Numery z odzysku: ciche ryzyko w weryfikacji SMS

Numery telefonów wydają się stałe. Drukujemy je na wizytówkach, podajemy bankom i logujemy się nimi niemal wszędzie. Ale dla operatora numer to towar. Gdy klient przestaje płacić, zmienia taryfę bez przeniesienia numeru albo po prostu pozwala karcie prepaid wygasnąć, numer zostaje odłączony, odczeka swoje i trafia do kogoś nowego.

Amerykańska Federalna Komisja Łączności (FCC) szacuje, że w samych Stanach Zjednoczonych co roku odłącza się i udostępnia do ponownego przydziału około 35 milionów numerów. Większość z nich była w którymś momencie loginem, kanałem odzyskiwania lub drugim czynnikiem czyichś kont.

Co ustalili badacze z Princeton

W 2021 roku Kevin Lee i Arvind Narayanan z Center for Information Technology Policy Uniwersytetu Princeton postanowili zmierzyć problem bezpośrednio. Pobrali próbkę 259 numerów, które dwaj duzi amerykańscy operatorzy, T-Mobile i Verizon, oferowali nowym abonentom, a potem sprawdzili, co te numery wciąż mogły odblokować.

• ·171 z 259 numerów – mniej więcej dwa na trzy – wciąż było powiązanych z istniejącymi kontami w popularnych serwisach, w tym Amazon, AOL, Facebook, Google, PayPal i Yahoo. Nowy właściciel odbierający SMS-y z resetem hasła mógłby potencjalnie przejąć te konta.
• ·100 numerów pojawiało się obok wyciekłych danych logowania w publicznych danych z wycieków, co oznacza, że SMS był jedyną rzeczą stojącą między atakującym a kontem.
• ·Wiele numerów zwracało też dane osobowe poprzednich właścicieli w wyszukiwarkach osób.

Badacze odkryli też, że strony operatorów do zmiany numeru online pozwalały każdemu przeglądać duże pule dostępnych numerów, co ułatwiało atakującemu polowanie na numery z odzysku. Obaj operatorzy wprowadzili zmiany po powiadomieniu; autorzy opublikowali ich odpowiedzi razem z badaniem.

Sedno problemu jest proste: usługi traktują „może odebrać SMS na ten numer” jako dowód tożsamości, a operatorzy traktują numery jako wielokrotnego użytku. Gdy te dwa założenia się spotykają, osoba trzymająca numer dziś dziedziczy całe zaufanie, które było do niego przypięte wczoraj.

Co zrobili regulatorzy

Główna odpowiedź FCC celowała w inny problem – niechciane połączenia do osób, które odziedziczyły numer. W grudniu 2018 roku nakazała utworzenie Reassigned Numbers Database, która ruszyła w 2021 roku. Operatorzy zgłaszają trwale odłączone numery, a firmy mogą sprawdzić, czy numer został odłączony od danej daty, zanim do niego zadzwonią lub napiszą. To samo zarządzenie wprowadziło minimalny 45-dniowy okres „leżakowania”, zanim odłączony numer może zostać ponownie przydzielony.

To pomaga firmom przestać pisać do obcych. Nic nie robi dla kont, które wciąż mają zapisany stary numer. Ich aktualizacja w praktyce spoczywa na właścicielu konta.

Jak chronić się przy zmianie numeru

Co to oznacza dla wynajmowanych numerów wirtualnych

Uczciwy artykuł o recyklingu numerów musi zastosować tę samą logikę do numerów wynajmowanych, bo te są z założenia wielokrotnego użytku. Numer wynajęty do jednej weryfikacji jest zarezerwowany dla Ciebie podczas aktywacji; potem może zostać użyty ponownie przez innych ludzi i do innych usług. To czyni wynajęty numer tanim i jednorazowym – i dlatego nigdy nie powinien stać się długoterminowym kanałem odzyskiwania konta, na którym Ci zależy.

• ·Dobre zastosowania: przejście przez rejestrację bez podawania usłudze prywatnego numeru; komunikatory, sieci społecznościowe, marketplace’y, okresy próbne i konta testowe, gdzie numer liczy się w chwili weryfikacji.
• ·Złe zastosowania: bankowość, płatności, usługi rządowe i każde konto, którego jedyną drogą odzyskiwania jest SMS na ten numer. Zasługują na numer, który za pięć lat nadal będzie Twój.
• ·Zaraz po weryfikacji: dodaj e-mail do odzyskiwania, włącz zabezpieczenie dwuskładnikowe przez aplikację i, gdzie usługa na to pozwala, nie zostawiaj wynajętego numeru jako jedynej drogi powrotu.

Użyty w ten sposób wynajęty numer jest wręcz obroną przed problemem recyklingu, a nie jego przykładem. Twój prawdziwy numer – który sam może kiedyś zostać odłączony i odsprzedany – w ogóle nie trafia do dziesiątek baz danych.

Najczęstsze pytania