Usługa TeleMessage TM SGNL obiecywała szyfrowanie aż do archiwum, a trzymała kopie wiadomości jawnym tekstem. Luka została wykorzystana, poprawki brak, CISA zaleca zaprzestanie używania. Sprawdź swojego dostawcę archiwizacji.
Ten alert jest dla zarządu, CTO i CFO firm, które archiwizują komunikację pracowników z komunikatorów (np. z powodów regulacyjnych) przez usługi zewnętrznych dostawców, a zwłaszcza tych, które korzystały z TeleMessage TM SGNL (Archive Signal). Werdykt: jeśli używacie TM SGNL, przestańcie go używać i potraktujcie zarchiwizowane rozmowy jako potencjalnie ujawnione, bo poprawki brak, a CISA potwierdza wykorzystanie; pozostali powinni zadać swoim dostawcom archiwizacji pytania z sekcji 8.
Amerykańska agencja CISA 12 maja 2025 roku dopisała CVE-2025-47729 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Dotyczy ona zaplecza archiwizacyjnego firmy TeleMessage, obsługującego aplikację TM SGNL, zmodyfikowaną wersję komunikatora Signal z funkcją archiwizacji. Producent obiecywał szyfrowanie „od telefonu aż do archiwum firmowego”, tymczasem zaplecze przechowywało kopie wiadomości jawnym tekstem.
Według NVD luka była wykorzystana w maju 2025 roku. Media opisały włamanie do systemów TeleMessage, po którym firma tymczasowo zawiesiła wszystkie usługi. W rekordzie NVD nie ma żadnej poprawki ani biuletynu producenta, a CISA zaleca zaprzestanie używania produktu, jeśli producent nie poda środków zaradczych.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-47729 |
Data dodania do CISA KEV | 2025-05-12 |
Termin naprawy wg CISA | 2025-06-02 (21 dni od wpisu) |
Produkt | TeleMessage TM SGNL (Archive Signal) i zaplecze archiwizacyjne TeleMessage; firma przejęta w lutym 2024 roku przez Smarsh |
Wersje zagrożone | Zaplecze archiwizacyjne TeleMessage w wydaniach do 5 maja 2025 roku włącznie (zakres zapisany datą, nie numerem wersji) |
Wersje bezpieczne | Brak. Producent nie opublikował poprawki; CISA: w braku środków zaradczych producenta zaprzestać używania. Nie udało się ustalić, czy i w jakim zakresie usługi wznowiono |
Typ podatności | Ukryta funkcjonalność: przechowywanie wiadomości jawnym tekstem wbrew dokumentacji; CWE-912 wg MITRE i KEV (NVD: kategoria ogólna „inna”) |
Ocena CVSS | NVD: 4.9 ŚREDNIA (CVSS 3.1, dostęp przez sieć, pełne ujawnienie poufnych treści). MITRE: 1.9 NISKA (CVSS 3.1, dostęp lokalny, trudny atak, częściowe ujawnienie); ENISA powtarza ocenę MITRE. Obie zakładają wysokie uprawnienia napastnika |
Wyobraź sobie firmę kurierską, która obiecuje przewozić listy w zaplombowanych, pancernych kopertach od nadawcy aż do sejfu w archiwum klienta. Po drodze jest jednak sortownia, w której każdy list trzeba otworzyć, żeby zrobić kopię do archiwum. Okazuje się, że kopie leżą w sortowni na otwartych regałach, bez żadnego zamknięcia, a dokumentacja firmy nic o tym nie mówi.
Tak było z TM SGNL. Zwykły Signal szyfruje wiadomości tak, że czyta je tylko nadawca i odbiorca. Archiwizacja wymaga jednak, by trzeci uczestnik, czyli archiwum, przeczytał treść i ją zapisał. TeleMessage ten „trzeci punkt” zbudował tak, że kopie wiadomości leżały na zapleczu w jawnej postaci. Według relacji prasowych napastnik dostał się do nich w kwadrans i znalazł fragmenty rozmów m.in. instytucji finansowych i agencji rządowej USA.
