[KacperSzurek]

Jak działa kradzież karty SIM? Co to jest SIM swap?
Dlaczego banki chcą abyśmy zrezygnowali z potwierdzania przelewów przy użyciu SMSów?
O tym dzisiaj w #od0dopentestera

Zazwyczaj sam login i hasło bankowości elektronicznej nie wystarczą aby zlecić przelew.
Bank chce mieć pewność, że to my zleciliśmy transakcję dlatego wykorzystuje idee dwuskładnikowej weryfikacji.
W przeszłości wykorzystywano do tego karty kodów jednorazowych.
W ostatnim kroku wysyłania przelewu losowano jeden z nieużytych numerów i proszono o jego przepisanie.

Minusy? Dowolny nieużyty kod mógł potwierdzić dowolną operację.
Przestępcy próbowali je wiec wyłudzać od niczego nieświadomych użytkowników.
Gdy telefony stały się popularne większość instytucji przeszła na wiadomości SMS.
Tym razem jeden kod potwierdza jedną, konkretną transakcję.
Dodatkowo zazwyczaj widać jej kwotę oraz adres odbiorcy.

Rozwiązanie idealne?
Tutaj do gry wchodzi kradzież kart SIM tak zwany atak SIM swap.
Przestępcy wyłudzają duplikat karty przy użyciu kolekcjonerskich wersji dowodów osobistych.
Wtedy to wszystkie wiadomości (w tym te od banku) trafiają na telefony złodziei.

Sytuacja taka dotyczy również kont email.
Niektóre serwisy pozwalają bowiem na reset hasła przy pomocy wiadomości tekstowej.
W taki sposób można przejąć czyjeś konto pocztowe.
Je natomiast można wykorzystać do zmiany hasła na innych portalach.
Praktycznie każda z obecnie istniejących witryn pozwala bowiem na zmianę hasła przy użyciu maila.

Najnowszym rozwiązaniem jest więc używanie mobilnych aplikacji bankowych do potwierdzania przelewów.
Aplikacja jest powiązana z telefonem a nie numerem telefonu.
Dzięki temu nawet gdy ktoś wyłudzi duplikat karty SIM, nie będzie w stanie potwierdzić zlecenia przelewu.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security #banki

[KacperSzurek]

@ultra: W niektórych bankach aby aktywować aplikację na drugim telefonie należy potwierdzić taką instalację na poprzednim urządzeniu.
Jeżeli jednak bank nie stosuje takiego mechanizmu rzeczywiście nic nie stoi na przeszkodzie aby zainstalować aplikacje mobilną na telefonie przestępcy i aktywować ją przy użyciu duplikatu karty.

[ultra]

@KacperSzurek:
Pytam bo czytałem niedawno opracowanie porównujące bezpieczeństwo aplikacji i SMSów i wynikało z niego że bezpieczeństwo jednych i drugich jest złudne.
Banki przed tym nie zabezpieczają bo to nie ich pieniadze.
Poziom bezpieczeństwa podniosłoby stosowanie karencji na używanie w bankowości zmienionej karty co wymagałoby koordynacji banków i operatorów ale poco skoro to klient zapłaci.
Mają to w d. bo jest to ryzyko klienta nie banku.
Generalnie wysoki stopień bezpieczeństwa utrudnia

[KacperSzurek]

@ultra: Istnieje opcja zastrzeżenia kredytowego w BIKu.
Niestety jest ona płatna no i oczywiście nie wszystkie instytucje udzielające pożyczek ją respektują.
Ale zawsze to coś.

[ultra]

@KacperSzurek:
Warto wiedzieć bo kiedyś (na ile mi się wydaje) nie było.
Jak piszesz nie zabezpiecza całkowicie bo były wykopy bądź czytałem poza serwisem że gość wtopił gdy pożyczono na niego kasę w firmach które nie widziały sensu by cokolwiek sprawdzać.
Mimo że używam niemal od zarania to wydaje mi się że na obecnym poziomie bezpieczeństwa bankowość elektroniczna wydaje się coraz bardziej emocjonującą zabawą jeśli dotyczy relatywnie sporych kwot.
Sporych czyli

[z.....e]

@KacperSzurek: masakra, dłużej się nie dało?!