Wszyscy znamy ten algorytm działania z technologią. Sprzedajesz swojego starego iPhone’a lub Androida, resetujesz go do ustawień fabrycznych, usuwasz konto iCloud lub Google i przenosisz urządzenie. To logiczne. To bezpieczne. Ale prawdziwa strefa zagrożenia nie znajduje się w samym urządzeniu. Jest w numerze telefonu z nim powiązanym.
Kiedy zmieniasz operatora lub anulujesz taryfę, Twój stary numer nie tylko znika w cyfrowym eterze. Operatorzy nie lubią marnotrawstwa. Poddają je recyklingowi. Twój stary numer może zostać przydzielony obcej osobie w ciągu kilku miesięcy.
To nie tylko niedogodności związane z prywatnością. Jest to potencjalny wyciek bezpieczeństwa.
Jeśli nie wyczyścisz danych przed przeniesieniem numeru, nowy właściciel będzie mógł nie tylko do Ciebie zadzwonić. Uzyska dostęp. Do Twoich aplikacji bankowych. Do sieci społecznościowych. Na Twój e-mail. Wszystko to dzięki funkcji „zapomniałem hasła”.
Jak ponowne wykorzystanie numerów prowadzi do wycieku danych
Większość ludzi używa numeru telefonu komórkowego jako głównego klucza do swojej cyfrowej tożsamości. Uwierzytelnianie dwuskładnikowe (2FA) opiera się na kodach SMS. Odzyskiwanie konta często domyślnie polega na weryfikacji telefonicznej.
Dopóki używasz tego samego numeru, wszystko jest w porządku. Kiedy to zmieniasz, tworzysz lukę.
Jeśli zapomnisz zaktualizować swoje dane kontaktowe we wszystkich usługach, z których korzystasz, połączenie pozostanie. Operator aktywuje numer. Nowy właściciel otrzyma Twoje kody weryfikacyjne. Resetuje Twoje hasła. Do systemu wchodzi bez żadnych problemów.
To nie jest teoria. To zdarza się codziennie.
Przeciętny użytkownik ma dziesiątki kont powiązanych ze swoim numerem telefonu. Banki. E-mail. Media społecznościowe. Witryny handlowe. Posłańcy. Jeśli zmienisz numer i zmodernizujesz tylko połowę z nich, druga połowa będzie dostępna dla każdego, kto kupi ten przeprojektowany numer.
Dlaczego uwierzytelnianie dwuskładnikowe SMS-em nie jest już bezpieczne
Uwierzytelnianie dwuskładnikowe miało być złotym standardem bezpieczeństwa. Ale SMS ma fundamentalną wadę. Jest podatny na podmianę karty SIM, podczas której atakujący przekonują operatorów do przeniesienia numeru na ich kartę SIM. Odbierają wszystkie Twoje wiadomości tekstowe. Dostają wszystkie kody.
Ale nawet bez włamań problem ponownego wykorzystania numerów sam w sobie sprawia, że SMS-2FA jest ryzykowny.
Po ponownym przypisaniu numeru nowy właściciel otrzyma wszystkie SMS-y przeznaczone dla Ciebie. Może resetować hasła. Może Cię zablokować. Albo, co gorsza, może podszywać się pod Ciebie.
Dlatego eksperci przechodzą na aplikacje uwierzytelniające lub klucze sprzętowe. Nie zależą one od samego numeru telefonu. Polegają na wspólnym tajnym lub urządzeniu fizycznym. Jeśli zmienisz telefon lub numer, po prostu przeniesiesz aplikację lub klucz. Liczba staje się nieważna.
Co musisz zrobić przed zmianą numeru
Zmiana numeru to nie tylko zakup nowej karty SIM. To jest migracja cyfrowa.
Zacznij od kont krytycznych. Banki. E-mail. Główne sieci społecznościowe. Najpierw je zaktualizuj. Używaj silnych i unikalnych haseł. Włącz aplikacje uwierzytelniające, jeśli to możliwe. Jeśli możesz, zrezygnuj z uwierzytelniania dwuskładnikowego SMS-em.
