Перевикористані номери: тихий ризик SMS-підтвердження

Номери телефонів здаються постійними. Ми друкуємо їх на візитках, даємо банкам і використовуємо для входу майже всюди. Але для оператора номер — це товарний запас. Коли клієнт перестає платити, змінює тариф без перенесення номера чи просто дає передплаченій картці закінчитися, номер відключають, якийсь час тримають у резерві й передають комусь новому.

Федеральна комісія зв'язку США (FCC) оцінює, що лише в США щороку відключають і роблять доступними для повторного призначення близько 35 мільйонів номерів. Більшість із них колись були входом, каналом відновлення чи другим чинником для чиїхось акаунтів.

Що з'ясували дослідники з Принстона

У 2021 році Кевін Лі та Арвінд Нараянан із Центру політики інформаційних технологій Принстонського університету вирішили виміряти проблему безпосередньо. Вони взяли вибірку з 259 номерів, які два великі американські оператори, T-Mobile і Verizon, пропонували новим абонентам, а потім перевірили, що ці номери досі можуть відчинити.

• ·171 із 259 номерів — приблизно два з трьох — досі були прив'язані до наявних акаунтів на популярних сайтах, зокрема Amazon, AOL, Facebook, Google, PayPal і Yahoo. Новий власник, що отримує SMS для скидання пароля, потенційно міг захопити ці акаунти.
• ·100 номерів трапилися поряд зі злитими даними для входу в публічних базах витоків — тобто між зловмисником і акаунтом стояло лише SMS.
• ·Багато номерів також видавали особисту інформацію про попередніх власників на сайтах пошуку людей.

Дослідники також виявили, що онлайн-сторінки операторів для зміни номера дозволяли будь-кому переглядати великі пули доступних номерів, полегшуючи зловмисникам пошук перевикористаних. Обидва оператори внесли зміни після повідомлення; автори опублікували відповіді операторів разом із дослідженням.

Суть проблеми проста: сервіси вважають «може отримати SMS на цей номер» доказом особи, а оператори вважають номери багаторазовими. Коли ці два припущення зустрічаються, той, хто тримає номер сьогодні, успадковує всю довіру, що була до нього прив'язана вчора.

Що зробили регулятори

Головна відповідь FCC була спрямована на іншу проблему — небажані дзвінки людям, що успадкували номер. У грудні 2018 року комісія наказала створити Базу перепризначених номерів, яка запрацювала у 2021 році. Оператори повідомляють про остаточно відключені номери, а бізнеси можуть перевірити, чи номер відключали після певної дати, перш ніж дзвонити чи писати на нього. Те саме рішення встановило мінімальний період «старіння» — 45 днів, — перш ніж відключений номер можна перепризначити.

Це допомагає компаніям не писати незнайомцям. Але нічим не допомагає акаунтам, у яких досі вказано старий номер. Тримати їх в актуальному стані на практиці лишається справою власника акаунта.

Як захиститися, коли змінюєте номер

Що це означає для орендованих віртуальних номерів

Чесна стаття про перевикористання номерів має застосувати ту саму логіку й до орендованих номерів, бо вони перевикористовуються за задумом. Номер, який ви орендуєте для одного підтвердження, закріплений за вами на час активації; потім його можуть знову використати інші люди для інших сервісів. Саме це робить орендований номер дешевим і одноразовим — і саме тому він ніколи не має ставати довготривалим каналом відновлення для акаунта, що вам важливий.

• ·Добре застосування: пройти реєстрацію, не віддаючи сервісу особистий номер; месенджери, соцмережі, маркетплейси, пробні й тестові акаунти, де номер важить у момент підтвердження.
• ·Погане застосування: банкінг, платежі, державні сервіси й будь-який акаунт, єдиний шлях відновлення якого — SMS на цей номер. Вони заслуговують на номер, що й через п'ять років буде вашим.
• ·Одразу після підтвердження: додайте пошту для відновлення, увімкніть двофакторний захист через застосунок і, де сервіс дозволяє, не залишайте орендований номер єдиним шляхом назад.

За такого використання орендований номер насправді є захистом від проблеми перевикористання, а не її прикладом. Ваш справжній номер — той, що й сам колись може бути відключений і перепроданий, — узагалі не потрапляє в десятки баз даних.

Поширені запитання