💡 Szyfrowanie od końca do końca (E2EE) oznacza, że wiadomość otwiera tylko odbiorca, a nikt po drodze nie ma klucza. Archiwizacja komunikacji to przechowywanie kopii rozmów pracowników, wymagane w niektórych branżach, np. finansowej. Zaplecze (backend) to serwery dostawcy, na których działa usługa. Ukryta funkcjonalność to zachowanie programu, o którym nie mówi dokumentacja. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik pisze przez komunikator | Treść szyfrowana w drodze | Szyfrowana w drodze, ale kopia w archiwum dostawcy leży jawnym tekstem |
Włamanie do serwerów dostawcy | Napastnik widzi zaszyfrowane dane | Napastnik czyta treść rozmów |
Obietnica w dokumentacji | Szyfrowanie „aż do archiwum firmowego” | Niezgodna z rzeczywistym działaniem |
Oczekiwanie na poprawkę | Producent wydaje łatkę | Brak poprawki, zalecenie: przestać używać |
Sprawdzenie wersji w panelu | Porównanie numeru z biuletynem | Zakres zapisany datą, klient nie wie, jakie wydanie obsługuje jego konto |
źródło: Pexels, Ayşe İpekPoniżej typowy przebieg ataku dla tej klasy problemów, oparty na relacjach prasowych o włamaniu z maja 2025 roku. To scenariusz poglądowy, a nie dokładne odtworzenie incydentu. Atak nie celuje w telefon pracownika, tylko w serwery dostawcy archiwizacji. Oceny CVSS zakładają wysokie uprawnienia napastnika na zapleczu, a CISA ocenia atak jako nieautomatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni | Ustalenie, że niszowa usługa archiwizacji obsługuje ważnych klientów (np. instytucje finansowe, urzędy) | Cel o dużej wartości |
2. Wejście na zaplecze | T+0 min | Uzyskanie dostępu do serwerów dostawcy (wg relacji prasowych zajęło to 15 do 20 minut) | Dostęp do systemów archiwizacji |
3. Odczyt danych | T+minuty | Przeglądanie kopii wiadomości zapisanych jawnym tekstem | Treść rozmów, nazwy klientów, dane kontaktowe |
4. Wyniesienie | T+godziny | Kopiowanie wybranych rozmów i danych o klientach | Materiał do szantażu, sprzedaży lub publikacji |
5. Wykorzystanie | T+dni do tygodni | Publikacja, szantaż, ataki socjotechniczne na klientów dostawcy | Kryzys wizerunkowy, postępowania regulatorów |
Archiwum komunikacji to w jednym miejscu korespondencja wszystkich pracowników z wielu lat. Jego wyciek nie jest drobnym incydentem, tylko materiałem na pozwy, postępowania regulatorów i utratę klientów. Niska punktacja CVSS i niski EPSS nie oddają tego ryzyka, bo dotyczą wąskiego kręgu użytkowników, wobec których atak już się wydarzył.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie usługi archiwizacji, pilna migracja do innego dostawcy | Dni do tygodni | 20 tys. do 150 tys. PLN (migracja, praca zespołu) |
Bezpieczeństwo danych | Ujawnienie treści rozmów pracowników z klientami i partnerami | Już po włamaniu do dostawcy | 30 tys. do 250 tys. PLN (analiza zakresu wycieku) |
Finansowy | Roszczenia klientów, oszustwa oparte na przeczytanych rozmowach | Tygodnie do miesięcy | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Publikacja poufnych rozmów, utrata zaufania klientów | Dni do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe pytania regulatora branżowego o nadzór nad dostawcą | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka
Wpływ
5 | . . . . .
4 | ■ . . ■ . ← WYSOKIE: firma korzystająca z TM SGNL
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
↑
firma bez TeleMessage: ryzyko pośrednie (pytania do własnego dostawcy) Interpretacja: dla użytkowników TM SGNL ryzyko jest wysokie, bo włamanie już nastąpiło, a poprawki brak, choć punktacja CVSS (1.9 do 4.9) jest niska; dla pozostałych firm to przede wszystkim sygnał, by sprawdzić, jak własny dostawca archiwizacji chroni dane.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej pracownicy korzystali z TeleMessage (TM SGNL lub zmodyfikowanych wersji innych komunikatorów tej firmy) | Dziś | CTO / dział zgodności |
2 | 🔴 NATYCHMIAST | Jeśli tak: zaprzestać używania i usunąć aplikacje z urządzeń służbowych (zalecenie CISA w braku poprawki) | Dziś | Administrator IT |
3 | 🟠 PILNIE | Zażądać od dostawcy informacji, czy dane firmy były objęte incydentem z maja 2025 roku | Do 3 dni | CTO / prawnik |
4 | 🟠 PILNIE | Ocenić, czy potrzebne jest zgłoszenie do UODO lub regulatora branżowego, i powiadomić klientów, jeśli wymagają tego przepisy | Do 3 dni od ustaleń | Prawnik / IOD |
5 | 🟠 PILNIE | Wybrać dostawcę archiwizacji, który szyfruje kopie w spoczynku i daje klientowi kontrolę nad kluczami | Do 30 dni | CTO / dział zgodności |
6 | 🟡 WAŻNIE | Dopisać do umów z dostawcami usług chmurowych obowiązek informowania o incydentach i zmianach wpływających na bezpieczeństwo | Do 60 dni | Prawnik / CFO |
7 | 🟡 WAŻNIE | Uprzedzić pracowników, by w rozmowach służbowych nie przekazywali haseł ani danych, które nie powinny trafić do archiwum | Do 30 dni | Kierownik działu |