Następnie zajmij się mniej istotnymi usługami. Witryny handlowe. Platformy streamingowe. Rachunki za media. Często są pomijane. Często są też mniej chronieni.
Na koniec powiadom swoje kontakty. Powiedz im swój nowy numer. Poproś ich o zablokowanie starego. Zapobiegnie to inżynierii społecznej. Dzięki temu oszuści nie będą wykorzystywać Twojego starego numeru do oszukiwania znajomych.
Nie zakładaj, że operator się tym zajmie. Nie zrobi tego. Po prostu przetwarza zasób. Powinieneś
Cichy wyciek przy zmianie numeru
Twój telefon nie jest już tylko słuchawką. To Twój portfel, Twoja tożsamość i Twój cyfrowy pamiętnik. Ponieważ ponad połowa Niemców ma obecnie smartfony, to jedno urządzenie obsługuje wszystko, od bankowości po podstawowe czaty. Za tą wygodą kryje się jednak ukryty koszt. Wiele aplikacji łączy Twoje istnienie z numerem telefonu. Używasz go do logowania. Używasz go do weryfikacji. A kiedy ta liczba się zmienia, połączenia nie zawsze są zrywane.
Tworzy to niebezpieczną lukę.
Kiedy anulujesz kartę SIM, internetowy system TAN Twojego banku może w dalszym ciągu wysyłać żądania na stary numer. Twoje profile w mediach społecznościowych mogą pozostać z nim powiązane. WhatsApp, być może najbardziej krytyczny przykład, wiąże Twoją tożsamość z tym cyfrowym ciągiem znaków. Jeśli nie przerwiesz ręcznie tych połączeń, nie tylko stracisz dostęp. Oddajesz klucze w obce ręce.
Problem z koszem na śmieci
Operatorzy komórkowi mają standardową procedurę w przypadku martwych numerów. Nie pozwalają im tak po prostu zniknąć w pustce. Poddają je recyklingowi.
Terminy są różne. Niektórzy dostawcy utrzymują numer w zawieszeniu przez ponad sześć miesięcy. Inni, chcąc utrzymać rotację zapasów, przenoszą je już po 30 dniach. Minął niecały miesiąc ciszy, zanim nowy właściciel usłyszy sygnały dźwiękowe.
To tykający zegar dla poprzedniego właściciela.
Jeśli Twoje konto Messenger pozostanie powiązane z tym przeprojektowanym numerem, dostęp uzyska nowy właściciel. Nie tylko do tekstów. Przejdź do historii czatów. Do zapisanych obrazów. Do Twojej listy kontaktów. To nie jest hack. To jest pominięcie.
Reset telefonu do ustawień fabrycznych nic tu nie daje. Usunięcie aplikacji nic nie daje. Dane znajdują się na serwerze i są powiązane z numerem telefonu, a nie z urządzeniem.
„Ci, którzy nie aktualizują swojego numeru telefonu, niechcący udostępniają właścicielowi nowego numeru wrażliwe dane, takie jak dzienniki rozmów, zdjęcia i kontakty”.
— Arnd Schröder, dyrektor generalny TopTarif
Ryzyko nie jest teoretyczne. To strukturalne. Aplikacja nie wie, że się przeprowadziłeś. Zna tylko numer. A teraz ten numer należy do kogoś innego.
Obwód otwarty
Jak więc się zabezpieczyć, gdy życie zmusza Cię do zmiany numeru? Odpowiedź wymaga działania, zanim karta SIM straci sygnał.
Najpierw zmień numer we wszystkich aplikacjach, których to dotyczy. Zrób to, gdy nadal masz dostęp do starej linii, ponieważ większość usług wymaga weryfikacji SMS-em w celu potwierdzenia zmiany.
- Aplikacje bankowe : Natychmiast zaktualizuj swoje dane kontaktowe. Niewykorzystany kod może uniemożliwić Ci dostęp do własnych pieniędzy.
- Posłańcy : WhatsApp, Signal, Telegram. Przenieś swoje konto. Jeśli to możliwe, przenieś czaty. Niech stary numer ostygnie.
