Bitcoin Forum

Основные варианты

• Прослушка. Перехват SMS право хранителями вследствие превышения служебных полномочий или нецелевого использования материалов негласных следственных действий. Тут всё ясно, расписывать не будем
  
  
• Дублирование (клонирование) SIM-карты через оператора сотовой связи с использованием персональных данных клиента и дальнейшее использование клонированной SIM-карты в противоправной деятельности.
  
  
• Ложная базовая станция для перехвата и расшифровки всех входящих сообщений абонента и дальнейшее использование перехваченных данных в противоправной деятельности.
  
  
• Взлом “Персонального кабинета” абонента на сайте или приложении сотового оператора и переадресация всех сообщений на адрес злоумышленника, а также дальнейшее использование полученных данных в противоправной деятельности.
  

Дублирование

Большинство сотовых компаний при процедуре восстановления утерянной или украденной SIM-карты требует копию паспорта (редко сверяют с оригиналом) и 2-3 последних исходящих или входящих SMS. Кроме этого, в колл-центрах крупных компаний работают “заскриптованные люди”, у которых нет времени все перепроверять, они просто действуют по инструкции.
Допустим, злоумышленнику каким-то образом удалось заполучить скан вашего паспорта (университет, работа, больница). В принципе, сегодня заказать скан вообще не составляет труда. Также против вас может быть применена банальная СИ. (например, устройство на работу через интернет)
После получения скана злоумышленник звонит вам под предлогом очень важного дела и просит вас перезвонить по любому поводу. Он повторяет просьбу несколько раз и вешает трубку под предлогом, к примеру, плохой связи. После этого он сохраняет данные о ваших последних звонках, идет к оператору, и с формулировкой “я паспорт забыл, но вот у меня есть копия” либо по “предварительной договоренности” с легкостью получает копию вашей SIM-карты, ответив на вопросы о последних исходящих или входящих звонках.

Собсна, осталось звякнуть оператору.

Ложная базовая станция

В интернете уже есть целые мануалы по поднятию ложной базовой станции для перехвата SMS с модемом из “моторолы” за 30 баксов и простеньким софтом, что было продемонстрировано еще в 2013 году.

Давайте смоделируем пример. Вооружившись телефоном Motorola за 30 баксов, парой шнурков за 15 долларов и ноутбуком злоумышленник паркуется возле вашего дома, квартиры, коттеджа. Поднимает ложную сотовую станцию, перехватывает SMS, восстанавливает все необходимые доступы и “становится на лыжи”. Конечно же, я описал упрощенную версию, на самом деле весь процесс выглядит как-то так с определенными “модификациями” и, как правило, требует подготовки всей инфраструктуры заранее. Важно предупредить, что в примере описывался концепт развертывания собственной базовой станции без взаимодействия с реальной системой.

Взлом персонального кабинета абонента на сайте

Возникают ситуации, когда сотовые операторы, экономя на безопасности своих сервисов, допускают возможность взлома собственных сайтов или приложений с так называемым “личным кабинетом абонента”, в которых, как правило, имеется очень широкий функционал — от приема SMS прямо на сайте до управление балансом пользователя.

Есть реальный пример одного сотового оператора Украины, допустившего возможность привязки произвольного номера, или забавная история с российским оператором. Все это иллюстрирует отношение операторов к информационной безопасности. Иногда можно прикинуться “чайником” и попросить настроить личный кабинет прямо в салоне связи для бабули, которая телефон забыла дома, но у злоумышленника, к примеру, внезапно под рукой оказалась копия ее паспорта. Суть проста: после завладения личным кабинетом пользователя можно изменить маршрутизацию звонков и SMS и перенаправить их на номер злоумышленника.

Подведем итоги.

Защита уровень базовый.
Я уверен, что если вы ещё не успели завладеть мульенами бетховенов, вам хватит левого никому неизвестного номера(ов), на который будет привязано все самое ценное. В принципе, даже если вы успели трепануть, это может помочь.

Защита уровень PRO
А вот, что предлагает Никита: "Нашим клиентам мы запрещаем использовать в качестве номера восстановления доступа к важной информации основной телефон. Это должен быть обязательно другой номер, купленный специально под эти цели, никогда не вставленный ни в один из используемых телефонов в Украине (чтобы нельзя было найти и связать по IMEI). Этот телефон должен лежать в сухом, прохладном и недоступном для обысков месте, включаться и пополняться раз в 2-3 месяца, чтобы избежать возможности перевыпуска SIM-карты оператором по причине долгого неиспользования.

