A banktól kapott SMS sincs biztonságban

A WannaCry árnyékában a világ megfeledkezett egy hasonlóan komoly biztonsági résről, mely a mobilcégek SMS szolgáltatásait érinti. A sérülékenység segítségével a banki azonosító kódokat tartalmazó SMS üzeneteket sikerült más telefonszámra átirányítani, és így a bűnözők pénzt tudtak lopni német bankszámlákról. A biztonsági rést már 2014-ben felfedezték, de idén használták először.

A Süddeutsche Zeitung cikke szerint a sérülékenységet kihasználó bűnözőknek sikerült olyan SMS üzeneteket átirányítani a saját készülékeikre, melyek a banki azonosításhoz használt, egyszer használatos kódokat tartalmazták. A megszerzett kódokat a bűnözők különböző összegek átutalására használták fel – éjjel, mikor a célszemélyek aludtak.

Mindehhez a támadóknak ismerniük kellett a kiszemelt célszemély banki adatait, mobilszámát, és hozzá kellett férniük az SS7 protokollhoz. A banki adatokat, mobilszámot adathalász támadással szerezték meg. Az SS7 protokollhoz való hozzáférést pedig egyszerűen megvásárolták, kevesebb mint ezer euróért a német O2 Telefonica egyik meg nem nevezett külföldi partnerétől. Így képesek voltak kedvükre hívásokat és SMS-eket átirányítani.

Így támadnak a kiberbűnözők
A hackerkedés roppant kompetitív aréna. Gőzerővel folyik az eltulajdonított tartalmak adásvétele, a net fekete zónájában bitcoinnal fizetnek értük. A vállalatok gyakran nem is tudják, hogy pontosan mit loptak el tőlük. Amikor bejelentik az incidenst, rendszerint annyit tudnak csak közölni, hogy potenciálisan hány millió bankkártyát és fogyasztót érinthetett a kiberbetörés.
Középkorú technológia a középpontban

Az SS7, vagyis Signaling System #7 egy telefonos protokollt takar, melyet 1975-ben fejlesztettek ki, és amit azóta világszerte több mint 800 vezetékes és mobil távközlési szolgáltató használ. A protokoll szabályozza a hívástovábbítást, a számlázást, a szöveges üzenetek küldését. Segítségével állapítják meg, hogy egy SIM kártya még mindig használatban van, vagy sem. Lehetővé teszi a számok hordozását, hogy a szolgáltatók egy mobiltelefon földrajzi helyzetét bemérjék 50 méteres pontossággal. Erre nem azért van szükség, mert kémkedni szeretnének utánunk, hanem azért, hogy a szolgáltató az egyik adótoronyból a másiknak adja át a hívást. E nélkül az autós mobilhívás megszakadna, miután az eredeti kapcsolatot létrehozó adótorony hatósugarából kikerülünk.

A kihasználható sérülékenységet 2014-ben két német kutató, Tobias Engel és Karsten Nohl publikálta, előtte állítólag a titkosszolgálat használta a célszemélyek tartózkodásának megállapítására. Az egyik kutató, Karsten Nohl 2016-ban bebizonyította, hogy egy jól felszerelt támadó belehallgathat a telefonbeszélgetésekbe, és meghatározhatja a felhasználó földrajzi helyzetét. Az akkori következtetések szerint egy átlagos embernek nincs miért tartania a támadástól. Azonban tavaly az Amerikai Egyesült Államok szabványügyi hivatala már azt javasolta, hogy az SMS alapú, kétfaktoros azonosítást ki kellene vezetni.

Kép: Pexels

Mivel az SS7 protokollt 42 éve dolgozták ki, az akkori szabványok és élet szerint biztonságos technológiáról beszélhetünk. A kidolgozói nem tudhatták, hogy évtizedekkel később egy olyan technológia, melyet internetnek nevezünk, életünk minden részét átitatja. Az SS7 biztonsága azon az előfeltételezésen alapult, hogy a technológia csak a távközlési szolgáltatók számára elérhető, és nem fér hozzá a nagyközönség.

Hogyan tudunk ellene védekezni?

A német vírusvédelemi cég, a G DATA szakemberi arra hívják fel a figyelmet, hogy az SMS üzenetekben kiküldött kódok helyett a bankoknak más módszert kellene használniuk a kétlépcsős azonosításra. A szakemberek a hardveres biztonsági tokenek, vagy a Google Authenticatorhoz hasonló mobilalkalmazások bevezetését javasolják. Addig is a távközlési vállalatok felelőssége az SS7-ről más, biztonságosabb protokollokra áttérni.

 

Véleményvezér

Lázár János hatalmas öngólja, a betiltott vonatinfó helyére egyre újabb verziók születnek

Lázár János hatalmas öngólja, a betiltott vonatinfó helyére egyre újabb verziók születnek 

A betiltás a digitális világban immár mulatság tárgya.
Semmi nem fog Magyar Péteren

Semmi nem fog Magyar Péteren 

Ezúttal komoly kihívóra lelt Orbán Viktor.
Ha valaki féláron szeretne friss gyümölcsöt csak Bécsbe kell kiugrania

Ha valaki féláron szeretne friss gyümölcsöt csak Bécsbe kell kiugrania 

Hol van már Magyarország egykori olcsósága.
A fideszes oligarcháknak már annyi pénzük van, hogy lebegő luxusvillára is jut Tihanyban

A fideszes oligarcháknak már annyi pénzük van, hogy lebegő luxusvillára is jut Tihanyban 

A luxizás magyar császára nagyot villantott.
Gázra lépett a MÁV, pontosság és tisztaság helyett propaganda

Gázra lépett a MÁV, pontosság és tisztaság helyett propaganda 

A MÁV biztosítja a késést, a sző valódi és átvitt értelmében egyaránt.
Újabb furfangot eszelt ki a kormány a szabad sajtó betiltására Hadházy Ákos szerint

Újabb furfangot eszelt ki a kormány a szabad sajtó betiltására Hadházy Ákos szerint 

Csökken a normativitása a magyar társadalomnak.


Magyar Brands, Superbrands, Bisnode, Zero CO2 logo