COVID-19 заставляет многих из нас заказывать товары в Интернете, и мы используем такие методы онлайн-платежей, как Paypal и Venmo, для оплаты товаров.
В январе 2020 года исследователи из Центра политики в области информационных технологий Принстонского университета опубликовали исследование, которое показало, что хакеры могут получить контроль над учетные записи пользователей в этих и других службах.
Проблема с многофакторной аутентификацией
Исследователи проанализировали процедуры многофакторной аутентификации (MFA), используемые 140 интернет-сайтами, включая социальные сети, провайдеров электронной почты, и корпоративные решения.
Многофакторная проверка подлинности - это мера безопасности в Интернете, которая относится к методу проверки подлинности, требующему двух или более доказательств или факторов. Типичные факторы включают:
- Что-то, что знает только пользователь - включает пароли, PIN-коды, комбинации и кодовые слова
- Что-то, что есть только у пользователя - включает физические объекты, такие как ключи, смартфоны, смарт-карты, USB-накопители и токен-устройства
- Что-то, чем является пользователь - включая отпечатки пальцев, сканирование ладоней, распознавание лиц, сканирование сетчатки, сканирование радужной оболочки и проверку голоса.
Исследователи обнаружили 17 компаний, где телефон, на котором была заменена SIM-карта, можно было использовать для сброса пароля учетной записи. Мошенничество с подменой SIM-карты позволяет кому-то получить контроль над вашим телефоном, а затем хакер может получить полный доступ к вашим онлайн-профилям на различных веб-сайтах.
Пострадавшие компании включали Adobe, Amazon, AOL, Blizzard, eBay, Finnair, Gaijin Entertainment, Mailchimp, Microsoft, Online, Paypal, Snapchat, Taxact, Venmo, WordPress, Yahoo и Zoho Mail..
Исследователи попытались сообщить об уязвимости пострадавшим компаниям тремя способами: напрямую сообщить в компанию, опубликовать сообщения на платформах вознаграждения за обнаружение ошибок, таких как HackerOne, и через каналы поддержки клиентов.
Adobe, Snapchat и eBay признали уязвимость и оперативно исправили ее. Blizzard, Microsoft и Taxact исправили уязвимость, но не проинформировали исследователей.
Paypal посчитал отчет исследователей выходящим за рамки и заявил, что «уязвимость не в Paypal, как вы упомянули, это проблема с операторами связи, и они должны исправить ее на на их стороне."
Три из четырех отчетов, переданных сторонним программам поощрения ошибок, были проигнорированы. Хуже того, HackerOne запрещает тем, кто отправил то, что HackerOne считает слишком большим количеством отчетов об ошибках, отправлять новые.
Пять компаний, AOL, Finnair, Mailchimp, Venmo и WordPress, вообще не ответили исследователям.
Как кто-то может завладеть вашим телефоном?
SIM означает S абонент I идентификация Module, и это карта со встроенной интегральной схемой, которая хранит:
- Его уникальный I интегрированный Circuit C ard Iидентификатор (ICCID), который идентифицирует каждую SIM-карту на международном уровне
- An I международный M мобильный S абонент Iидентификационный номер (IMSI), который является уникальным идентификатором, связанным со всеми сотовыми сетями
- Информация о безопасности и шифровании
- Временная информация, связанная с локальной сетью
- Список сервисов, к которым у пользователя есть доступ
- Два пароля: a P личный I идентификация N номер (PIN) для обычного использования и P личный Unblocking Code (PUC) для разблокировки PIN-кода.
Все GSM (G глобальный S система для M мобильная связь) для телефонов требуется SIM-карта. Для CDMA (C ode D ivision M несколько Access) телефоны, только новые LTE (Long Term Evolution) требуется SIM-карта. SIM-карты также используются в спутниковых телефонах, умных часах и камерах.
Чтобы убедить операторов мобильной связи поменять SIM-карту, хакеры используют личную информацию, которую они получают в результате утечки данных, или информацию, которую они получают из ваших учетных записей в социальных сетях, например дату вашего рождения или девичью фамилию вашей матери.
Еще один способ, которым хакеры могут завладеть вашим телефоном, - заставить вас позвонить по двум телефонным номерам. Вы можете получить звонок или текстовое сообщение о том, что вы выиграли конкурс, и вам нужно позвонить по определенному номеру, чтобы получить свой приз.
Причина этого заключается в том, что процедуры некоторых операторов сотовой связи включают запрос двух недавно набранных номеров, если пользователь не может вспомнить свой PIN-код или ответы на контрольные вопросы. Поскольку хакер будет знать эти номера, замена SIM-карты будет разрешена.
Те же исследователи из Принстонского университета предупредили «большую пятерку» американских операторов сотовой связи - Verizon, AT&T, T-Mobile, Sprint и U. S. Cellular - об этой уязвимости. Из операторов только T-Mobile изменила использование журналов вызовов для аутентификации клиентов.
