Создание сайтов качественно и в срок!
Разработка сайтов
  • Создание сайтов
    Новости интернета
    17 июня 2016 г. Хакеры могут взломать Facebook, WhatsApp, Telegram и другие соцсети по номеру телефона

    Благодаря уязвимости в технологии сорокалетней давности хакеры могут взламывать соцсети и прослушивать все звонки, зная лишь номер телефона жертвы. «Газета.Ru» выяснила, как много людей находится в зоне риска и как можно себя обезопасить.

    Исследователям удалось получить доступ к аккаунтам Telegram, WhatsApp и Facebook, зная лишь номер мобильного телефона, который привязан к аккаунту. В теории этот метод применим для любых других соцсетей, которые отправляют сообщения для восстановления пароля. Среди них «ВКонтакте», Twitter, Google и многие другие сервисы.

    Уязвимость в протоколе системы Signalling System No.7 (SS7 или ОКС-7), разработанной в 1975 году, позволяет перенаправлять SMS-сообщения, которые соцсети отправляют для восстановления пароля.

    Таким образом, зная номер жертвы, можно без труда инициировать процедуру восстановления доступа к аккаунту, после чего перехватить сообщение и установить свой собственный пароль.

    В своем блоге специалисты Positive Technologies подробно рассказали о том, как происходил взлом в Telegram и WhatsApp на тестовом полигоне. Используя уязвимость в технологии сорокалетней давности, исследователи получили доступ не только к аккаунту жертвы в Telegram, но и получили всю переписку, так как сервис сам «любезно» подгружает ее.

    В случае с WhatsApp получить историю сообщений не удалось, но сервис хранит бэкапы переписки на Google Drive. Соответственно, если взломать аккаунт Google с использованием этого же метода, то и это не составит больших проблем.

    Время меняется, а SS7 — нет

    Система SS7 имеет большое количество недостатков в плане защищенности. Так, в системе отсутствуют всякое шифрование и проверка подлинности служебных сообщений. То есть система считает все сообщения подлинными и даже не пытается в этом усомниться.

    Ранее, когда только система начинала свое существование, это не являлось проблемой, так как сеть SS7 была замкнутой и в ней работали только фиксированные операторы. Сейчас практически любой человек может получить операторскую лицензию на черном рынке или в той стране, где эта процедура наиболее простая. Также есть и другие способы получить SS7-шлюз, что в очередной раз говорит об уязвимости системы, используемой для настройки большинства телефонных станций по всему миру.

    Наиболее важно то, что злоумышленнику не надо находиться рядом с абонентом, как в случае с поддельной базовой станцией, поэтому вычислить его практически невозможно.

    В целом примеров того, что может сделать злоумышленник благодаря уязвимостям сети, масса, начиная от прослушки звонков и чтения SMS-переписки, что было прерогативой спецслужб, и заканчивая взломом соцсетей.

    Согласно данным Positive Technology, входящие SMS-сообщения удавалось перехватить девять из десяти раз (89%). Несанкционированный запрос баланса также был возможен почти повсеместно (92% атак), а голосовые вызовы удавалось перехватить в половине случаев. Кроме этого, исследователям удавалось определить местоположение жертвы также в половине случаев.

    Согласно этим данным, у злоумышленников есть огромный простор для возможностей. Примерами мошеннических действий в сети SS7 могут служить перенаправление вызовов, перевод денежных средств со счета абонента, изменение профиля абонента.

    В 94% случаев исследователям удавалось перенаправлять входящий вызов, а исходящий — в 45%. Перевести деньги со счета получалось в 64% случаев.

    Отмечается, что главной проблемой SS7 является то, что отсутствует проверка реального местоположения абонента. Среди других причин также то, что в сети нет возможности проверить принадлежность абонента сети и отсутствие фильтрации неиспользуемых сигнальных сообщений. Все это говорит о том, что система нуждается в серьезной доработке, так как сейчас под угрозой находится огромное количество людей, которые даже не могут подозревать, что их прослушивают.

    Как себя обезопасить

    Для того чтобы немного себя обезопасить, в первую очередь не стоит «светить» своим номером телефона. Хакерам достаточно только этой информации, чтобы получить полный доступ не только к звонкам, переписке и средствам на счете, но также и к соцсетям.

    Также можно приобрести вторую сим-карту, номер которой регистрировать в социальных сетях. Опять же, это в меньшей степени обезопасит аккаунты, но позволит избежать прослушки, если основной номер будет в секрете.

    Операторы сотовой связи, включая Vodafone и Telefonica, стремятся закрыть уязвимости в протоколе. По словам эксперта по безопасности Карстена Ноля (Karsten Nohl), который оказывает помощь операторам, предотвратить 90% случаев мошенничества можно с помощью обычного файрвола со специальными правилами.

    Однако на данный момент пользователи остаются под угрозой, и даже двухэтапная авторизация оказалась не настолько эффективным методом защиты, ведь код для проверки отправляется именно на телефон.

    Но в случае с Telegram, к примеру, проверочный код приходит прямо в тот аккаунт, который был активирован в последний раз.

    Использование в качестве «второго рубежа» именно SMS-сообщений в некоторых случаях можно заменить другим способом: код может быть отправлен по почте, в виде голосового сообщения или же вообще с использованием отдельного устройства, считывающего биометрические данные — голос, сетчатку глаза, отпечаток пальца.

    В остальных же случаях о 100%-ной защите речи пока не идет.

    По материалам: «Газета.Ру»

    Создание сайтов качественно и в срок
    Статьи
    Акции
    Другие услуги
    Контакты
    Домен в подарок
    Хостинг в подарок
    CMS в подарок
    Скидка до 10%
    Услуги дизайнера
    Услуги копирайтера
    Услуги хостинга
    Поддержка сайта
    Москва и МО
    WWW.WEB-2010.RU
    +7 (495) 664-95-10
    info@web-2010.ru
    © 2024 г. Разработка и создание сайтов