В Министерстве связи и массовых коммуникаций РФ считают, что использование SMS для подтверждения подлинности пользователя является небезопасным для банков.

Об этом в начале октября сообщили российские СМИ со ссылкой на пресс-службу ведомства. Использование SMS для аутентификации несет существенные риски для безопасности, и необходимо использование других, более безопасных способов, таких как применение генераторов одноразовых паролей с дополнительной криптографической защитой, считают в ведомстве. Отмечалось, что соответствующие приложения и сервисы на данный момент реализованы как отечественными, так и зарубежными компаниями.

Онлайн-банки с помощью SMS-кода подтверждают вход пользователя и производимые операции. Утечка кода может означать, что злоумышленник войдёт в онлайн-банк под видом пользователя и произведёт операции от его имени. Например, выведет деньги со счетов пользователя. С данными банковской карты и SMS-кодом, злоумышленник может подтверждать покупки картой жертвы в интернет-магазинах. Этот риск относится и к облачным сервисам, которые используют SMS-коды. К злоумышленнику может попасть личная переписка в электронной почте или мессенджере, личные фотографии, учётная запись телефона, что особенно опасно в случае кражи.

Как правило, сотрудники банка и сотрудники оператора сотовой связи могут просматривать отправленные онлайн-банком SMS. Но утечка на данном этапе маловероятна, поскольку банки и операторы строго регламентируют уровни доступа к этой информации и следят, чтобы достаточные для злонамеренных действий данные не попадали в одни руки.

Радиоперехват GSM-канала тем более невероятен, поскольку это сверхтехнологичный подход и не позволяет адресно выбирать жертву. Чаще всего, SMS с кодом подтверждения уходит злоумышленнику через мобильное приложение, которому пользователь сам выдал доступ к просмотру SMS.

Нередко мошенники звонят жертве от имени сотрудников банка и, под внешне безобидными предлогами, выясняют код подтверждения.

В особых случаях, злоумышленник от имени жертвы обращается в отделение оператора связи с просьбой заменить SIM-карту. Процедура занимает несколько минут, SIM-карта в телефоне жертвы перестаёт действовать, вместо неё все звонки и SMS приходят на телефон мошенника. Эта схема требует подделки паспорта или сговора с сотрудником отделения.

Чтобы обезопасить себя необходимо следовать нехитрым правилам.

1. Если банк предоставляет другие способы получения кода подтверждения, переходите на них. Это может быть push-уведомление, код, генерируемый в мобильном приложении банка, или считывание QR-кода с экрана монитора. В этом случае код проходит в изолированном периметре сервисов банка и по зашифрованным каналам.
2. Читайте какие разрешения запрашивают приложения, которые вы устанавливаете на телефон. Если установили красивые обои или приложение-калькулятор, а оно запрашивает возможность просматривать SMS, то это повод задуматься.
3. Не храните пароли или данные банковских карт в открытом виде, ни на компьютере, ни на телефоне, ни в сообщениях самому себе. При всей осторожности и наличии антивирусов, остаётся угроза появления троянской программы. Используйте специальные приложения для хранения паролей.
4. Избегайте отправки отсканированного паспорта, файл легко перехватить и сделать по нему подделку. Если это неизбежно, не сканируйте паспорт, а сфотографируйте его с плохим ракурсом и сложным освещением.
5. Попросите пожилых родственников не сообщать никаких данных звонящим по телефону сотрудникам банков. Даже если они очень милы и настойчивы. Попросите в таких ситуациях звонить вам.

директор Startpack.ru

Алексей Фёдоров

специально для TatCenter.ru*

*Мнение редакции может не совпадать с мнением автора