حمله 16 دلاری نشان می دهد اپراتورها به راحتی می توانند پیام های متنی را رهگیری کنند


یک هکر که مقابل دو صفحه کامپیوتر نشسته و یک گوشی هوشمند را در دست دارد.

جوزف کاکس معاون گزارشگر در مقاله جدید خود با عنوان “هکر تمام متن های من را با 16 دلار دریافت” ، به طور مفصل توضیح داد که چگونه هکر کلاه سفید ، کارمند یک فروشنده سیستم امنیتی ، موفق شد کلیه پیام های متنی خود را هدایت کند و سپس به صورت آنلاین هک کند. حسابهایی که به متون احراز هویت متکی هستند.

کاکس نوشت: این کلاهبرداری در سیم کارت نبوده است که “هکرها کارمندان مخابرات را فریب داده یا رشوه می دادند تا شماره تلفن هدف را به سیم کارت خود منتقل کنند.” در عوض ، هکر از سرویسی به نام ساکاری استفاده می کند که به بازاریابی پیامکی و پیام رسانی انبوه کمک می کند تا پیام های من را به سمت خود هدایت کند. »

این روش T-Mobile را فریب داده تا پیام های متنی Cox را به روشی هدایت کند که شاید برای کاربر بی خبر به راحتی قابل مشاهده نبوده است. کاکس نوشت: “بر خلاف جک سیم کارت ، که قربانی تمام خدمات تلفن همراه خود را از دست می دهد ، تلفن من عادی به نظر می رسید.” “مگر من هرگز پیامهایی را که برای من در نظر گرفته شده دریافت نکردم ، اما او آن را دریافت کرده است.”

هکر ناشناس مدیر اطلاعات در Okey Systems ، یک ارائه دهنده امنیت است. “من برای خرید از کارت اعتباری استفاده کردم [Sakari’s] طرحی با قیمت 16 دلار در ماه و پس از آن ، پس از انجام آن ، به من اجازه داد كه فقط با پر كردن اطلاعات LOA با اطلاعات غلط ، شماره را بدزدم ، “یك كارمند Okey از كاكس گفت.” کاکس نوشت: LOA “نامه ای از مجوز است ، سندی که می گوید امضا کننده حق تغییر شماره تلفن ها را دارد”.

“چند دقیقه بعد از اینکه آنها شماره T-Mobile من را در ساکاری وارد کردند ، [the hacker] “کاکس نوشت:” من شروع به دریافت پیام های متنی کردم که برای من مناسب بود. از طرف ساکاری تماس یا پیامکی دریافت نکردم که از من بخواهد تأیید کنم که شماره من توسط سرویس آنها استفاده می شود. من فقط دریافت متن را متوقف کردم. “

در این مقاله آمده است: “پس از دستیابی به پیام های كاكس ،” هكر درخواست ورود به سیستم را برای Bumble ، WhatsApp و Postmates ارسال كرده و به راحتی به حساب ها دسترسی پیدا كرده است.

“در مورد اینکه چگونه ساکاری از این توانایی برای انتقال شماره تلفن برخوردار است ، [researcher Karsten] کاخ نوشت: Nohl of Security Research Labs: “هیچ پروتکل جهانی استانداردی برای ارسال پیام های متنی به اشخاص ثالث وجود ندارد ، بنابراین این حملات به توافقات فردی با مراکز مخابراتی یا پیامکی متکی خواهد بود.”

در حالی که کاکس یک کاربر T-Mobile بود ، هکر به او گفت که “شرکت مخابراتی اهمیتی ندارد … در واقع غرب وحشی است.”

CTIA: شرکت های هواپیمایی در حال حاضر “اقدامات احتیاطی” را انجام می دهند

Okey ابزاری را برای نظارت بر تغییرات مخرب در سرویس تلفن همراه کاربر ارائه می دهد. این شرکت گفت: “برای بتا رایگان ما ثبت نام کنید و ما ارتباطات خارج از باند مانند مسیرهای شما و تنظیمات اپراتور را رصد خواهیم کرد. در صورت بروز یک رویداد مخرب ، ما از طریق فرم های جایگزین ارتباط مطمئن به شما هشدار خواهیم داد.”