Мы рекомендуем никогда не включать такой номер в стране постоянной дислокации и активировать сервисы, привязанные на этот номер, где-то за рубежом. Это связано с особенностью работы сотовых операторов и проведения прослушки.
Если злоумышленник не знает вашего номера восстановления, ему сложнее будет определить цель, которой нужно завладеть. Поэтому один номер должен быть для соцсетей и совсем другой — для восстановления Gmail и финансовых платежных инструментов.

В странах Европы, например, в Германии, уровень защиты персональных данных значительно выше, чем в странах СНГ, а значит комбинация с “пришел в салон и восстановил номер” не пройдет. Более того, можно попросить любого друга за рубежом (если такой есть), которому вы доверяете, оформить номер телефона для восстановления на его паспортные данные, и хранить SIM-карту у себя."

_______________________________________________________________________________ __________________________________________
Вместо послесловия ;)

1) https://xakep.ru/2017/05/05/ss7-attacks/ - "Как дыры в SS7 используют для обхода 2FA"
2) https://3dnews.ru/923316 - "Взлом сотовых сетей: не просто, а очень просто"
3) https://www.kaspersky.ru/blog/sim-card-history/10189/ - "Как устроены SIM-карты?"
4) https://www.kaspersky.ru/blog/sim-card-history-clone-wars/10529/ - "Как устроены SIM-карты. Часть вторая: атака клонов"
5) https://www.kaspersky.ru/blog/gemalto-sim-hack/7149/ - "Ночной кошмар наяву: 2 миллиарда скомпрометированных SIM-карт"
6) http://telegra.ph/Opasnost-sim-kart-podmena-nomera-i-mini-razoblachenie-08-15 - "Опасность сим карт, подмена номера и мини разоблачение"

Паранои много не бывает ;D Почитал,интересно, мысли совпадают. Симка бугорная давно в работе)))
Хотел бы добавить что как и в любом бизнесе профессионал всегда обставит любителя. И если у кого-то появилась причина взломать или прослушать, то скорее всего он преуспеет.

спасибо за статью,много полезного и интересного, сам стараюсь везде 2фа подключать,от греха подальше, правда риск потом просрать все тоже остается,если устройство похерится, но на это меньше шансов чем,что у тебя уведут пароли,ключи

Решил свою проблемы симкой другой страны, отдельным смартфоном под 2-fa и чистой системой на виртуалке. Естественно номер, почты нигде больше не светятся.

Очень жаль не везде есть возможность по IP фильтрацию ставить с последующим предупреждением на почту в случае неудачного входа.

Спасибо за статью, весьма интересная, но как говорится, на любой замок - есть свой ключ, если Вас уже надумали взломать, то никакая защита не поможет.

вопрос только времени когда вы допустите ошибку, перейдете на какой то фишинговый сайт к примеру и тд.

Вопрос к автору топика: если двухфакторная аутентификация стоит не через SMS, а через QR-код, то какие угрозы существуют помимо кражи или потери самого QR-кода? Спасибо.

Присоединяюсь к благодарностям автору.
Мне конечно нечего пока защищать, но вот подумать о будущем имеет смысл. Об отдельном номере подумываю давно, но всё никак не сделаю этого. Это будет дополнительным толчком.

Да уж.. Я свой аккаунт на гугл активирую через Леджер Нано С, с помощью приложения FIDO U2F - безопасно, стопудово! Плюсом гугл аутентификатор, тоже тема! А СМС это всё шляпа - итак давно понятно уж!

Не думаю, что кто-то будет перехватывать ваши смс, когда есть более доступные методы с 90-х....
Но как выше было сказано главное не болтать), тогда и вероятность что на вас обратят внимание минимальная. Думаю хомякам с баунти можно не переживать.

Статья интересная и познавательная. Я сам не пользуюсь аутентификацией через СМС. Использую программу гугл аутентификатор. Возможно его тоже как-нибудь научились перехватывать злоумышленники - не знаю, но думаю что это надежней чем СМС. Безопасность конечно нужно соблюдать, хотя бы по минимуму, и такая информация очень полезна.

ну Вы и мастак на пословицы ;D я тоже одну такую слышал : Вопрос - "Один в поле ни кто?  ответ  Ни кто " Извините , не смог удержаться ;D А по статье , я с Вами согласен , статья нужная  и интересная спасибо автору. И не наговаривайте на себя, всё Вы нормально расписали. Так же хотел добавить, что если оппонента язык как помело, то никакая безопасность не спасёт. Помните летом был случай в Тайланде : у двух туристов в забрали всю крипту которая у них была. Муж и жена , где-то трепанулись , вечером в номер пришли "" пионеры"" и угрожая жизни одному вытребовали все пароли кошельков. было похищено со слов потерпевших крипты на 50 косарей . Отдохнули блин.

