Выявлен новый способ взлома двухфакторной аутентификации

3 июля. FINMARKET.RU - Лаборатория кибербезопасности Servicepipe выявила новый способ атаки, позволяющий обходить механизмы двухфакторной аутентификации для входа в различные аккаунты по одноразовому коду (OTP) из sms, рассказал "Ведомостям" ее представитель. Таким образом злоумышленники могут получить доступ к чувствительным персональным данным пользователя, в том числе к платежной информации, указал он.

Servicepipe обнаружила новый способ во время одной из отраженных атак типа sms-бомбинга (массовых запросов на отправку кодов, изначально направленных на увеличение расходов сервисов) на одного из клиентов, чье название не раскрывает.

В ходе анализа атаки в лаборатории специалисты Servicepipe обнаружили, что при незначительной модификации логики автоматизированные боты способны не просто генерировать sms-нагрузку, но и получать через подбор код для авторизации. Специалисты выявили, что множественная отправка кодов из sms и тем самым нанесение прямого финансового ущерба атакуемой организации (она платит за sms) - это лишь следствие sms-бомбинга злоумышленников. Истинная цель новой атаки ботов - подобрать значения коротких ОТР и войти в аккаунты, поясняет представитель лаборатории.

При использовании коротких OTP-кодов и недостаточных защитных механизмах вероятность успеха существенно возрастает, отмечает он. Это компрометирует привычную и массово используемую схему входа по номеру телефона и sms-коду. То есть речь идет не только о финансовых потерях бизнеса на sms-рассылках, но и о фундаментальном риске для безопасности пользовательских данных, констатирует он.

Проблема носит системный характер и затрагивает широкий класс сервисов, полагающихся на OTP как основной механизм аутентификации, говорит старший разработчик-исследователь Servicepipe Алексей Верховский. В том числе такая атака опасна для банковской сферы, так как позволяет осуществлять незаконный вход в личные кабинеты пользователей, добавляет руководитель проектов компании "Интеллектуальная аналитика" Тимофей Воронин.

В зоне наибольшего риска находятся платформы, где идентификация через мобильный телефон является не просто опцией, а главным цифровым ключом, рассуждает председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров. Это в первую очередь сервисы с упрощенной регистрацией, такие как каршеринг, агрегаторы такси, доставка еды, маркетплейсы и небольшие банки, которые выдают микрозаймы и оформляют карты удаленно, перечисляет он. Бизнес-модели таких сервисов нацелены на скорость, поэтому они не требуют сложных паролей, а используют номера телефона и OTP-код как логин и пароль для входа, поясняет Бедеров. Кроме того, их архитектура не была рассчитана на то, что злоумышленник сможет автоматизированно инициировать вход и так же автоматизированно вытащить код в обход владельца номера, отмечает эксперт.

Под наибольший риск в части обхода механизмов двухфакторной аутентификации попадают сервисы, которые используют короткие временные коды из 4 и менее символов, а также схему "4 цифры звонящего номера", добавляет старший инженер технического расследования центра исследования киберугроз Solar 4RAYS Денис Чернов.