Automatic Key Verification erweitert das bisherige Modell der Sicherheitsnummern um eine automatisierte Kontrolle. Nach Angaben von Katherine Yen funktioniert die Prüfung durch ein Zusammenspiel von Verifikationen durch den Nutzer selbst, dessen Signal-Kontakte und unabhängige Drittprüfer. Zusammen liefere das dieselbe Absicherung wie eine manuelle Verifikation der Sicherheitsnummern.

Signal beschreibt das Verfahren als Bestandteil eines Systems für Schlüsselkonsistenz. Ziel ist, dass die Verknüpfung zwischen Telefonnummer oder Benutzername und dem zugehörigen öffentlichen Schlüssel im gesamten Signal-Ökosystem überall identisch bleibt. So sollen Fälle erkennbar werden, in denen ein Schlüssel unbemerkt ausgetauscht wurde — etwa wenn ein Angreifer nach einer Kompromittierung von Signal einen anderen Schlüssel mit der Telefonnummer eines Kontakts verknüpft.

Aktivieren lässt sich die Funktion in der App unter Einstellungen > Datenschutz > Erweitert per Schalter für Automatic Key Verification. Zusätzlich können Nutzer den öffentlichen Schlüssel eines Gesprächspartners über den Bildschirm zur Prüfung der Sicherheitsnummern kontrollieren, indem sie dort „Automatisch prüfen“ auswählen. Ist die Verifikation erfolgreich, zeigt die App ein grünes Häkchen und den Hinweis „Verschlüsselung verifiziert“ an.

Wer sich nicht auf Signal oder auf unabhängige Prüfer verlassen möchte, kann die automatische Schlüsselprüfung in den Datenschutzeinstellungen abschalten und weiterhin die manuelle Verifikation per Sicherheitsnummer nutzen. Signal bezeichnet Schlüsselkonsistenz dabei als leicht nutzbare Ergänzung zum bisherigen System. Über die Zeit hinweg solle die eigene Prüfung zusammen mit den fortlaufenden Kontrollen durch den Signal-Kontakt und die Drittprüfer die Konsistenz des Schlüssels einer Signal-Verbindung im gesamten Ökosystem absichern.

Bereits im Mai hatte Signal zusätzliche Warnhinweise und Bestätigungen innerhalb der App eingeführt. Diese Schutzmaßnahmen sollen Nutzern mehr Zeit geben, die Sicherheit externer Anfragen zu bewerten und sich so besser gegen Phishing- und Social-Engineering-Versuche zu schützen.

Auslöser dafür waren Angriffe, die russischen staatlich unterstützten Hackern zugeschrieben werden. Nach Angaben des FBI, deutscher Behörden und der niederländischen Regierung zielten sie mit gefälschten „Signal Support“-Warnmeldungen auf prominente Nutzer. Dabei missbrauchten die Angreifer die Funktion Linked Device, um Zugriff auf das Konto des Ziels, dessen Chats und Kontaktlisten zu erlangen.

Einen Monat später setzte das US-Außenministerium Belohnungen von bis zu 10 Millionen US-Dollar für Hinweise aus, die zur Identifizierung oder Lokalisierung von Mitgliedern der Hackergruppen UNC5792 und UNC4221 beitragen. Diese Gruppen werden mit breit angelegten Phishing-Kampagnen gegen Signal-Nutzer in Verbindung gebracht.