W tej sprawie aktualizacja nie jest dostępna: w rekordzie NVD nie ma poprawki ani biuletynu producenta, a CISA zaleca zaprzestanie używania produktu. Poniższe miary dotyczą ograniczenia skutków. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zaprzestanie używania TM SGNL i przejście na innego dostawcę archiwizacji | Wysoka | Średnia: wymaga migracji i decyzji zgodności |
Ograniczenie treści przesyłanych przez archiwizowany komunikator (bez haseł, danych szczególnych) | Średnia: zmniejsza skutki wycieku | Łatwa |
Wymaganie od dostawcy szyfrowania kopii w spoczynku i własnych kluczy klienta | Wysoka na przyszłość | Średnia |
Poleganie na zapewnieniach z materiałów marketingowych | Niska | Łatwa, ale zawodna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aplikacja TM SGNL | Zainstalowana na telefonach służbowych | Usunięta, archiwizacja przeniesiona |
Wiedza o wycieku | Brak | Informacja od dostawcy, decyzja o zgłoszeniach |
Archiwum rozmów | Kopie jawnym tekstem u dostawcy | Zaszyfrowane kopie u nowego dostawcy |
Umowy z dostawcami | Brak obowiązku informowania o incydentach | Zapisany obowiązek i terminy |
Ocena ryzyka | Oparta na jednej bazie (np. CVSS 1.9) | Oparta na kilku źródłach i obecności w KEV |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD: wykorzystana w maju 2025 roku; ocena CISA: wykorzystanie aktywne, nieautomatyzowalne, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji; relacje prasowe mówią o anonimowym napastniku |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 4.9 ŚREDNIA wg NVD (CVSS 3.1); 1.9 NISKA wg MITRE i ENISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie ataku |
Liczba atakowanych firm | Brak dokładnych danych; według relacji prasowych wykradzione materiały dotyczyły m.in. agencji rządowej USA i instytucji finansowych |
Prognoza EPSS | Około 0,43% (wg analizy źródłowej); niska wartość wynika z niszowości produktu, nie z braku ataków |
Sygnały zagrożenia dla CVE-2025-47729
CVSS 3.1 (NVD) 4.9/10 ██████████░░░░░░░░░░ ŚREDNIA
CVSS 3.1 (MITRE) 1.9/10 ████░░░░░░░░░░░░░░░░ NISKA
EPSS (analiza źr.) ~0.4% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ wykorzystanie potwierdzone
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ zalecenie: przestać używać 2024-02 Smarsh przejmuje TeleMessage (wg relacji prasowych)
2025-05-05 TeleMessage potwierdza badanie incydentu i zawiesza usługi;
koniec zakresu podatnych wydań zaplecza w NVD
2025-05-08 Publikacja CVE-2025-47729 w NVD
2025-05-12 CISA dodaje lukę do katalogu KEV
2025-06-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Producent nie opublikował poprawki. Wpis w katalogu CISA: CISA KEV, CVE-2025-47729 . Wpis w NVD z odnośnikami prasowymi: nvd.nist.gov/vuln/detail/CVE-2025-47729 . Relacja o incydencie: The Register, 5 maja 2025 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić, czy firma korzysta z TeleMessage lub innego dostawcy archiwizacji komunikatorów | CTO | DZISIAJ |
2 | Zatwierdzić zaprzestanie używania TM SGNL, jeśli jest w firmie | CTO | DZISIAJ |
3 | Wysłać dostawcy pisemne zapytanie o objęcie danych firmy incydentem | CTO / prawnik | DO JUTRA |
4 | Poprosić obecnego dostawcę archiwizacji o opis szyfrowania kopii i zarządzania kluczami | CTO | DO JUTRA |
5 | Zarezerwować budżet na migrację archiwum do innego dostawcy | CFO | DO JUTRA |
6 | Przejrzeć umowę z dostawcą pod kątem odpowiedzialności za wyciek i obowiązku powiadomień | CFO / prawnik | DO JUTRA |
7 | Ustalić z IOD, czy potrzebne jest zgłoszenie naruszenia | CFO / IOD | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy korzystamy lub korzystaliśmy z TeleMessage TM SGNL lub innych aplikacji tej firmy? | TAK / NIE | 🔴 |
2 | Na ilu urządzeniach służbowych jest zainstalowana taka aplikacja? | [liczba] | 🔴 |
3 | Czy dostawca potwierdził lub wykluczył, że nasze dane były objęte incydentem? | TAK / NIE, [data odpowiedzi] | 🔴 |
4 | Czy nasz obecny dostawca archiwizacji szyfruje kopie wiadomości w spoczynku? | TAK / NIE | 🟠 |
5 | Kto ma klucze do naszego archiwum: my czy dostawca? | [my / dostawca] | 🟠 |
6 | Czy umowa zobowiązuje dostawcę do informowania nas o incydentach i w jakim terminie? | TAK / NIE, [termin] | 🟠 |
7 | Czy potrafimy ustalić, jaka wersja usługi obsługuje nasze konto? | TAK / NIE | 🟡 |
CVE-2025-47729 dotyczy usługi TeleMessage TM SGNL, która obiecywała szyfrowanie aż do archiwum, a przechowywała kopie wiadomości jawnym tekstem. Luka została wykorzystana w maju 2025 roku, producent nie wydał poprawki, a CISA zaleca zaprzestanie używania produktu. Firmy korzystające z TM SGNL powinny dziś wyłączyć usługę i ustalić zakres ujawnionych danych, a pozostałe sprawdzić, jak ich dostawcy archiwizacji chronią kopie rozmów.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.