Geri dönüştürülen numaralar: SMS doğrulamanın sessiz riski

Telefon numaraları kalıcı gibi gelir. Kartvizitlere basarız, bankalara veririz, neredeyse her şeye onlarla gireriz. Ama operatör için numara bir stok kalemidir. Bir müşteri ödemeyi bıraktığında, numarasını taşımadan tarife değiştirdiğinde ya da ön ödemeli kartının süresini doldurduğunda numara kapatılır, bir süre bekletilir ve yeni birine verilir.

ABD Federal İletişim Komisyonu (FCC), yalnızca ABD'de her yıl yaklaşık 35 milyon numaranın kapatılıp yeniden tahsise açıldığını tahmin ediyor. Bunların çoğu, bir noktada birilerinin hesaplarında oturum açma bilgisi, kurtarma kanalı ya da ikinci faktördü.

Princeton araştırmacıları ne buldu

2021'de Princeton Üniversitesi Bilgi Teknolojileri Politikası Merkezi'nden Kevin Lee ve Arvind Narayanan sorunu doğrudan ölçmeye karar verdi. ABD'nin iki büyük operatörü T-Mobile ve Verizon'ın yeni abonelere sunduğu 259 numaralık bir örneklem aldılar ve bu numaraların hâlâ neleri açabildiğini kontrol ettiler.

• ·259 numaranın 171'i — yaklaşık üçte ikisi — Amazon, AOL, Facebook, Google, PayPal ve Yahoo gibi popüler sitelerde mevcut hesaplara hâlâ bağlıydı. Parola sıfırlama SMS'lerini alan yeni sahip, bu hesapları potansiyel olarak ele geçirebilirdi.
• ·Numaraların 100'ü, kamuya açık sızıntı verilerinde sızdırılmış giriş bilgileriyle birlikte görünüyordu; yani saldırgan ile hesap arasında yalnızca SMS duruyordu.
• ·Pek çok numara, kişi arama sitelerinde önceki sahiplerine ait kişisel bilgileri de getiriyordu.

Araştırmacılar ayrıca operatörlerin çevrimiçi numara değiştirme sayfalarının, herkesin büyük boş numara havuzlarına göz atmasına izin verdiğini ve bunun geri dönüştürülmüş numara avını kolaylaştırdığını buldu. Her iki operatör de bilgilendirildikten sonra değişiklik yaptı; yazarlar operatörlerin yanıtlarını araştırmayla birlikte yayımladı.

Sorunun özü basit: hizmetler «bu numaraya SMS alabiliyor» olmayı kimlik kanıtı sayıyor, operatörler ise numaraları yeniden kullanılabilir sayıyor. Bu iki varsayım buluştuğunda, numarayı bugün elinde tutan kişi dün ona bağlı olan tüm güveni miras alıyor.

Düzenleyiciler ne yaptı

FCC'nin asıl yanıtı başka bir soruna, numarayı devralan kişilere gelen istenmeyen aramalara yönelikti. Aralık 2018'de 2021'de devreye giren Yeniden Tahsis Edilen Numaralar Veritabanı'nın (Reassigned Numbers Database) kurulmasını emretti. Operatörler kalıcı olarak kapatılan numaraları bildiriyor; şirketler de bir numarayı aramadan ya da ona mesaj atmadan önce belirli bir tarihten beri kapatılıp kapatılmadığını sorgulayabiliyor. Aynı karar, kapatılan bir numaranın yeniden tahsis edilmeden önce en az 45 gün «dinlendirilmesini» şart koştu.

Bu, şirketlerin yabancılara mesaj atmayı bırakmasına yardım ediyor. Ama eski numarayı hâlâ kayıtlı tutan hesaplar için hiçbir şey yapmıyor. Bunları güncel tutmak pratikte hesap sahibine kalıyor.

Numara değiştirirken kendinizi nasıl korursunuz

Kiralık sanal numaralar için anlamı

Numara geri dönüşümü hakkında dürüst bir yazı, aynı mantığı kiralık numaralara da uygulamalı; çünkü onlar tasarım gereği geri dönüştürülür. Tek bir doğrulama için kiraladığınız numara etkinleştirme süresince size ayrılır; sonrasında başka kişiler ve başka hizmetler için yeniden kullanılabilir. Onu ucuz ve tek kullanımlık yapan da budur — ve tam da bu yüzden önemsediğiniz bir hesabın uzun vadeli kurtarma kanalı olmamalıdır.

• ·İyi kullanımlar: kişisel numaranızı vermeden bir kaydı tamamlamak; numaranın yalnızca doğrulama anında önemli olduğu mesajlaşma uygulamaları, sosyal ağlar, pazaryerleri, deneme sürümleri ve test hesapları.
• ·Kötü kullanımlar: bankacılık, ödemeler, devlet hizmetleri ve tek kurtarma yolu o numaraya gelen SMS olan her hesap. Bunlar beş yıl sonra da sizin olacak bir numarayı hak ediyor.
• ·Doğrulamadan hemen sonra: bir kurtarma e-postası ekleyin, uygulama tabanlı iki adımlı korumayı açın ve hizmet izin veriyorsa kiralık numarayı tek geri dönüş yolu olarak bırakmayın.

Bu şekilde kullanıldığında kiralık numara, geri dönüşüm sorununun bir örneği değil, ona karşı bir savunma olur. Gerçek numaranız — bir gün kendisi de kapatılıp yeniden satılabilecek olan — onlarca veritabanına hiç girmez.

Sık sorulan sorular