Jednorazowe hasła przesyłane przez SMS uchodziły dotąd za dość bezpieczny mechanizm zabezpieczenia transakcji na rachunku bankowym. Za naszą zachodnią granicą doszło jednak w styczniu do włamań, które mogą podważyć zaufanie do wiadomości tekstowych jako drugiego poziomu zabezpieczeń w e-bankowości. Słabym ogniwem okazał się protokół używany przez operatorów telekomunikacyjnych.
Działającym w Niemczech złodziejom udało się w nowy, nieznany wcześniej sposób, okraść klientów banków. Jak donosi „Süddeutsche Zeitung”, hakerzy wykorzystali kilka technik jednocześnie. Pierwszym krokiem było zainfekowanie komputerów ofiar koniem trojańskim i pozyskanie w ten sposób loginów i haseł do rachunków bankowych. Do wyprowadzenia środków konieczne było jednak przełamanie drugiego poziomu zabezpieczeń.
Podobnie jak w wielu polskich instytucjach, transakcje zaatakowanych niemieckich klientów musiały zostać potwierdzone jednorazowymi hasłami wysyłanymi przez bank na telefon klienta. Do tej pory złodzieje z tego względu starali się zainfekować także telefon ofiary, np. skłaniając ją do zainstalowania oprogramowania (rzekomo pochodzącego z banku) przechwytującego wiadomości autoryzacyjne i przesyłającego je dalej do rabusiów.
W styczniowych atakach złodziejom udało się przekierować wiadomości z hasłami na inne numery telefonów – SMS-y nigdy nie dotarły do okradanych klientów. Hakerzy wykorzystali luki w protokole SS7 (Signalling System No. 7) używanym przez operatorów telekomunikacyjnych do przesyłania komunikatów technicznych potrzebnych m.in. do rozliczania połączeń i świadczenia usług w roamingu.
Dysponując nielegalnym dostępem do sieci operatora, co jak twierdzi gazeta wymaga niewielkiej „inwestycji” w wysokości 1000 euro, złodzieje byli w stanie skierować SMS-y z hasłami na swoje urządzenia. Fakt ten potwierdził przedstawiciel sieci O2 Telefonica, wskazując, że klienci, którzy padli ofiarą ataku, zostali powiadomieni, a niewymieniony z nazwy zagraniczny operator, którego infrastruktura została użyta w schemacie, został zablokowany.
O możliwości wykorzystania luk w protokole SS7 do śledzenia użytkowników telefonów, podsłuchiwania ich i przechwytywania wiadomości mówiono już od kilku lat. Przeprowadzony w Niemczech atak pokazuje, że zagrożenie jest jak najbardziej realne, a branża telekomunikacyjna nie poradziła sobie z wyzwaniem.
- Technologie używane w systemach sygnalizacji w Polsce są takie same, jak w innych krajach. Luki wykorzystane przez przestępców w Niemczech mogłyby zostać użyte również przez odpowiednio zdeterminowanych włamywaczy w Polsce. Zapewne rolę wspólnika odegrać musiałby ktoś z wnętrza firmy telekomunikacyjnej, dając przestępcom dostęp do SS7 - komentuje Emil Konarzewski CFO i partner w firmie Audytel.
- Dla przestępców znacznie prostszym rozwiązaniem jest obecnie zarażenie smartfona ofiary złośliwym oprogramowaniem. Wydarzenia z Niemczech mogą jednak skłaniać do refleksji o konieczności wprowadzania nowych form zabezpieczeń w bankowości elektronicznej - dodaje Konarzewski.
Podważenie zaufania do wiadomości SMS jako nośnika jednorazowych haseł może przyczynić się do szybszego rozpowszechnienia się innych metod potwierdzania operacji w kanałach elektronicznych. Banki, które rocznie wydają na wysyłkę kodów 70 mln zł, coraz częściej sięgają po autoryzację w aplikacji mobilnej. Taki mechanizm wprowadził mBank oraz T-Mobile Usługi Bankowe, a w tym roku usługę planuje uruchomić także Bank Zachodni WBK.