Довольно интересно изложено, хотя все в том или ином виде читал ранее. ТС, спасибо за компиляцию  :) Хотя, если честно, практически все советы по безопасности, изложенные в статье можно ограничить, можно ограничить фразой из первого абзаца - "Не трепись" :). Потому как слабо я представляю себе организацию например поддельной базовой станции для изъятия биточков у жирненького  хомяка  ;D Придут, проведут терморектальный криптоанализ и сам отдаст все подчистую.

Советы очень полезные. А по поводу 2фа, то я записываю в блокнотик ручкой коды, на случай потери мобильного устройства, уже больше шансов все восстановить.

Что может быть опасного в двухфактороной аутентификации? Наоборот она самая безопасная и жалко что ее нет у таких кошельков например как MyEtherWallet. Она бы спасла от фишинга и подобных взломов!

Однозначно один из самых опасных способов двухфакторной аутентификации это с помощью смсок, так как например в россии при сговоре с сотрудником оператора изи можно сделать дубликат симки и побыстрому взломать все что можно тебе.

Да, интересно все это. И я уверен в том, что большинство случаев взлома возникают из-за того, что люди халатно относятся к безопасности в интернете

ну двухфакторку очень тяжело ломануть, практически невозможно, я полностью доверяю этой системе и пользуюсь уже давно

У меня забавная ситуация у друга была с двухфакторной аутиентификацией. Его жена на бинанс решила сама поставить двухфакторку (на его логин), в приложении создалось 2 пароля. Она решила - зачем два то, и удалила один. А это оказался правильный... А 16-значный код восстановления не сохранила... Месяц восстанавливали через админов! ;D

А если все же использовать двухфакторную аутентификацию, нужно обязательно сохранять ключ в надежном месте.
Как-то переставил ось на мобиле, не было ключа, пришлось запариться, чтоб восстановить доступ к акку на Битрексе

Криптa любит тишину! Если меньше трепаться о своих доходах и не переходить по всяким ссылкам в письмах на почте, не лазить на непонятных сайтах, тогда всё будет нормально! По большому счёту в случае взлома мы виноваты сами! И не забываем за диверсификацию.

Все перечисленные угрозы - это в случае с 2fa по SMS.
Существуют разные способы 2fa.
Например, google authenticator.
И если сервис позволяет, лучше просто отказаться от 2fa по SMS.

В топике речь идет о двухфакторке через смс. Вот ее как раз при желании специалисту сломать не так трудно. Собственно основные способы автор описал. А вот гугл аунтификатор подобрать действительно сложно, сам везде пользуюсь и не слышал проблем по нему. Главное ключ не забывать сохранять

Я вот кстати не понимаю почему MyEtherWallet не может сделать двухфакторку, нет какой то технической возможности? Просто это очень удобно и безопасно

Если относится к процессу безответственно то конечно в случае поломки или потри телефона можно потерять все аккаунты, или по крайней мере очень помучится восстанавливая доступ. Достаточно делать скрины QR кодов и сохранять их где нибудь в надежном месте. И не обязательно использовать гугл аутентификатор, есть и другие программы где аккаунты легко восстанавливаются с помощью сохраненных ключей. Authy можно на несколько устройств установить.

могут применить старую добрую СИ, пример:


 есть ещё способы, при желании и в целях себя обезопасить, лучше, конечно, знать о них.

Справедливости ради стоит сказать, что уже не осталось операторов перевыпускающих симку только по копии паспорта. Даже по правам менять запретили. Что не отменяет других перечисленных способов компрометации.

Достаточно интересная статейка. Однако как было сказано кем-то выше, взломать могут что угодно и когда угодно. Все эти способы защиты просто приятный бонус, для того, чтобы человек мог спать спокойно, надеясь на то, что его не ограбят. На самом же деле, лишиться можно всех средств за одну минуту.

Тоже с интересом почитал статью и посты, очень понравилось, но люди знают о нас столько, насколько мы говорим о себе, так что самая лучшая защита, это ваше молчание по данному поводу, ну а баунтистам, думаю, что действительно беспокоиться не о чем, хотя всякое может быть.

Я конечно о многом догадывался,но не думал что опасность прям в самом простом может быть)) спасибо за интересный топик,некоторые моменты прям заставили задуматься по поводу безопасности.

