De onversleutelde data gaat om gegevens die onregelmatig voor debuggingsdoeleinden verstuurd werden. De hacker kon dus geen gesprekken live volgen, maar zag wel plaintext chatberichten. De kwetsbaarheid zit dus niet in de oorspronkelijke chatdiensten zoals Signal of WhatsApp. Smarsh, het Amerikaanse bedrijf verantwoordelijk voor TeleMessage, zegt tegen Reuters de dienst uit voorzorg tijdelijk te hebben uitgeschakeld terwijl het de problemen onderzoekt.

Update, 15.01 uur - De titel en inleiding van het artikel zijn aangepast om de rol van TeleMessage te verduidelijken.

Reacties (81)

[eltweako]

Voor de mensen die de bomen door het bos niet zien: TeleMessage is een aangepaste versie van apps zoals Signal, bedoeld voor organisaties die communicatie moeten archiveren voor compliance-doeleinden. Werknemers gebruiken dan een aangepaste client waarmee berichten automatisch worden opgeslagen. Je chat dus wel via Signal, maar je data gaat ook nog naar TeleMessage toe waar nu het lek zit.

[Oon]

Maar het hele idee is toch dat Signal end-to-end encrypted is en berichten niet naar een tussenpartij gaan?

[Verwijderd]

Het gaat niet om een *tussen*partij, maar eerder om een extra ontvanger.

[Lord Anubis]

Dan kan het toch ook niet in plain text te lezen zijn.

[killercow]

Jawel, dit is een aangepaste client-app, in die client zijn berichten leesbaar, en doorstuurbaar (wat met deze variant dus ook automatisch gebeurt) naar een archief-server.

[rvt1]

Ik denk dat er bedoeld wat dat wat je naar het archief stuurt versleuteld zou moeten zijn met een sleutel die alleen jij als bedrijf kent. Ik mag aannemen dat TeleMessage niet onversleutelde berichten gaat afhandelen en het dan ook als dusdanig zo heeft ingericht want dat zou natuurlijk wel erg dom zijn…

[Zoop]

Het is erg genoeg dat die hacker er achter wist te komen, maar dit insinueert toch dat TeleMessage dan praktisch alles in kan zien? Blijkbaar verwerken zij de berichten in plaintext, zal vast wel encrypted de database in gaan, maar er gaat dus minstens ook plaintext rond dat een medewerker daar bij zou kunnen komen. Hebben ze vast ook wel NDA's en whatnot voor getekend (maar er zal maar een whistleblower tussen zitten), maar hoeveel van die jojo's in dat witte huis zullen door hebben dat er anderen mee kunnen kijken dat buiten hun eigen clubje gaat? Aangezien met de laatste paar leaks is gebleken ze toch wel behoorlijk gevoelige informatie daar bespreken ...

Ik bedoel, die 2 leaks en nu deze hack, allemaal erg zat, maar hier zien we dat die infrastructuur dus zo shoddy als wat is, want hoe kan een hacker anders überhaupt aan plaintext berichten komen?

[rko4u]

Dan nog wil je volgens mij de berichten versleuteld versturen naar die server en pas op de server ontsleutelen. Plain text over internet een kopie versturen kraakt volledig de beveiliging van de apps

[the_stickie]

'voor debugdoeleinden'
en daarom zijn ze "gehackt" en zijn ze data kwijt.

Zo'n schil voor andere apps is per definitie een app teveel die je data ziet passeren - ongelofelijk dat mensen die instaan voor de (cyber)beveiliging van een staat dat blijkbaar niet begerepen...

[Zoop]

Je gebruikt toch dummy test data (ai generated ofzo) voor debugdoeleinden. zou je mogen hopen. Daar gebruik je toch geen productie data voor, JUIST vanwege dit soort dingen. Debug spul komt doorgaans in logs terecht die te lezen zijn door developers, dus gebruik je daar nooit productie data voor. Dit is geen excuus, dit is toegeven dat de zaken niet op orde zijn.
Het toont ook aan dat ze daar bij TeleMessage dus _alle_ data in kunnen zien, want ze kunnen het ook ontsleutelen voor "debug" doeleinden.

[Nark0tiX]

Je moet het zien als het automatiseren van handmatig je berichten op papier overschrijven en in een archief opslaan.

