Как обезопасить доступ к личному кабинету сотового оператора и почему это поможет сохранить средства?

В России участились случаи взлома личных кабинетов сотовых абонентов. Зачем злоумышленники это делают и как защититься от атак? Об этом рассказал в эфире телеканала «МИР 24» эксперт по безопасности высокотехнологичных устройств Павел Мясоедов.

- Для чего ломают личные кабинеты пользователей сотовых операторов?

Павел Мясоедов: Чаще всего злоумышленники таким образом пытаются получить доступ к каким-то конфиденциальным приложениям или какой-то очень конфиденциальной информации. Чаще всего к ней относятся банковские аккаунты, через которые мы совершаем проводки. Обычно в них всегда существует двойная верификация. Первое – это связка логин-пароль, а второй элемент верификации – СМС-код, который приходит на телефон.

- То есть, получив доступ к личному кабинету сотового оператора, достаточно легко получить доступ и к счетам в банках?

Павел Мясоедов: Да, действительно, это так. Злоумышленники достаточно давно апробируют различные схемы попытки перехвата сообщения. И, наверное, один из самых эффективных методов – это получение доступа к приложению вашего сотового оператора.

- Получается, человек проник в личный кабинет, настроил переадресацию звонков и сообщений, и на мой телефон уже ничего не приходит, а приходит тому, кто в данный момент решил попользоваться моим счетом?

Павел Мясоедов: На самом деле, так. Попытки получить доступ к приложению оператора связаны еще с той причиной, что достаточно давно существует уязвимость в сигнальном протоколе. Многие операторы эту уязвимость залатали, но на протяжении нескольких лет злоумышленники массово пользовались этой брешью в защите. Идея заключалась в том, что из роумингового направления, из роуминговой страны к вашей линии связи пытались подключиться злоумышленники. И на какое-то время они могли получать две СМС-ки, которые приходили на устройство в стандартном режиме. Они получали как раз второй элемент верификации для доступа к банк-клиенту.

С этой проблемой боролись не только сотовые операторы. С ней боролись и банки, и они поменяли доступ к своему приложению, заменив второй элемент верификации с СМС-сообщения на push-сообщение. Для обычного пользователя это выглядит так же, но с точки зрения технологии это идет в обход канала связи. Соответственно, злоумышленники потеряли этот доступ, и они начали выдумывать дополнительный метод, попытку перехватить эти сообщения. И, действительно, оставалась альтернатива – это получение полного доступа к мобильному клиенту оператора. Там можно получить доступ не только к СМС-сообщению, но и к трафику. И, соответственно, попытаться через какую-то брешь получить доступ к банк-клиенту.

- А как взламываются кабинеты? И как от этого защититься?

Павел Мясоедов: Мобильные приложения бывают разного уровня защиты. Очевидно, что банки, и вообще наша финансово-техническая индустрия, – одни из самых развитых в мире. И их приложения защищены очень серьезно. И на эту брешь среагировали даже не сами сотовые операторы, а банки, поменяв формат верификации. И взломать такого рода приложения – действительно очень сложная задача. Она, наверное, гипотетически выполнима, но тоже очень сильно зависит от банка. И далеко не каждый мошенник имеет на руках инструменты, чтобы осуществить такой взлом.

Гораздо проще получить доступ к менее защищенным приложениям, к сожалению, к которым до сих пор относятся приложения наших мобильных операторов. Долгое время в этом не было какого-то финансового риска. Сейчас, в последние годы, с учетом увеличения количества услуг, которые сотовые операторы осуществляют, через доступ к клиенту сотового оператора тоже может утечь большое количество данных. Посредством которых можно пойти дальше и получить доступ к банк-клиенту.

- Как защищаться? Регулярно менять пароли, делать их длиной в 24 знака, что делать-то?

Павел Мясоедов: Я уже сказал, что сами по себе приложения мобильных сотовых операторов обычно менее защищены. Но, тем не менее, чаще мошенники пользуются совсем примитивными методами взлома. Для того, чтобы взломать даже средне защищенное приложение, требуются усилия, определенный труд. И он в итоге может не увенчаться успехом, не получится заполучить нужные данные для доступа к тому же банк-клиенту.

Поэтому чаще всего мошенники пользуются совсем нехитрыми методами, когда пытаются получить доступ к вашему логину и паролю. Если он очень простой, то есть если вы его написали в очень простом ключе, или вы случайно где-то опубликовали информацию, наводящую на ваш логин и пароль, либо если вы очень много пользуетесь вредоносными сайтами и у вас нет антивируса на устройстве, мошенник может просто через Троян получить доступ к вашему мобильному телефону.

Опять же, они используют что-то достаточно универсальное. И защищаться от этого универсального можно и нужно, в первую очередь, достаточно универсальными методами. Первое – это антивирус, второе – цифровая гигиена, не публикуйте слишком интимную информацию о себе в интернете. И третье – проверяйте сайты, на которых вы вбиваете любую информацию о себе. Проверяйте домены, чтобы там не было подставных, подменных букв.

- Как не специалист может понять, что к личному кабинету мобильного оператора кроме меня кто-то еще имеет доступ?

Павел Мясоедов: Это очень сильно зависит от мобильного оператора и того приложения, которое он выпустил на рынок. Наши топовые сотовые операторы, естественно, разработали достаточно неплохие программные продукты. У некоторых из них есть истории пользования, то есть история событий, журнал, его можно по-разному называть. То есть, вы можете туда пройти и посмотреть не только историю ваших звонков, но и историю использования, входа и выхода в ваше мобильное приложение. Если же этой информации вы там не видите и у вас есть какие-то подозрения, есть два варианта решения проблемы. Первое – на всякий случай поменять связку логин-пароль. Причем проверить, чтобы это не было подключено к мастеру сейф-ключей, а такие приложения сейчас есть и в IOS, и в Android. Это так называемое агрегирующее приложение внутри самой операционной системы, которое хранит все ваши логины и пароли. И если вы меняете пароль, имея подозрения, что компрометирован какой-то ваш логин-пароль, нужно поменять и мастер- ключ, который дает доступ к этому агрегатору.

Соцсети взломаны, персональные данные утекли

Антивирус бессилен?