Более миллиона кодов двухфакторной аутентификации (2FA), отправленных через SMS по всему миру, были перехвачены анонимным исследователем в сфере информационной безопасности. Источник сообщил об этом Bloomberg, чтобы продемонстрировать уязвимость широко используемого метода защиты аккаунтов.
По данным, которые оказались в распоряжении издания, коды 2FA проходили через швейцарскую компанию Fink Telecom Services. Эта компания и её основатель связаны с правительственными разведывательными органами и компаниями, занимающимися цифровым мониторингом.
Инсайдер передал Bloomberg и исследовательской группе Lighthouse Reports более миллиона перехваченных кодов, отправленных в июне 2023 года. Источник не уточнил, как ему удалось получить эти данные, однако предполагается, что перехват был возможен из-за уязвимостей в безопасности Fink Telecom Services и протоколе передачи SMS-сообщений.
Коды двухфакторной аутентификации обычно используются для защиты аккаунтов пользователей, даже если их логины и пароли становятся известными. Когда включена 2FA, после ввода пароля требуется ввести одноразовый код, который генерируется специальным приложением или отправляется на мобильный номер пользователя по SMS.
Проблема заключается в том, что SMS-сообщения передаются в незашифрованном виде, что позволяет их перехватить в телекоммуникационной сети.
Среди компаний, чьи коды были перехвачены, — Google, Meta (в России признана экстремистской), Amazon, несколько европейских банков, а также такие популярные приложения, как Tinder, Snapchat, криптовалютная биржа Binance и мессенджеры Signal и WhatsApp. Эти SMS-коды были направлены пользователям в более чем 100 странах на пяти континентах.
Источник: Gazeta.ru