De gebruiker kan de berichten lezen. En dus doorsturen naar de archief software. Alleen blijkbaar zonder enige encryptie. Hele idee is overigens juist dat je niks opslaat ivm veiligheid.

Zelfs met encryptie houd je rekening met "save now, decrypt later"

[Reactie gewijzigd door Nark0tiX op 6 mei 2025 22:33]

[MuddyMagical]

Het ging hier wel om een tussenpartij naar ik het begreep.
Er werdt een webclient / kloon van Signal op de telefoon gebruikt waarmee je verbinding maakte met TeleMessage die daarna de berichten dupliceerde en doorstuurde naar de ontvanger.

[Vampyre]

Een van die ends is de client op je telefoon.
Als die Client niet de originele Signal app is, maar dus bv. een TeleMessage app, dan kan die app de berichten ontsleutelen en elders op slaan.
End-to-end encryption heeft hier verder niks mee te maken, want de Signal app zelf kan dit uiteraard ook, maar Signal belooft dit niet te doen.

[Mathijs Kok]

End-to-end encryption heeft hier verder niks mee te maken, want de Signal app zelf kan dit uiteraard ook, maar Signal belooft dit niet te doen.

Nee nee, zo werkt end to end encryptie dus niet.

[Vampyre]

Jawel, zo werkt dat wel.

[Yongshi]

Als de client de plaintext berichten nog ergens anders heen stuurt heeft inderdaad niets met de end2end te maken.

Ongeveer de hele reden waarom ik whatsapp niet vertrouw. Zullen vast wel end to end goed hebben geimplementeerd. Maar ik vertrouw de client niet...

[Zoop]

Die encryptie maakt geen bal uit als je de data ook naar een andere ontvanger stuurt, met dezelfde end2end encryptie, en het dus un-encrypted daar aankomt.
Signal zou dat ook kunnen doen, maar uiteraard niet ongezien, valt wel op als je data vanaf je client naar nog een plek gaat, dus het is nogal een behoorlijk hypothetische stelling.

Maar een client als deze "hoort" dat dus te doen, en blijkbaar gaat het mis nadat het daar bij TeleMessage is aangekomen, dus dit heeft niks met die end2end te maken.

[WhatsappHack]

Zo werkt het wel degelijk. Als de client aangepast is om berichten door te sturen elders heen, dan doet dit niets af aan de end-to-end encryptie op de originele uitwisseling van die berichten.

Zet het in een andere context: jij maakt een backup van je hele toestel en al je berichten gaan daar in mee. Iemand weet die backup te jatten. Dat heeft niets van doen met de E2EE op het originele berichtenverkeer.

[vlaaing peerd]

Dat klopt, en één van de features is dat het alleen lokaal opgeslagen wordt en niet op servers. Bij de overheid zal je waarschijnlijk wetgeving hebben die je verplicht om berichten te bewaren (zoals het Nederlandse WOB). Die dienst levert deze extra service bovenop de Signal app

Het is alsof je een auto koopt voor de goede airbag in plaats van de onveiligere Whatsapp Sedan en Telegram GT, en de eerste stap die je doet is de airbag eruit slopen.

[Yongshi]

Je kunt het goed doen. Gewoon eenzelfde end to end lijntje naar de archiefserver.

Dit is zoals ik het lees gewoon slecht geimplementeerd

[Zoop]

Het klinkt alsof ze gewoon een bot-client toevoegen aan elk gesprek en die met zijn eigen signal client alles mee luistert en opslaat. Er is dus een moment dat het unencrypted plain text rond gaat daar.

[Yongshi]

Op hun 'device' die de client draaid. Ja en als dat gewoon een goed beveiligde plek is waar bijv ook de mailserver wordt gearchiveerd dan is dat niet erg

[jvelite]

Als je in de `sendMessage()` functie gewoon een kopietje maakt van het bericht, e.v.t. bijlages en alle relevante metadata, en dat vervolgens naar een tweede API stuurt is de belofte over Signal's end-to-end encryptie nog steeds waar. De communicatie is niet in te zien door Signal zelf.

[Guru Evi]

Lees jij geencrypteerde berichtjes?

Als je een endpoint heeft dat elke 5s een screenshot maakt (eg. Microsoft AI), of je kan de verbinding naar het beeldscherm of keyboard onderscheppen dan kan iemand nog steeds meelezen.

