Нов извештај покажува дека околу еден милион кодови за двофакторска автентикација (2FA) испратени преку SMS-пораки веројатно биле пресретнати.


Дојавувач од технолошката индустрија откри дека безбедносните кодови 2FA биле пренесувани преку непозната странска компанија поврзана со владини разузнавачки агенции и фирми за дигитален надзор…

Двофакторските кодови за автентикација се дизајнирани да ги заштитат вашите сметки дури и ако хакерите дојдат до вашите информации за најавување. Ако имате овозможено 2FA, откако ќе ја внесете вашата лозинка, ќе бидете замолени за шестцифрен код за да го потврдите вашиот идентитет.

Овој код може да биде генериран од апликација за автентикација која генерира привремени кодови поврзани со вашата сметка или може да биде испратен преку СМС-порака на вашиот регистриран телефонски број.

Проблемот со опцијата за СМС-порака е што комуникацијата преку СМС-порака не е шифрирана, па затоа овие кодови се ранливи на пресретнување во рамките на телекомуникациската мрежа.

Дојавувачот јавно објави дека постои програма за пресретнување, обезбедувајќи му на Блумберг докази за да ги поткрепи тврдењата.

Тој обезбеди доверливи податоци од телекомуникациски мрежи поврзани со околу милион пораки што содржат 2FA кодови во текот на јуни 2023 година. Секоја од тие пораки поминала низ рацете на непозната швајцарска компанија наречена Fink Telecom Services. Компанијата и нејзиниот основач работеле со разузнавачки агенции и компании вклучени во надзор на мобилни телефони и следење на локацијата на корисниците.

Испраќачите ги вклучувале Google, Meta, Amazon, неколку европски банки, популарни апликации како Tinder и Snapchat, крипто берзата Binance и шифрирани комуникациски платформи како Signal и WhatsApp. Целните примачи биле лоцирани во повеќе од 100 земји на пет континенти.

Ова значи дека хакер – вклучувајќи владини агенции – со пристап до вашето корисничко име и лозинка би можел успешно да се најави на вашите сметки дури и кога 2FA е овозможено.

Финансискиот директор на Fink тврди дека компанијата сега обезбедува само „услуги за рутирање“ и „веќе не е вклучена во надзор“. Сепак, безбедносните експерти го поврзаа Fink со случаи каде што 2FA кодовите испратени преку СМС-порака биле користени за пробивање на сметки.

Ова е уште еден пример зошто секогаш треба да користите апликација за автентикација наместо СМС-пораки за 2FA кодови. Уште побезбедна опција се „passkeys“, кои користат Face ID или Touch ID за локална автентикација, а лозинката воопшто не се испраќа до веб-страницата или апликацијата.