$ 16 attack viser hvor enkelt bærere gjør det å fange tekstmeldinger
I en ny artikkel med tittelen «En Hacker Fikk Alle Mine Tekster for $16,» Vice reporter Joseph Cox detaljert hvordan white-hat hacker-en ansatt hos en sikkerhetsleverandør – var i stand til å omdirigere alle sine tekstmeldinger og deretter bryte inn i elektroniske kontoer som er avhengige av tekster for godkjenning.
Dette var ikke EN SIM swap svindel, der «hackere lure eller bestikke telecom ansatte til port et mål telefonnummer til SITT EGET SIM-kort,» cox skrev. «I stedet brukte hackeren en tjeneste Fra Et selskap Som heter Sakari, som hjelper bedrifter med SMS-markedsføring og massemeldinger, for å omdirigere meldingene mine til Ham.»
denne metoden lurte T-Mobile til å omdirigere coxs tekstmeldinger på en måte som kanskje ikke var lett synlig for en intetanende bruker. «I motsetning TIL sim jacking, hvor et offer mister celletjenesten helt, virket telefonen min normal,» skrev Cox. «Bortsett fra at jeg aldri mottok meldingene som var ment for meg, men han gjorde det.»
hackeren, som går under mononymet «Lucky225», er informasjonsdirektør Hos Okey Systems, en sikkerhetsleverandør. «Jeg brukte et forhåndsbetalt kort til å kjøpe $16 per måned plan og deretter etter det ble gjort det la meg stjele tall bare ved å fylle UT LOA info med falsk info,» Okey ansatt fortalte Cox. «LOA» er «Et Autorisasjonsbrev, et dokument som sier at underskriveren har myndighet til å bytte telefonnumre,» skrev Cox.
«Noen få minutter etter at de skrev Inn T-Mobilnummeret mitt I Sakari, begynte de å motta tekstmeldinger som var ment for Meg,» skrev Cox. «Jeg mottok ingen samtale eller tekstmelding Fra Sakari som ba om å bekrefte at nummeret mitt ville bli brukt av deres tjeneste. Jeg bare sluttet å få tekster.»
etter å ha fått tilgang Til coxs meldinger, «hackeren sendte påloggingsforespørsler Til Bumble, WhatsApp Og Postkamerater, og fikk lett tilgang til kontoene,» sa artikkelen.
«Når Det gjelder Hvordan Sakari har denne evnen til å overføre telefonnumre, sa Nohl fra Security Research Labs:» det er ingen standardisert global protokoll for videresending av tekstmeldinger til tredjeparter, så disse angrepene vil stole på individuelle avtaler med telcos eller SMS-huber, » skrev Cox.
Mens Cox er En t-Mobile-bruker, fortalte hackeren ham at » carrier spiller ingen rolle… Det er i utgangspunktet det vilde vesten.»
CTIA: Bærere nå ta «forholdsregler»
Okey tilbyr et verktøy for å overvåke skadelige endringer i en brukers mobiltjeneste. «Registrer deg for vår gratis beta, og vi vil overvåke out-of-band kommunikasjon som ruter og operatørinnstillinger. Hvis en ondsinnet hendelse finner sted, vil vi varsle deg gjennom alternative former for pålitelig kommunikasjon, » sier selskapet.
bærerne selv kan være i stand til å stoppe denne typen angrep i fremtiden. T-Mobile, Verizon OG AT&t refererte Cox TIL CTIA, bransjeforeningen som representerer de beste mobiloperatørene. CTIA fortalte Cox:
Etter å ha blitt gjort oppmerksom på denne potensielle trusselen, jobbet vi umiddelbart for å undersøke det,og tok forholdsregler. Siden den tiden har ingen transportør vært i stand til å kopiere den. Vi har ingen indikasjon på skadelig aktivitet som involverer den potensielle trusselen eller at noen kunder ble påvirket. Forbrukernes personvern og sikkerhet er vår høyeste prioritet, og vi vil fortsette å undersøke denne saken.
denne uttalelsen sier ikke nøyaktig hvilke forholdsregler transportørene har tatt for å forhindre angrepet. Vi kontaktet T-Mobile og CTIA i dag og vil oppdatere denne artikkelen hvis vi får mer informasjon.
Sakari har også tilsynelatende oppgradert sikkerheten. Sakari medstifter Adam Horsman fortalte Cox At Sakari har, siden Han ble gjort oppmerksom på angrepet, «oppdatert vår vertsbaserte meldingsprosess for å fange dette i fremtiden» og «lagt til en sikkerhetsfunksjon der et nummer vil motta et automatisert anrop som krever at brukeren sender en sikkerhetskode tilbake til selskapet, for å bekrefte at de har samtykke til å overføre det nummeret.»
vi kontaktet Sakari i dag om sin sikkerhet og integrasjon Med T-Mobile og vil oppdatere denne artikkelen hvis vi får et svar. Mens Sakari var involvert i dette tilfellet, kan andre tredjepartsfirmaer også ha integrasjoner med transportører som åpner transportørens kunder for angrep. Bærere selv må være mer forsiktig med å gi tredjeparts leverandører muligheten til å omdirigere tekstmeldinger.
Update at 2:48 PM EDT: Sakari svarte På Ars med en uttalelse som sier: «Vi har nå stengt denne bransjen smutthull På Sakari og ANDRE SMS-leverandører og operatører bør gjøre det samme. Når du porterer et mobilnummer I USA, som en kunde som bytter operatører for taleanrop, autoriserer transportøren du forlater nummeret ditt avgang. Det er ingen slik industristandard for overføring av eierskap av meldinger på mobilnumre. Sakari går allerede utover bransjestandarder for verifisering for nye kunder og fulgte vår operatørs retningslinjer til brevet, men i lys av denne utviklingen har vi nå lagt til et telefonbekreftelsesanrop til alle nye tekstaktiverte numre, slik at Ingen kan bruke Sakari til å utnytte dette bransjens smutthull igjen. SMS er et svært kraftig kommunikasjonsmedium, og ettersom DET fortsetter å dominere kommunikasjonslandskapet, ønsker vi velkommen forbedringer som trengs fra bransjen – både transportører og forhandlere.»
Cox historie er ikke den første påminnelsen om usikkerhet av tekstmeldinger. SIM-swapping angrep og feil I SS7 telefonprotokoller allerede gjort det risikabelt å bruke tekstmeldinger for autentisering, men mange nettsteder og andre elektroniske tjenester fortsatt stole på tekster for å verifisere brukernes identiteter. Kunder kan sette Opp Konto PINs Med T-Mobile og andre operatører for å hindre uautorisert tilgang til sine mobilkontoer, men det er ikke klart om dette ville ha forhindret typen angrep Som omdirigert coxs tekstmeldinger.