Спасибо за информацию автору. Уже рассматривал некоторые дыры в безопасности по 2FA по sms, но тут все разложено по полочкам и с примерами. Теперь буду внимательнее относится к этому вопросу и для двухфакторки с СМСками заведу пару отдельных симок.
По гугловскому 2FA уже разок столкнулся с проблемами когда телефон решил покончить свою электронную жизнь упав на асфальт... Теперь все ключи записываю отдельно ;)

Да уж, спасибо за советы. Страшновато, хотя и суммы не такие большие. Перестал в последнее время говорить всем подряд, что занимаюсь криптой, а раньше любил похвалиться.

Получается, что 100 процентной гарантии безопасности просто не существует? Компрометация персональных  данных всегда вероятна. Надо быть начеку.Но главное, чтобы это не превращалось в паранойю, а то так окончание своих дней можно провести в психбольнице

Первое правило держать рот на замок. Многие все равно ен в теме, а кто в теме то понимает что здесь крутятся деньги,так что реально лучше об этом молчать и кроме самого себя лучше не кому не знать.

Игры в шпионов с прослушкой телефонов будут рентабельны для злоумышленника при конкретной наводке и все описанные способы могут быть воплощены в реальность лишь при значительных суммах на счетах. Даже не знаю какая должна быть сумма что бы начать заморачиваться по поводу украденных sms.

Конечно полностью обезопасить свой крипто кошелек наверное нельзя но это не значит что двухфакторная аутентификация плохо.

Ну все описываемые способы слишком хакерские, которые требуют ощутимых затрат. Но все равно это самый простой способ значительно усилить защиту. Можно конечно использовать генератор кодов для двухфакторной аутентификации, но и там есть подобные трюки.

Молчать - конечно это основное. Никто не должен знать о ваших активах. Если в новостях пишут, что на дороге не известные заблокировали машину бизнесмена и о отобрали сумку с 10 миллионами - они действовали по наводке,  а не ездили по городу и искали кого бы грабануть.

ёпта а пароль кошелька подобрать совсем не проблема чтоле?

проблема-не проблема, но есть фишинг, вирусы, которые с радостью прочитают твой пароль.  Ну а если там все совсем тухло - можно побрутить.

хорошая статья.
сам считаю, что самый главный враг - это болтовня.
но не только в прямом смысле, но и в переносном. Например, оставить на рабочем компе, открытую ссылку, на ресурсе о крипте или не дай бог кошельке, и при этом отойти, хотя бы на пару минут - может обернутся проблемами.

Статья очень полезная особенно для параноиков, некоторые KYC с радостью проходят, а тут как раз и рассказывается чем опасно сливать документы неизвестно кому при том что этот кто то будет знать что вы связаны с миром крипты и будет пытаться это использовать чтобы увести у вас крипту.

Да уж, в наше время персональные данные и так постоянно перепродаются базами и воруются и без криптопроектов.

Тема интересная. Но, самой , пожалуй, важное это не заходить на разные сомнительные сайты, дабы не занести вирусы и т.д., и конечно же, не рассказывать никому о том, чем вы занимаетесь

Двухфакторная авторизация необходима везде, особенно когда работаешь с криптой. Конечно взломать можно все что угодно но здесь уже нужно будет попотеть

Спасибо за полезную информацию, недавно был топик про KYC , и увидев двухфакторную аутентификацию в том же контексте - удивилась.
Действительно, сейчас не просто себя оградить от ленивых охотников простой и быстрой прибыли, но как и во всем я думаю тут важен момент продолжать читать такие полезные статьи и др.информацию дабы защитить себя)

Ну, если же говорить о паранойи, то сейчас умудряются вшивать вирусняки ещё на производстве телефона\смарта, так-что покупая новый, чистый аппарат вы уже, по сути, отдали свои данные, но не подозреваете о таком... :o

Мне, пока, хватает ведроида в режиме палёта и простенькой мобилы исключительно для смсок.

Дабы меня взломать и попасть на биржу необходимо: получить 2фа - раз, получить доступ к почте - два. Зайти на почту с нового устройства = ввести смс, которая должна придти на мобилку.

Шанс такого расклада равен нулю, т.к. знаний и умений не хватит, а у кого хватит, те взламывают ПО банков, а не мелочь, вроде, нас  :D

Ну да, слегка параноидально думать что тебя везде и постоянно подслушивают. Но в общих чертах этого не избежать, главное не трепаться что ты вообще с этим связан,либо обсуждать это с доверенным лицом в живом диалоге.
Автору спасибо за инфу!

Никакой опасности нет ) Пользование данной программой позволяет кратно сократить возможность взлома. Правда рекомендую пользоваться не гугл аутентификатором, а authy, дабы потом не мучиться при смене телефона...

