Переиспользованные номера: скрытый риск SMS-подтверждения

Номера телефонов кажутся постоянными. Мы печатаем их на визитках, сообщаем банкам и входим с ними почти куда угодно. Но для оператора номер — это товар на складе. Когда клиент перестаёт платить, меняет тариф без переноса номера или просто забрасывает предоплаченную SIM, номер отключают, какое-то время выдерживают и выдают новому человеку.

Федеральная комиссия связи США (FCC) оценивает, что только в США около 35 миллионов номеров ежегодно отключаются и становятся доступными для повторной выдачи. Большинство из них когда-то служили логином, каналом восстановления или вторым фактором для чьих-то аккаунтов.

Что обнаружили исследователи из Принстона

В 2021 году Кевин Ли и Арвинд Нараянан из Центра политики в области информационных технологий Принстонского университета решили измерить проблему напрямую. Они взяли выборку из 259 номеров, которые два крупных американских оператора, T-Mobile и Verizon, предлагали новым абонентам, и проверили, что эти номера всё ещё открывают.

• ·171 номер из 259 — примерно два из трёх — всё ещё был привязан к существующим аккаунтам на популярных сайтах, среди них Amazon, AOL, Facebook, Google, PayPal и Yahoo. Новый владелец, получающий SMS для сброса пароля, потенциально мог бы захватить эти аккаунты.
• ·100 номеров встречались рядом с утёкшими логинами и паролями в публичных базах утечек — то есть между злоумышленником и аккаунтом стояло только SMS.
• ·Многие номера к тому же выдавали личные данные прежних владельцев на сайтах поиска людей.

Исследователи также выяснили, что страницы онлайн-смены номера у операторов позволяли кому угодно просматривать большие пулы свободных номеров, что облегчало охоту за переиспользованными. Оба оператора внесли изменения после уведомления; авторы опубликовали их ответы вместе с исследованием.

Суть проблемы проста: сервисы считают «может получить SMS на этот номер» доказательством личности, а операторы считают номера многоразовыми. Когда эти два допущения встречаются, тот, у кого номер сегодня, наследует всё доверие, которое было к нему привязано вчера.

Что сделали регуляторы

Главный ответ FCC был направлен на другую проблему — нежелательные звонки людям, унаследовавшим номер. В декабре 2018 года комиссия распорядилась создать базу переназначенных номеров (Reassigned Numbers Database), заработавшую в 2021 году. Операторы сообщают об окончательно отключённых номерах, а компании перед звонком или сообщением могут проверить, отключался ли номер с определённой даты. Тем же решением установлен минимальный срок «выдержки» в 45 дней, прежде чем отключённый номер можно выдать снова.

Это помогает компаниям не писать незнакомцам. Но ничего не делает с аккаунтами, в которых до сих пор записан старый номер. Следить за этим на практике приходится владельцу аккаунта.

Как защититься, меняя номер

Что это значит для арендованных виртуальных номеров

Честный текст о повторной выдаче номеров должен применить ту же логику к арендованным номерам, потому что их переиспользуют по определению. Номер, который вы арендуете для одной проверки, закреплён за вами на время активации; после этого он может снова использоваться другими людьми и для других сервисов. Именно поэтому он дешёвый и одноразовый — и именно поэтому он никогда не должен становиться долгосрочным каналом восстановления для аккаунта, который вам дорог.

• ·Хорошие сценарии: пройти регистрацию, не отдавая сервису личный номер; мессенджеры, соцсети, маркетплейсы, пробные периоды и тестовые аккаунты, где номер важен только в момент проверки.
• ·Плохие сценарии: банки, платежи, госуслуги и любой аккаунт, единственный способ восстановления которого — SMS на этот номер. Им нужен номер, который будет вашим и через пять лет.
• ·Сразу после подтверждения: добавьте резервную почту, включите двухфакторную защиту через приложение и, если сервис позволяет, не оставляйте арендованный номер единственным путём назад.

При таком использовании арендованный номер оказывается не примером проблемы повторной выдачи, а защитой от неё. Ваш настоящий номер — тот, что однажды сам может быть отключён и перепродан, — просто не попадает в десятки баз данных.

Частые вопросы