Oprez: Ne koristite SMS kodove za verifikaciju

Dojavljivač iz tehnološke industrije otkrio je da su 2FA sigurnosni kodovi prolazili kroz nepoznatu stranu kompaniju povezanu sa državnim obaveštajnim agencijama i firmama koje se bave digitalnim nadzorom…

Kodovi za dvofaktorsku autentifikaciju služe da zaštite vaše naloge čak i ako su hakeri došli do vaših podataka za prijavu. Ako imate uključenu 2FA zaštitu, nakon unosa lozinke, biće vam zatražen šesto-cifreni kod kako biste potvrdili svoj identitet.

Taj kod može da se generiše putem autentifikacione aplikacije koja generiše privremene kodove povezane sa vašim nalogom, ili može biti poslat putem SMS poruke na vaš registrovani broj telefona.

Problem sa SMS opcijom je u tome što komunikacija putem SMS-a nije enkriptovana, pa su ti kodovi ranjivi na presretanje u okviru telekomunikacione mreže.

• Konačno ispravljen ogroman propust
• Ako imate neku od ovih aplikacija na svom telefonu, odmah je izbrišite
• U javnost procurilo 184 miliona ukradenih lozinki
• Facebook ponovo na udaru: Hakeri prodaju podatke 1,2 milijarde korisnika

Dojavljivač je istupio u javnost i prijavio program presretanja, dostavivši Blumbergu dokaze koji potkrepljuju te tvrdnje.

On je dostavio poverljive podatke iz telekom mreža u vezi sa oko milion poruka koje su prenosile 2FA kodove tokom juna 2023. godine. Svaka od tih poruka prošla je kroz ruke nepoznate švajcarske firme po imenu Fink Telecom Services. Kompanija i njen osnivač sarađivali su sa obaveštajnim agencijama i firmama koje se bave nadzorom mobilnih telefona i praćenjem lokacije korisnika.

Među pošiljaocima su bili Google, Meta, Amazon, nekoliko evropskih banaka, popularne aplikacije poput Tindera i Snapchata, kripto-berza Binance i platforme za enkriptovanu komunikaciju poput Signala i WhatsApp-a. Ciljani primaoci nalazili su se u više od 100 zemalja na pet kontinenata.

To znači da je haker – uključujući i državne agencije – koji ima pristup vašem korisničkom imenu i lozinci, mogao uspešno da se prijavi na vaše naloge čak i kada je 2FA bio uključen.

Finansijski direktor kompanije Fink tvrdi da firma sada samo pruža "usluge rutiranja" i da "više ne radi u nadzoru". Ipak, bezbednosni stručnjaci povezuju Fink sa slučajevima u kojima su 2FA kodovi, poslati putem SMS-a, korišćeni za upade u naloge.

Ovo je još jedan primer zašto bi uvek trebalo da koristite aplikaciju za autentifikaciju umesto SMS poruka za 2FA kodove. Još bezbednija opcija su "passkeys", gde se koristi Face ID ili Touch ID za lokalnu potvrdu identiteta, a lozinka se uopšte ne šalje sajtu ili aplikaciji.