тоже пользуюсь данной прогой, на другом телефоне установил пинкод ввел и все добавленные двухфакторки восстановились

Про последний пункт не понял, как мы будем его держать в недоступном месте и не вставлять в телефон, если при входе в личный кабинет нам необходимо принять смс на этот номер?

Сто процентной защиты не существует, поэтому если захотят, то тебя взломают. Но всё же не стоит пренебрегать базовыми методами защиты, которая хоть как-то усложнит взломщикам доступ к вашим данным.

Хотелось бы отметить, что 2ФА, это не только СМС. Это гугл аутентификатор его техническими методами не украсть.

Соглашусь, что основная беда - это длинный язык и болтовня. Если начал хорошо зарабатывать в крипте - не трепись об этом и не хвастайся. Никакая защита не поможет, если наведаются в гости "доброжелатели" с паяльником.

Ну да, может скоро и такое повсеместно практиковать начнут. Мошенник не дремлет и повышает квалификацию.
И насчет трепаться - тоже согласен)  8)

Распределить средства если их много, на несколько кошельков, и если что отдать один из них с более-менее приемлимой суммой. Мол вот мой кошелек, на нем приличная сумма. И естественно НИКОМУ не говорить о том что ваши средства распределены по разным кошелькам.

Идеально  купить отдельный телефон и вообще за него никогда ничего никому не говорить..  И туда уже устанавливать все двухфакторки

Гугл аутентификатор это сейчас пожалуй единственный способ которым можно обезопасить себя от разного вида сломов аккаунтов на биржах и других подобных платформах.

да и вообще, купить трубу на чёрном рынке, чтоб нигде не пробивался) запихать его в сейф, сейф на пароль, пароль запечатать в конверт и положить в банковскую ячейку) всё зависит от количества денег у тебя. если у тебя пара тысяч долларов на счету, то врядли дядьки с паяльником станут рисковать. а вот если у тебя 200 или 2 млн... язык в попу и будь серой мышкой для всех) правда тебя выдадут дорогая тачка, новая квартира и мини-яхта на причале в ближнем порту ;D

По вашей версии про взлом базовой станции для начало нужно еще подобрать пароль, что является сложностью, если конечно он у вас не 111, мое мнение, самая главная опасность заключается в том, что вы поставили двухфакторку, но забыли сохранить материалы для его восстановления, а потом потеряли телефон. Тогда ваши деньги попадут к самым страшным злодеям- владельцам бирж и кошельков.

Дфухфакторная аутентификация от гугл позволяет обезопасить себя от мошенников. Я пока не слышал случаев перехвата или взлома аутентификатора гугл. СМС аутентификация хоть и имеет риски описанные в статье но тоже очень полезна.

Именно поэтому нуэно бэкап коды записывать на бумажку или на другом устройстве, чтобы такого казуса не произошло

А я думал это я параноик, а здесь вон что ... Все таки я верю в двухфакторную аутентификациею, и её взламать не так то и просто, некоторые меры пред осторожнсти это через чур.  Самое главное по меньше трепаться, это вы верно отметили

Не знаю, сколько битков должно быть на счету у клиента, чтобы разрабатывать спецоперацию по изъятию этих самых BTC с помощью создания базовой станции и т.д.
Хотя... После прочтения статьи в памяти всплыли несколько описанных на форуме случаев, когда у людей легко воровали крипту с биржи, защищенной 2FA...  И никаких смс при этом не приходило... Может и правда есть такие умельцы  ???

Золотые слова. Их можно отнести ко всему, что нас окружает. Действительно вы ездите на своей машине со всякими противоугонками, только до того момента, пока она не понравится другому.

Случай: https://xakep.ru/2016/06/13/fake-google-alert/

Это не взлом и не перехват. Обычный фишинг, рассчитанный на совсем уж непонимающих людей, которым бесполезно обьяснять что ни одна официальная служба никогда не станет просить вводить(а уж отсылать тем более!) свой пароль для подтверждения чего либо, где то кроме их собственного официального сайта/приложения.

По-моему фишинг есть самый что ни на есть взлом, только человека, а не машины.

К чему метафоры.. Есть постоянное напоминание пользователям от сайтов/сервисов о необходимости помнить о том ,что администрация(поддержка) ресурса никогда не станет запрашивать пароль ни по почте, ни в смс,  ни как либо еще, кроме как при логине на официальном сайте/в приложении. У кого это в мозгу не отпечатывается, тут сложно чем то помочь. Это ведь не программный баг. Так что никакого взлома. "Ключ от квартиры" хозяин отдает сам.

А не смущает, что единственное отличие - это распространенность информации? Кто-то и правила не читает, а кто-то следи за новоиспеченными способами взлома. Так что Ваше отрицание не имеет под собой аргументации.