रीसाइकिल्ड फ़ोन नंबर: SMS सत्यापन का छिपा ख़तरा

फ़ोन नंबर स्थायी लगते हैं। हम उन्हें विज़िटिंग कार्ड पर छापते हैं, बैंकों को देते हैं और लगभग हर चीज़ में लॉग इन करने के लिए इस्तेमाल करते हैं। पर ऑपरेटर के लिए नंबर एक स्टॉक है। जब कोई ग्राहक भुगतान बंद करता है, नंबर पोर्ट किए बिना प्लान बदलता है या प्रीपेड कार्ड की वैलिडिटी ख़त्म होने देता है, तो नंबर बंद होता है, कुछ समय ठहरता है और किसी नए व्यक्ति को दे दिया जाता है।

अमेरिका का संघीय संचार आयोग (FCC) अनुमान लगाता है कि सिर्फ़ अमेरिका में हर साल लगभग 3.5 करोड़ नंबर बंद होकर दोबारा आवंटन के लिए उपलब्ध होते हैं। इनमें से ज़्यादातर कभी न कभी किसी के अकाउंट का लॉगिन, रिकवरी चैनल या दूसरा फ़ैक्टर रहे थे।

प्रिंसटन के शोधकर्ताओं ने क्या पाया

2021 में प्रिंसटन विश्वविद्यालय के सेंटर फ़ॉर इन्फ़ॉर्मेशन टेक्नोलॉजी पॉलिसी के केविन ली और अरविंद नारायणन ने इस समस्या को सीधे मापने का फ़ैसला किया। उन्होंने 259 नंबरों का सैंपल लिया जो दो बड़े अमेरिकी ऑपरेटर, T-Mobile और Verizon, नए ग्राहकों को दे रहे थे, और जाँचा कि ये नंबर अब भी क्या-क्या खोल सकते हैं।

• ·259 में से 171 नंबर — लगभग हर तीन में से दो — Amazon, AOL, Facebook, Google, PayPal और Yahoo जैसी लोकप्रिय साइटों पर मौजूद अकाउंट से अब भी जुड़े थे। पासवर्ड-रीसेट SMS पाने वाला नया मालिक संभावित रूप से इन अकाउंट पर क़ब्ज़ा कर सकता था।
• ·100 नंबर सार्वजनिक ब्रीच डेटा में लीक हुए लॉगिन विवरणों के साथ दिखे, यानी हमलावर और अकाउंट के बीच सिर्फ़ SMS खड़ा था।
• ·कई नंबरों से पीपल-सर्च वेबसाइटों पर पिछले मालिकों की निजी जानकारी भी मिल रही थी।

शोधकर्ताओं ने यह भी पाया कि ऑपरेटरों के ऑनलाइन नंबर-बदलाव पेज किसी को भी उपलब्ध नंबरों के बड़े भंडार देखने देते थे, जिससे हमलावर के लिए रीसाइकिल्ड नंबर ढूँढना आसान हो जाता था। सूचना मिलने के बाद दोनों ऑपरेटरों ने बदलाव किए; लेखकों ने अध्ययन के साथ उनके जवाब भी प्रकाशित किए।

समस्या की जड़ सीधी है: सेवाएँ «इस नंबर पर SMS पा सकता है» को पहचान का सबूत मानती हैं, जबकि ऑपरेटर नंबरों को दोबारा इस्तेमाल लायक़ मानते हैं। जब ये दो धारणाएँ मिलती हैं, तो आज नंबर रखने वाला व्यक्ति वह सारा भरोसा विरासत में पा जाता है जो कल उससे जुड़ा था।

नियामकों ने क्या किया

FCC का मुख्य जवाब एक अलग समस्या पर था — नंबर विरासत में पाने वालों को आने वाली अनचाही कॉल। दिसंबर 2018 में उसने Reassigned Numbers Database बनाने का आदेश दिया, जो 2021 में शुरू हुआ। ऑपरेटर स्थायी रूप से बंद नंबरों की सूचना देते हैं, और कंपनियाँ कॉल या मैसेज करने से पहले जाँच सकती हैं कि कोई नंबर किसी तारीख़ के बाद बंद हुआ या नहीं। उसी आदेश ने तय किया कि बंद नंबर को दोबारा देने से पहले कम से कम 45 दिन «ठहराना» होगा।

इससे कंपनियों को अजनबियों को मैसेज भेजना रोकने में मदद मिलती है। पर उन अकाउंट के लिए यह कुछ नहीं करता जिनमें अब भी पुराना नंबर दर्ज है। उन्हें अपडेट रखना व्यवहार में अकाउंट मालिक की ज़िम्मेदारी है।

नंबर बदलते समय ख़ुद को कैसे बचाएँ

किराए के वर्चुअल नंबरों के लिए इसका मतलब

नंबर रीसाइक्लिंग पर ईमानदार लेख को यही तर्क किराए के नंबरों पर भी लागू करना चाहिए, क्योंकि वे बनाए ही रीसाइक्लिंग के लिए जाते हैं। एक सत्यापन के लिए किराए पर लिया नंबर सक्रियण के दौरान आपके लिए रिज़र्व रहता है; उसके बाद वह दूसरे लोगों और दूसरी सेवाओं के लिए फिर इस्तेमाल हो सकता है। यही उसे सस्ता और डिस्पोज़ेबल बनाता है — और इसीलिए उसे कभी उस अकाउंट का लंबी अवधि का रिकवरी चैनल नहीं बनना चाहिए जो आपके लिए मायने रखता है।

• ·सही इस्तेमाल: सेवा को अपना निजी नंबर दिए बिना साइन-अप पूरा करना; मैसेंजर, सोशल नेटवर्क, मार्केटप्लेस, ट्रायल और टेस्ट अकाउंट, जहाँ नंबर सिर्फ़ सत्यापन के पल में मायने रखता है।
• ·ग़लत इस्तेमाल: बैंकिंग, पेमेंट, सरकारी सेवाएँ और हर वह अकाउंट जिसका अकेला रिकवरी रास्ता उसी नंबर पर SMS हो। उन्हें ऐसा नंबर चाहिए जो पाँच साल बाद भी आपका हो।
• ·सत्यापन के ठीक बाद: रिकवरी ईमेल जोड़ें, ऐप-आधारित टू-फ़ैक्टर सुरक्षा चालू करें और, अगर सेवा अनुमति दे, तो किराए के नंबर को लौटने का अकेला रास्ता न छोड़ें।

इस तरह इस्तेमाल करने पर किराए का नंबर रीसाइक्लिंग समस्या का उदाहरण नहीं, बल्कि उसके ख़िलाफ़ बचाव बन जाता है। आपका असली नंबर — जो किसी दिन ख़ुद बंद होकर दोबारा बिक सकता है — दर्जनों डेटाबेस में पहुँचता ही नहीं।

अक्सर पूछे जाने वाले सवाल