Xakep #305. Многошаговые SQL-инъекции
Специалисты Positive Technologies провели исследование, изучив SIM-карты пяти крупных операторов связи. Выяснилось, что каждый второй телефонный номер уже использовался для регистрации каких-либо учетных записей, а более трети всех изученных SIM-карт позволяли попытаться войти в аккаунты, созданные прежним владельцем номера.
При проведении эксперимента использовались три вида SIM-карт пяти крупных операторов: 30 были куплены в салонах сотовой связи («белые»), 50 приобретены через каналы в Telegram («серые»), еще 15 — арендованы через специализированные онлайн-сервисы («виртуальные»).
Специалисты изучали возможность входа в 38 популярных приложений, исключив из списка сервисы без браузерных версий и личные кабинеты мобильных операторов. Приложения были разделены на несколько категорий: сайты компаний, интернет-магазины и аптеки, сервисы доставки еды и продуктов, маркетплейсы и социальные сети.
Как оказалось, 43% учувствовавших в эксперименте SIM-карт в прошлом использовались прежними владельцами для регистрации аккаунтов в сервисах из составленного списка. При этом для 37% номеров аккаунты все еще были активны. Отмечается, что исследователям удалось подтвердить возможность доступа к четырем аккаунтам на маркетплейсах, однако ни разу к банковским аккаунтам.
В общей сложности специалисты подтвердили возможность доступа к 57 аккаунтам прежних владельцев телефонных номеров. При этом только один из пяти операторов связи блокировал SIM-карты, обнаруживая подозрительную активность специалистов.
Также выяснилось, что два из пяти операторов раскрывают ФИО человека, на которого оформлен номер, при попытке входа в личный кабинет.
Исследователи сообщают, что по итогам эксперимента им не удалось выявить какие-либо зависимости между потенциалом успешности авторизации и категорией SIM-карт («белые», «серые», виртуальные).
«Как показал наш эксперимент, злоумышленники могут начать использовать в атаках ваш прежний номер, как только он вновь поступит в продажу. Поэтому разработчикам приложений не стоит использовать SMS как единственный второй фактор аутентификации и замену паролям при однофакторной аутентификации. При смене номера телефона владельцы должны иметь возможность безопасно восстановить доступ к своим аккаунтам, а в формах регистрации, авторизации и восстановления пароля не должна отображаться информация о наличии пользователя с таким номером. Мобильным операторам необходимо заблаговременно уведомлять своих клиентов о блокировке номера по email и по альтернативному номеру», — комментирует Николай Анисеня, руководитель отдела перспективных технологий Positive Technologies.
Пользователям специалисты советуют сохранять доступ к своим номерам телефонов, а в случае утраты доступа — привязать аккаунты к другому номеру. Также для критически важных приложений (мессенджеры, соцсети, онлайн-банки) рекомендуется дополнительно использовать альтернативный способ авторизации.
В целом эксперты советуют отказаться от входа через SMS, если это возможно, и настроить двухфакторную аутентификацию, например, используя генераторы одноразовых паролей. Кроме того, рекомендуется не выдавать мобильным приложениям разрешение на чтение SMS-сообщений, никому не сообщать одноразовые пароли, а в случае любой подозрительной активности — обращаться в службу поддержки приложения или оператора сотовой связи.
