Короткие текстовые сообщения СМС признаны ненадежным средством информационных взаимодействий. Все чаще такой способ транспортировки данных дискредитирует себя, подкрепляя известные слабости протокола громкими новостями о компрометации.
Например, был взломан аккаунт основателя Twitter в результате запуска сервиса твита по СМС. Злоумышленники в течение длительного времени делали нелегитимные посты с его аккаунта. Только отключение функции твита по СМС исправило ситуацию. Эта атака прошла успешно из-за произведенной SIM Swap или SIM hijacking атаке – подмене действующей сим-карты на карту злоумышленника путем обманных переговоров с оператором связи.
Исследователи Check Point обнаружили возможность перенастроить телефон путем отправки специально сформированной СМС — это фактически фишинговая атака через SMS-сервис.
Организация European Banking Authority (EBA) выпустила документ Payment Services Directive 2 (PSD2) в июле 2019 года, где СМС обозначен как ненадежный метод авторизации транзакций и аутентификации входа в клиент-банк. Банки Германии отказываются от использования СМС в качестве транспорта для подтверждения транзакций или как второго метода аутентификации.
Причина взломов СМС в простоте SMPP (Short Message Peer-to-Peer) — протокола передачи коротких сообщений одноранговой сети. По сути это обмен блоками данных Protocol Data Unit (PDU), он использует слабую аутентификацию, не имеет встроенную криптографию, максимум возможно использование SSL/TLS канала. Все это делает его привлекательным для злоумышленников, особенно благодаря возможности реализации SIM Swap/hijacking атаки.
Эксперты группы компаний Anagara рекомендуют максимально отказаться от использования СМС в качестве транспорта для конфиденциальных данных или дополнительного фактора при многофакторной аутентификации. Существуют более надежные системы класса OTP (One Time Password): RSA SecureID, jaCarta, Рутокен или личные сервисы Google OTP.
Вы можете получить более подробную консультацию у менеджеров группы компаний Angara по телефону 8-495-269-26-06 или e-mail info@angaratech.ru