Signal heeft maar E2E encryptie tussen het 'uiteinde' van het programma, dit voegt gewoon een laagje toe zodat het je berichten kan onderscheppen (voor rechtmatige doeleinden). Dat is een mooi voorbeeld hoe bijvoorbeeld het toevoegen van berichten/sleutel/foto-onderschepping "voor terroristen en kinderporno" zoals de VK en EU voorstellen gegarandeerd verkeerd zal lopen omdat je nu een derde partij moet vertrouwen in een systeem dat maar 2 partijen kan vertrouwen.

Het probleem is natuurlijk altijd opslaan van zulke berichtjes voor lange duur, eventueel gaat die informatie vrijkomen, de bedoeling van encryptie is niet om te waarborgen dat dit nooit gebeurt, maar enkel dat de decryptie van je bericht ver genoeg in de toekomst ligt om niet voor problemen te zorgen. Vb. als je encryptie sleutel binnen 100 jaar kan gebroken worden, is het niet echt relevant voor jouw (want je bent dan al lang dood), echter een bedrijf of overheid, dan spreken we over 100'en jaren.

[Reactie gewijzigd door Guru Evi op 6 mei 2025 20:02]

[Boxman]

Dat is wel heel wat anders dan een "signal-kloon", deste meer omdat de vulnerability dus ook nooit in de codebase van Signal heeft gezeten. De titel en ondertitel kun je daarbij als feitelijk onjuist beschouwen en zitten wat mij betreft op het randje van clickbait.

[The Zep Man]

Voor de mensen die de bomen door het bos niet zien: TeleMessage is een aangepaste versie van apps zoals Signal, bedoeld voor organisaties die communicatie moeten archiveren voor compliance-doeleinden.

Dit is apart, want een aparte versie van de apps gebruiken is niet compliant met de algemene voorwaarden van de betreffende diensten.

Nu weet ik van Signal dat die niet hard optreedt tegen alternatieve clients. Gebruik niet de naam Signal, geef niet de indruk dat het van Signal (de organisatie) komt en wees geen stoorzender richting de server of andere gebruikers en je komt met een hoop weg. Dat is leuk voor de hobbyist, maar niet voor een bedrijf die alles volgens het boekje wil doen.

[Reactie gewijzigd door The Zep Man op 6 mei 2025 14:11]

[Aldy]

Dit is apart, want een aparte versie van de apps gebruiken is niet compliant met de algemene voorwaarden van de betreffende diensten.

Ik vraag mij af of dit zo is. Je krijgt je bericht binnen en om het te lezen is het vanzelf plaintext. Wat er gebeurt, is dat die plaintext gekopieerd wordt en ergens wordt opgeslagen. Ik denk dat Signal daar niets tegen kan doen.
De grap is natuurlijk dat je er alles aan doet om de berichten zo veilig mogelijk te houden (dus ook geen journalist in je appgroep ) en dan heb je een archiveringsbedrijf dat je gevoelige tekst als plaintext verstuurt en ook als zodanig opslaat. Kunnen ze net zo goed onbeveiligde e-mail gebruiken.

[Vicje]

Ah, ik ken nog wel iemand voor wie dit eigenlijk een uitkomst was geweest. Hoewel, dan had ie wel moeten overstappen van een Nokia. Maar, dan hoefde ie geen sms'jes te verwijderen, "omdat de opslagruimte niet toereikend was."

[Sorcerer8472]

Was het alleen Rutte die met een burner phone rondliep of doet Schoof dit nu ook nog steeds?

[FreezeXJ]

Schoof is daar (ex-AIVD he) juist meteen tegenin gegaan, zie de NOS erover.
Dat grapje ga je in Nederland niet nog een keer mee wegkomen, en terecht.

[ApexAlpha]

Ik vind het raar dat Schoof altijd met de AIVD in verband wordt gebracht. Ja hij was daar -erg kort- de baas maar als er één organisatie is waar hij aan verbonden is het wel de NCTV.

[downtime]

Ik vind het raar dat Schoof altijd met de AIVD in verband wordt gebracht.

Men maakt het graag wat interessanter dan het is door te doen alsof hij een soort 007 is, of erger nog, de Nederlandse Putin.

