Novi izvJeštaj pokazuje da je oko milion kodova za dvofaktorsku autentifikaciju (2FA), koji su poslati putem SMS poruka, vJerovatno presretnuto.

Foto: Ilustracija/ Pexels

Dojavljivač iz tehnološke industrije otkrio je da su 2FA sigurnosni kodovi prolazili kroz nepoznatu stranu kompaniju, povezanu sa državnim obavještajnim agencijama i firmama koje se bave digitalnim nadzorom…

Kodovi za dvofaktorsku autentifikaciju služe da zaštite vaše naloge čak i ako su hakeri došli do vaših podataka za prijavu. Ako imate uključenu 2FA zaštitu, nakon unosa lozinke, biće vam zatražen šesto-cifreni kod kako biste potvrdili svoj identitet.

Taj kod može da se generiše putem autentifikacione aplikacije koja generiše privremene kodove povezane sa vašim nalogom, ili može biti poslat putem SMS poruke na vaš registrovani broj telefona.

Problem sa SMS opcijom je u tome što komunikacija putem SMS-a nije enkriptovana, pa su ti kodovi ranjivi na presretanje u okviru telekomunikacione mreže.

Dojavljivač je istupio u javnost i prijavio program presretanja, dostavivši Blumbergu dokaze koji potkrepljuju te tvrdnje.

On je dostavio poverljive podatke iz telekom mreža u vezi sa oko milion poruka koje su prenosile 2FA kodove tokom juna 2023. godine. Svaka od tih poruka prošla je kroz ruke nepoznate švajcarske firme po imenu Fink Telecom Services. Kompanija i njen osnivač sarađivali su sa obavještajnim agencijama i firmama koje se bave nadzorom mobilnih telefona i praćenjem lokacije korisnika.

Među pošiljaocima su bili Google, Meta, Amazon, nekoliko evropskih banaka, popularne aplikacije poput Tindera i Snapchata, kripto-berza Binance i platforme za enkriptovanu komunikaciju poput Signala i WhatsApp-a. Ciljani primaoci nalazili su se u više od 100 zemalja na pet kontinenata.

To znači da je haker – uključujući i državne agencije – koji ima pristup vašem korisničkom imenu i lozinci, mogao uspješno da se prijavi na vaše naloge čak i kada je 2FA bio uključen.

Finansijski direktor kompanije Fink tvrdi da firma sada samo pruža "usluge rutiranja" i da "više ne radi u nadzoru". Ipak, bezbjednosni stručnjaci povezuju Fink sa slučajevima u kojima su 2FA kodovi, poslati putem SMS-a, korišćeni za upade u naloge.

Ovo je još jedan primjer zašto bi uvijek trebalo da koristite aplikaciju za autentifikaciju umjesto SMS poruka za 2FA kodove. Još bezbjednija opcija su "passkeys", gdje se koristi Face ID ili Touch ID za lokalnu potvrdu identiteta, a lozinka se uopšte ne šalje sajtu ili aplikaciji.