Истории тех, кому поменяли SIM-карту
В статье Vice за февраль 2018 года сообщалось о нескольких владельцах учетных записей, которые стали жертвами замены SIM-карты определенным оператором мобильной связи.
TC, который целый день сражался с решительным хакером, описал свой опыт:
Сегодня утром меня предупредили о том, что кто-то пытается получить доступ к моей SIM-карте. Я сказал представителю заблокировать мою учетную запись и ничего не разрешать, если я физически не буду присутствовать в магазине. Через 4 часа мой телефон получает предупреждение с сообщением «Нет сети». Я знал, что хакер прошел.
[Хакер] … выдал себя за сотрудника T-Mobile и получил доступ к моей SIM-карте. … Я начал получать оповещения на все свои учетные записи электронной почты о том, что мои пароли были изменены. Потребовалось около часа, чтобы восстановить контроль над всем, но я в панике. Я не уверен, что они смогли украсть… [Я] в настоящее время просто сижу, глядя на свою электронную почту и банковские счета, ожидая катастрофы.
Другой пользователь, BW, сообщил, что его операторская SIM-карта поменяла его номер, после чего хакер быстро подал заявку на получение кредитной карты и получил 20 000 долларов США кредитная линия, и пошел по магазинам. Пользователь HT сообщил, что $2 000 слили с ее учетной записи Wells Fargo через Zelle.
Другой пользователь сообщил о потере $2 000 посредством банковского перевода, а также о том, что «время, которое потребовалось после того, как мой номер был украден ' до перевода денег прошло всего 18 минут.
Пользователь MC написал:
… Я проиграл $5 200 всего, $1 999 с одного счета, $2, 500 с другого и $600 в погашенных баллах кредитной карты наличными. Я до сих пор не получил свой номер обратно и провел бессчетное количество часов, закрывая и открывая все свои банковские счета, заполняя (sic) отчет в полицию, общаясь с банками, компаниями, выпускающими кредитные карты, и [оператором]. Мне пришлось платить проценты по моей кредитной карте, так как все мои средства были заморожены с 9 января по 25 января, и я почти уверен, что получу некоторую комиссию за возврат чека, потому что я не изменил свой переводной счет для моего авто- списывается вовремя.
Самое приятное то, что [оператор] прислал мне счет и взимал плату за прекращение обслуживания и перенос моего номера. Ты шутишь, что ли?!?!
Мой телефон взломан?
На что следует обратить внимание, если вы подозреваете, что ваш телефон был взломан:
- Сокращение времени автономной работы - это может быть связано с мошенническими приложениями на вашем телефоне, использующими его ресурсы и передающими информацию на сервер
- Замедление работы - если ваш телефон часто зависает, или если некоторые приложения либо дают сбой, либо отказываются закрываться
- Увеличение использования данных - это может быть вызвано мошенническими приложениями, работающими в фоновом режиме и отправляющими информацию обратно на сервер
- Звонки или текстовые сообщения на неизвестные номера - вредоносное ПО может заставить ваш телефон звонить на платные номера
- Увеличение количества всплывающих окон - они могут включать рекламное ПО или попытки фишинга с просьбой ввести конфиденциальную информацию; в то время как вы можете закрыть всплывающее окно, нажав «X», у некоторых всплывающих окон есть искусственный «X», который на самом деле перенаправляет вас на вредоносный сайт
- Новые приложения, установленные без вашего разрешения - также, если ваш телефон часто дает сбой, а затем перезагружается
- Необычная активность в учетных записях, связанных с вашим телефоном - если вы получаете уведомления о сбросе пароля или открытии новых учетных записей.
Как избежать замены SIM-карты
Чтобы избежать замены SIM-карт, вы можете связать свои онлайн-аккаунты с V офисом o ver Internet Pномер протокола (VoIP), например Гугл Войс или Скайп. Номера Google Voice не привязаны к настоящим SIM-картам, поэтому их сложнее взломать.
Еще один метод, который вы можете использовать, чтобы избежать замены SIM-карты, - это добавить PIN-код к учетной записи мобильного телефона.
Для AT&T:
- Перейдите в профиль своей учетной записи, войдите в систему, затем выберите Информация для входа.
- В разделе Код доступа к беспроводной сети выберите Управление дополнительной безопасностью.
- Введите пароль при появлении запроса.
Для Verizon:
- Перейти на этот сайт.
- Войдите в свою учетную запись, затем дважды введите нужный PIN-код.
- Нажмите Отправить.
Для T-Mobile:
- Установите PIN-код при первом входе в свою учетную запись My T-Mobile.
- Выберите Текстовые сообщения или Контрольный вопрос и следуйте инструкциям..
Для спринта:
- Войдите в свой аккаунт.
- Нажмите Мой спринт, затем выберите Профиль и безопасность.
- Выберите Информация о безопасности, чтобы обновить PIN-код или контрольные вопросы.
В это время социального дистанцирования заботиться о здоровье своего телефона и онлайн-аккаунтов так же важно, как и о собственном здоровье.