[kassius81]

Jij bent letterlijk de eerste persoon ooit die doet alsof hij de Nederlandse Putin is. Heb hem wél vaak de Nederlandse von Hindenburg horen noemen

[downtime]

Helaas, die vergelijking met Putin heb ik niet bedacht, maar die werd door iemand anders op dit forum gemaakt.

[Darkstriker]

Vind ik zwaar onterecht. De Nederlandse (wannabe) Putin zit immers nog in het parlement.

[Die_ene_gast]

Ik denk dat jij je dan niet in politiek correcte cirkels bevindt. Daar wordt hij echt als heel eng ervaren, wat best ironisch is.

[kassius81]

Ik bevind me in allerlei cirkels maar iedereen die ik over hem hoor spreken zegt dat hij een stuntelende slappe dweil is. En die kunnen natuurlijk best gevaarlijk zijn, kijk maar naar Homer Simpson als veiligheidsinspecteur in een kerncentrale.

[PageFault]

Huren ze toch Rian in voor een advies van de beveiliging.

[cracking cloud]

alles opslaan in de smart bitcoin

[alwuzomondo]

smart blockchain hè, wel opletten als Rian les geeft

[cracking cloud]

oh ja sorry haha. muscle memory denk ik want ik wist dat het smart blockchain is maar jah haha gebeurt zo vaak.

[nicenemo]

met AI , XML ldotnet en geheel reactive OO

[flaskk]

Dat is maar de vraag, als bepaalde departementen signal gebruiken en perongeluk haar of zijn telefoon naar fabrieksreset terug zet al dan niet getriggerd is het ook foetsie.

[bigsemcho]

Dankjewel voor de goede uitleg!

[Sylvia]

Heel erg bedankt voor deze uitleg en constructieve bijdrage. Kijk Tweakers, dit hadden jullie wel even kunnen (moeten) plaatsten bij het artikel.

[DR!5EQ]

Hoe het allemaal begon: https://www.404media.co/m...-archive-signal-messages/

Micah Lee, een programmeur, auteur en journalist deed uitgebreid onderzoek naar de werking van de app: https://micahflee.com/tm-...ext-with-trump-officials/

[ApexAlpha]

Het artikel en de titel en onderschrift spreken elkaar nogal tegen.

Is het nu een Signal-kloon, een chat app dus, of een losse back-up dienst die toevallig ook Signal berichten kan archiveren?

[eltweako]

TeleMessage is een aangepaste chatapp, gebaseerd op o.a. Signal, speciaal gemaakt om berichten automatisch te archiveren. Het is dus geen losse back-updienst, maar een kloon met ingebouwde archiveringsfunctie voor compliance.

Je chats gaan dus feitelijk 2 kanten op, en naar de andere persoon en naar een archief.

[ApexAlpha]

Ah, dank je. Nu snap ik waarom het plain-text gelezen kan worden. Bij een "signal-kloon" dacht ik meteen aan end-to-end encryptie en snapte dus niet wat het probleem was.

Klinkt alsof het dus geen 'signal-kloon'(/ fork) is maar een andere, losse chatapp die onder andere ook met Signal kan praten.

[Reactie gewijzigd door ApexAlpha op 6 mei 2025 13:56]

[PalingDrone]

Voelt idd meer als een soort Trillian.

[aikebah]

Een signal fork is voldoende hoor, want de signal app heeft de plaintext van je bericht, dus als je die app forked kun je er alles mee doen wat je wilt, zoals bijvoorbeeld de plaintext ook nog ergens anders heen sturen. De ene 'end' van end-to-end is de achterkant van je signal app.

[JayPe]

TeleMessage, an obscure Israeli company that sells modified versions of Signal and other messaging apps

Tja. Hoe zwart wit wil je het hebben? Een schil of een kloon of.... een app die Signal, WhatsApp en andere berichten-dienst-apps kan archiveren.
Denk, "toevallig Signal ook", maar in dit geval relevant, want voor Signal berichten gebruikt? De titel van het originele engelstalige artikel is vrijwel ongewijzigd, maar enkel vertaald overgenomen van 404, vandaar de quotes in de titel.

[PolarBear]

TeleMessage, an obscure Israeli company that sells modified versions of Signal and other messaging apps

Wat is er precies obscuur aan dit bedrijf?

[JayPe]

Geen idee, ik quote ook weer net zo goed van 404.
Dat het Israëlisch is, maakt 'alles' obscuur vandaag de dag. Of dat terecht is, laat ik in het midden: off-topic.