خود حامل ها ممکن است در آینده جلوی این نوع حمله را بگیرند. T-Mobile ، Verizon و AT&T Cox را به CTIA ، انجمن صنفی نمایندگی بهترین اپراتورهای تلفن همراه هدایت کرده اند. CTIA به کاکس گفت:

هنگامی که از این تهدید بالقوه آگاه شدیم ، تلاش کردیم بلافاصله آن را بررسی کرده و اقدامات احتیاطی را انجام دهیم. از آن زمان تاکنون ، هیچ شرکت حامل قادر به تولید مثل آن نبوده است. ما هیچ نشانی از فعالیت مخرب مرتبط با تهدید احتمالی یا اینکه مشتریان تحت تأثیر قرار گرفته اند نداریم. محرمانه بودن و ایمنی مصرف کننده از اولویت های اصلی ما است و ما به بررسی این موضوع ادامه خواهیم داد.

در این بیانیه دقیقاً گفته نشده که شرکت های حامل چه اقدامات احتیاطی برای جلوگیری از حمله انجام داده اند. ما امروز با T-Mobile و CTIA تماس گرفتیم و در صورت دریافت اطلاعات بیشتر ، این مقاله را به روز می کنیم.

ساکاری همچنین ظاهراً امنیت را بهبود بخشیده است. بنیانگذار ساكاری ، آدام هورسمن ، به كاكس گفت كه ساكاری ، پس از اطلاع از حمله ، “در حال به روز كردن روند پیام رسانی ما برای گرفتن این مسئله در آینده است” و “ویژگی امنیتی را اضافه می كند كه به یك شماره تماس خودكار را می دهد كه به کاربر احتیاج دارد برای تأیید موافقت با انتقال این شماره ، یک کد امنیتی برای شرکت ارسال کنید. “

امروز ما درمورد امنیت و ادغام ساکاری با T-Mobile تماس گرفتیم و در صورت دریافت پاسخ این مقاله را به روز می کنیم. در حالی که ساکاری در این پرونده درگیر بود ، ممکن است سایر شرکت های شخص ثالث نیز با شرکت های مخابراتی ادغام شوند که مشتریان حمل و نقل را برای حملات باز می کنند. شرکت های مخابراتی باید بیشتر مراقب باشند و به تأمین کنندگان شخص ثالث امکان ارسال پیام های متنی را دهند.

به روز شده در ساعت 2:48 بعد از ظهر EDT: ساكاری با بیانیه ای به ارس پاسخ داد: “ما قبلاً این خلاole را در صنعت ساكاری برطرف كرده ایم و سایر ارائه دهندگان و ارائه دهندگان پیامك نیز باید چنین كاری را انجام دهند. وقتی شماره تلفن همراه را به عنوان مشتری كه اپراتور را تغییر می دهد به ایالات متحده حمل می كنید برای تماس های صوتی ، شرکت مخابراتی که از آن خارج می شوید اجازه خروج شماره شما را می دهد. چنین استاندارد صنعتی برای انتقال مالکیت پیام های شماره تلفن همراه وجود ندارد. ساکاری اکنون فراتر رفته و از استانداردهای صنعت برای بررسی مشتریان جدید فراتر رفته و از دستورالعمل های اپراتور ما پیروی می کند با توجه به این توسعه ، ما اکنون یک تماس تأیید تلفنی به تمام شماره های متن فعال شده جدید اضافه کرده ایم تا هیچ کس نتواند از ساکاری برای استفاده مجدد از این روزنه در صنعت استفاده کند. SMS یک رسانه ارتباطی بسیار قدرتمند است و همچنان بر ارتباطات تسلط دارد چشم انداز ، ما از پیشرفت های مورد نیاز صنعت ، هم حامل ها و هم توزیع کنندگان استقبال خواهیم کرد. “

داستان کاکس اولین یادآور عدم قطعیت پیام های متنی نیست. حملات و کاستی های تغییر سیم کارت ها در پروتکل های تلفن SS7 باعث شده استفاده از پیام های متنی برای احراز هویت مخاطره آمیز باشد ، اما بسیاری از وب سایت ها و سایر سرویس های آنلاین هنوز به متون احراز هویت کاربر اعتماد می کنند. مشتریان می توانند پین ها را برای حساب های T-Mobile و سایر اپراتورها تنظیم کنند تا از دسترسی غیر مجاز به حساب های تلفن همراه خود جلوگیری کنند ، اما مشخص نیست که آیا این از نوع حمله ای که پیام های متنی Cox را هدایت می کند جلوگیری می کند.


منبع: tarjome-news.ir

Leave a reply

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>