Эксперты лаборатории кибербезопасности Servicepipe выявили новую, крайне хитрую схему взлома аккаунтов, которая обходит даже двухфакторную аутентификацию с SMS-кодами.
Как это работает?
Преступники используют автоматические программы (боты), которые действуют в два этапа:
- SMS-бомбинг: Бот многократно запрашивает SMS с кодом подтверждения для входа в ваш аккаунт.
- Автоматический подбор кода: одновременно с этим бот начинает "перебирать" возможные комбинации цифр, пытаясь угадать код.
Эта схема была замечена при попытке взлома аккаунта клиента Servicepipe. Специалисты увидели одновременный поток SMS-сообщений и многочисленные попытки ввода кодов.
Почему это опасно?
Если мошенникам удается подобрать код, они получают полный доступ к вашему аккаунту, где хранится ценная информация: личные данные, платежные реквизиты, история покупок и переписки.
Особенно уязвимы сервисы, где коды короткие и допускают многократные попытки ввода. В зоне риска: банковские приложения, маркетплейсы, приложения такси, доставки и каршеринга.
Что могут сделать сервисы? Эксперты отмечают, что для защиты от таких атак сервисам необходимо:
- Увеличивать длину кодов: чем длиннее код, тем сложнее его подобрать.
- Ограничивать количество попыток ввода: после нескольких неудачных попыток доступ к аккаунту должен временно блокироваться.
- Внедрять защиту от ботов: специальные системы, способные распознавать и блокировать автоматическую активность.
- Что можете сделать вы уже сейчас?
Самый надежный способ обезопасить себя – по возможности отказаться от использования SMS-кодов для подтверждения входа. Вместо этого выбирайте более безопасные методы:
- Пуш-уведомления: Подтверждение входа через уведомление на вашем смартфоне.
- Специальные приложения для аутентификации: например, Google Authenticator или Authy, которые генерируют временные коды.
Будьте бдительны и выбирайте самые надежные способы защиты своих аккаунтов!