- Sieci społecznościowe : Facebook, Instagram, LinkedIn. Odłącz numer telefonu lub zastąp go nowym.
- Uwierzytelnianie dwuskładnikowe : To najważniejsza rzecz. Każda usługa korzystająca z SMS-ów w ramach 2FA wymaga aktualizacji. Google, Apple ID, Microsoft. Jeśli pominiesz ten krok, trafisz do drzwi z zepsutym zamkiem.
To męczące. To denerwujące. Ale to jedyny sposób, aby mieć pewność, że Twoja cyfrowa przeszłość nie stanie się teraźniejszością kogoś innego.
Problem występuje nadal, ponieważ użytkownicy postrzegają numery telefonów jako identyfikatory statyczne. Nie są. Są to aktywa będące przedmiotem leasingu. A po wygaśnięciu umowy najmu dane nie znikają. Oni czekają.
Dla
Luka w zabezpieczeniach umożliwiająca zmianę karty SIM i ponowne użycie numeru
Problem z łączeniem numerów telefonów to nie tylko błąd; jest to wada strukturalna, której wiele aplikacji nie koryguje prawidłowo. Na przykład WhatsApp ma wbudowane mechanizmy bezpieczeństwa. Jeśli dezaktywujesz swoje konto na dłużej niż 45 dni, a następnie aktywujesz je ponownie na nowym urządzeniu o tym samym numerze, stare dane zostaną całkowicie usunięte. To jest twardy reset. Ale jeśli wrócisz w ciągu tego 45-dniowego okna? Profil poprzedniego właściciela, a także jego historia czatów i dane osobowe pozostają widoczne dla każdego, kto otrzyma ten przeprojektowany numer. Nie tylko dziedziczysz linię telefoniczną; dziedziczysz cyfrowego ducha.
Dlaczego numery telefonów są niebezpieczną metodą tworzenia kopii zapasowych
Wiele serwisów, w tym Facebook, zaleca użytkownikom powiązanie swoich numerów telefonów komórkowych w ramach zapasowej metody bezpieczeństwa. Logika wydaje się rozsądna: jeśli zapomnisz hasła, możesz poprosić o kod SMS, aby je zresetować. Jest to szybsze niż sprawdzanie przez e-mail. To wygodne.
To także ryzykowne.
Kiedy zgubisz telefon lub zmienisz operatora, rzadko myślisz o aktualizacji połączonych kont. Zakładasz, że numer należy teraz do Ciebie. Ale to nieprawda. Dostawcy telekomunikacyjni ponownie wykorzystują numery. Osoba kupująca używaną kartę SIM lub nową linię może zostać poproszony o zresetowanie hasła przeznaczonego dla poprzedniego właściciela. Jeśli osoba ta nie zauważy wiadomości SMS, atakujący będzie mógł zresetować hasło, zablokować prawdziwego właściciela i łatwo zalogować się do konta.
Nie jest to teoretyczna możliwość. Przechwycenie konta za pośrednictwem wiadomości SMS jest głównym wektorem ataku oszustów. Ich celem są konta o dużej wartości, w których numer telefonu pełni rolę klucza. Łącząc swój numer ze wszystkimi używanymi aplikacjami, tworzysz pojedynczy punkt awarii. Jeśli ten numer zmieni właściciela, Twoja tożsamość cyfrowa będzie zagrożona.
Ochrona Twojej tożsamości
Rozwiązanie wymaga czujności. Traktuj swój numer telefonu jak numer karty kredytowej. Jeśli go zgubiłeś, anuluj go. Jeśli zmienisz operatora, zaktualizuj swoje dane we wszystkich bankach, platformach społecznościowych i komunikatorach internetowych. Nie polegaj na domyślnych ustawieniach aplikacji. Nie zakładaj, że kod SMS jest bezpieczny. Jeśli to możliwe, używaj aplikacji uwierzytelniających lub kluczy sprzętowych. Wygoda SMS-ów to kompromis w stronę bezpieczeństwa. Czy warto ryzykować? Dla większości ludzi odpowiedź powinna brzmieć nie.
