Kodėl SMS dviejų veiksnių autentifikavimas nebeužtikrina saugumo?

Ilgą laiką dviejų veiksnių autentifikavimas SMS žinutėmis buvo laikomas auksiniu papildomo paskyrų saugumo standartu. Prisijungiantiems prie el. bankininkystės ar socialinių tinklų atrodė visiškai pakankama gauti trumpąjį kodą į savo telefoną. Tačiau kibernetinių grėsmių pasaulis sparčiai keičiasi, ir šiandien saugumo ekspertai vienbalsiai įspėja: SMS dviejų veiksnių autentifikavimas nebeužtikrina reikiamos apsaugos ir gali tapti lengvu taikiniu įsilaužėliams.

Didžiausios SMS saugumo skylės: SIM keitimas ir SS7 rizikos

Pagrindinė priežastis, kodėl SMS dviejų veiksnių autentifikavimas tapo rizikingas, yra pačio mobiliojo ryšio tinklo pažeidžiamumas. Nusikaltėliai vis dažniau naudoja socialinės inžinerijos taktiką, vadinamą „SIM-swapping“ (SIM kortelės duomenų klastojimu). Apgaudami ryšio operatoriaus klientų aptarnavimo specialistus, jie perkelia aukos telefono numerį į savo SIM kortelę ir akimirksniu gauna prieigą prie visų gaunamų žinučių.

Išpuolio metu auka net neįtaria praradusi ryšį, o įsilaužėliai tuo metu jau tvarko perimtus prisijungimo kodus.

Be to, senstelėjęs SS7 protokolas, naudojamas tarptautiniam mobiliojo ryšio srautui nukreipti, turi esminių saugumo spragų. Įgudę hakeriai gali pasinaudoti šiais kanalo trūkumais ir perimti SMS pranešimus tiesiog iš oro tarpinės stoties, net nepajudindami paties vartotojo telefono.

Moderneisni ir patikimesni autentifikavimo būdai

Norint apsaugoti savo skaitmeninę tapatybę, verta atsisakyti pasenusių tekstinių žinučių ir rinktis pažangesnius sprendimus, kurie nepriklauso nuo mobiliojo ryšio operatorių:

• Programėlės-autentifikatoriai: Įrankiai, tokie kaip „Google Authenticator“, „Microsoft Authenticator“ ar „Authy“, generuoja unikalius vienkartinius kodus pačiame įrenginyje. Šiems kodams gauti nereikia ryšio signalo, todėl jų neįmanoma perimti tinkle.
• Aparatiniai saugumo raktai: Tai fiziniai USB arba NFC rakteliai (pavyzdžiui, „YubiKey“). Tai pats saugiausias būdas, visiškai apsaugantis net nuo fišingo (phishing) atakų, nes prisijungimas patvirtinamas paspaudus fizinį mygtuką.

Perėjimas prie saugesnių alternatyvų nereikalauja didelių pastangų, tačiau iš esmės sumažina riziką prarasti svarbius duomenis. Įvertinkite savo naudojamas paslaugas jau šiandien ir pakeiskite nustatymus, kad SMS dviejų veiksnių autentifikavimas nebebūtų jūsų pagrindinė apsaugos grandis.

Ar jūs vis dar naudojate SMS žinutes paskyrų apsaugai, ar jau perėjote prie autentifikavimo programėlių? Pasidalinkite savo patirtimi komentaruose!