[Reactie gewijzigd door JayPe op 6 mei 2025 14:17]

[downtime]

Obscuur heeft vele (maar wel gerelateerde) betekenissen. Naast een bedrijf met een slechte reputatie kan het ook betekenen dat het bedrijf vrij onbekend is.

[dez11de]

Oprichter werkt(e) voor Israëlische geheime dienst.

[Boxman]

Ik zie inderdaad niet hoe het hier om een 'aangepaste Signal fork' zou gaan, en de titel lijkt daarbij enigszins (lees: behoorlijk) op clickbait puur omdat Signal de laatste tijd veel in het nieuws is geweest.

[blorf]

Volgens mij een combi-app die op meerdere social media netwerken inlogt. De prutsers hebben alles opgeslagen en onversleuteld ergens nders heen gestuurd. Het klinkt behoorlijk shady. Waarvoor was dat opslaan? Dat regelen de netwerken toch zelf? Zaten ze achter een app communicatie-data van social media te rippen?

[Wilibrord]

zegt de hacker dat hij geen gevoelige overheidsinformatie gerelateerd aan de Amerikaanse nationale veiligheid heeft bemachtigd

Dat toegeven lijkt me zelfs voor een white hacker (weet niet of dat hier het geval is) een gevaarlijke. Zaken als spionnage en hoogverraad worden in de VS toch nog steeds zeer zwaar bestraft, niet? Lijkt me handiger dat je dat dan even niet publiekelijk bekent.

[WhatsappHack]

Beetje rare keuze voor de titel (ja ook na aanpassing) als het niet enkel voor Signal is, maar voor een hele reeks aan chatdiensten waar dit systeem op aankoppelt. Klinkt nu net alsof een deel van Signal gekraakt is, dat is het type spraakverwarring dat Pete Hegseth nu net iets te goed uitkomt.

[Reactie gewijzigd door WhatsappHack op 6 mei 2025 15:17]

[Raymond Deen]

Bijzonder dat die Hegseth er als de kippen bij was om te beweren dat het bedrijf Smarsh uit het buitenland kwam terwijl het gewoon een Amerikaans bedrijf is.

[Hemingr]

<knip> niet relevant, excuus

[Reactie gewijzigd door Hemingr op 6 mei 2025 13:50]

[Baserk]

Aangepaste Signal-dienst

is hevig incorrect taalgebruik.

Dit veronderstelt een dienst VAN Signal. En dat is klinkklare onzin.
Het gebruik van haakjes, alsof de Reuters bron zou stellen dat dit een "Signal-dienst" is, is ook klinkklare onzin.
We zitten hier toch niet op Nu.nl? Foei.

Admin-edit:

Bedankt voor je feedback. Commentaar voor de redactie hoort echter thuis in Geachte Redactie. Hier staat het de inhoudelijke discussie niet in de weg en kan de redactie het eenvoudig terugvinden.

[Reactie gewijzigd door Bor op 7 mei 2025 11:22]

[iew]

Euhhh nee en ja, DPG media ? er is toch zeker een soort van parallel.

[Perihelion]

Het is inderdaad in de eerste plaats een aangepaste client app. En er mag ook wel bij gezegd worden dat die door Israelli is gemaakt, want zou zomaar kunnen dat dat geen toeval is.

[Mielemuis]

Beetje Clickbait kop, met hoog Telegraaf gehalte
#whatever# is gehackt omdat er een dienst is die een vorm hiervan faciliteerd en archiveert die gehackt is.

Het is zelfs geen Signal cloon,
het is een dienst die namens de persoon berichten stuurt via Signal, Telegam en Whatsapp en deze berichten opslaat ivm Compliance
Het gebruikt niet eens een officiële versie van Signal

The Guardian plaatst in ieder geval een netter bericht

Na aanpassing al iets beter, maar noem het beestje gewoon bij de Naam.
Corporate Chatapp Telemessage gehacked,
schrijf je daaronder dat het losjes gebaseerd is op het signal protocol

[Reactie gewijzigd door Mielemuis op 6 mei 2025 15:04]

[Rzarect0r]

Waarom zou de amerikaanse overheid een Israelische chatapp gebruiken?

[curkey]

Waarom gebruiken we in Europa een Amerikaanse Office?

[Nark0tiX]

Omdat pegasus etc goed werken