Hasła SMS można przekierować - atak na klientów niemieckich banków

analityk Bankier.pl

Jednorazowe hasła przesyłane przez SMS uchodziły dotąd za dość bezpieczny mechanizm zabezpieczenia transakcji na rachunku bankowym. Za naszą zachodnią granicą doszło jednak w styczniu do włamań, które mogą podważyć zaufanie do wiadomości tekstowych jako drugiego poziomu zabezpieczeń w e-bankowości. Słabym ogniwem okazał się protokół używany przez operatorów telekomunikacyjnych.

Działającym w Niemczech złodziejom udało się w nowy, nieznany wcześniej sposób, okraść klientów banków. Jak donosi „Süddeutsche Zeitung”, hakerzy wykorzystali kilka technik jednocześnie. Pierwszym krokiem było zainfekowanie komputerów ofiar koniem trojańskim i pozyskanie w ten sposób loginów i haseł do rachunków bankowych. Do wyprowadzenia środków konieczne było jednak przełamanie drugiego poziomu zabezpieczeń.

Złodzieje wykorzystali luki w protokole SS7 używanym przez operatorów telekomunikacyjnych
Złodzieje wykorzystali luki w protokole SS7 używanym przez operatorów telekomunikacyjnych (fot. Issei Kato / Reuters)

Podobnie jak w wielu polskich instytucjach, transakcje zaatakowanych niemieckich klientów musiały zostać potwierdzone jednorazowymi hasłami wysyłanymi przez bank na telefon klienta. Do tej pory złodzieje z tego względu starali się zainfekować także telefon ofiary, np. skłaniając ją do zainstalowania oprogramowania (rzekomo pochodzącego z banku) przechwytującego wiadomości autoryzacyjne i przesyłającego je dalej do rabusiów.

W styczniowych atakach złodziejom udało się przekierować wiadomości z hasłami na inne numery telefonów – SMS-y nigdy nie dotarły do okradanych klientów. Hakerzy wykorzystali luki w protokole SS7 (Signalling System No. 7) używanym przez operatorów telekomunikacyjnych do przesyłania komunikatów technicznych potrzebnych m.in. do rozliczania połączeń i świadczenia usług w roamingu.

Dysponując nielegalnym dostępem do sieci operatora, co jak twierdzi gazeta wymaga niewielkiej „inwestycji” w wysokości 1000 euro, złodzieje byli w stanie skierować SMS-y z hasłami na swoje urządzenia. Fakt ten potwierdził przedstawiciel sieci O2 Telefonica, wskazując, że klienci, którzy padli ofiarą ataku, zostali powiadomieni, a niewymieniony z nazwy zagraniczny operator, którego infrastruktura została użyta w schemacie, został zablokowany.

O możliwości wykorzystania luk w protokole SS7 do śledzenia użytkowników telefonów, podsłuchiwania ich i przechwytywania wiadomości mówiono już od kilku lat. Przeprowadzony w Niemczech atak pokazuje, że zagrożenie jest jak najbardziej realne, a branża telekomunikacyjna nie poradziła sobie z wyzwaniem.

- Technologie używane w systemach sygnalizacji w Polsce są takie same, jak w innych krajach. Luki wykorzystane przez przestępców w Niemczech mogłyby zostać użyte również przez odpowiednio zdeterminowanych włamywaczy w Polsce. Zapewne rolę wspólnika odegrać musiałby ktoś z wnętrza firmy telekomunikacyjnej, dając przestępcom dostęp do SS7 - komentuje Emil Konarzewski CFO i partner w firmie Audytel.

- Dla przestępców znacznie prostszym rozwiązaniem jest obecnie zarażenie smartfona ofiary złośliwym oprogramowaniem. Wydarzenia z Niemczech mogą jednak skłaniać do refleksji o konieczności wprowadzania nowych form zabezpieczeń w bankowości elektronicznej - dodaje Konarzewski.

Podważenie zaufania do wiadomości SMS jako nośnika jednorazowych haseł może przyczynić się do szybszego rozpowszechnienia się innych metod potwierdzania operacji w kanałach elektronicznych. Banki, które rocznie wydają na wysyłkę kodów 70 mln zł, coraz częściej sięgają po autoryzację w aplikacji mobilnej. Taki mechanizm wprowadził mBank oraz T-Mobile Usługi Bankowe, a w tym roku usługę planuje uruchomić także Bank Zachodni WBK.

Michał Kisiel

Źródło:

Newsletter Bankier.pl

Dodałeś komentarz Twój komentarz został zapisany i pojawi się na stronie za kilka minut.

Nowy komentarz

Anuluj
0 6 ~Maciej

Kto przy zdrowych zmysłach, mając na koncie większą kwotę, zgodzi się na autoryzację w aplikacji mobilnej na smartfonie? To iluzja bezpieczeństwa. Należy zakładać, że nasz smartfon jest zawirusowany. Wystarczy jedna zainfekowana aktualizacja jednej z aplikacji i mamy wirusa. Programy antywirusowe na smartfona są kiepskie. A większość użytkowników i tak, żadnego antywirusowego programu nie ma. Nawet jeżeli protokołu SMS mają luki, to odpowiedzialność finansowa za te luki spada na operatora GSM. A przy zawirusowanym smartfonie winny będzie klient banku. I w sumie, ja osobiście, do haseł SMS od lat używałem oddzielnej karty sim włożonej do starej bezinternetowej Nokii. Bo hasła SMS na smartfona to też iluzja bezpieczeństwa.

Pokaż cały komentarz ! Odpowiedz
1 10 ~Mac

O pieniadze sie nie boje, bardziej sie boje ze mi kolekcje pornoli ukradna :

! Odpowiedz
0 6 ~wiejski_gupek

Jak oni chcą zainfekować mój telefon jeżeli moja Nokia 3100 nie ściąga aplikacji ?

! Odpowiedz
0 0 ~Maciej

Obsługuje protokół WAP (internet), MMS i Bluetooth. Żeby było bezpiecznie, w Nokii 3100 trzeba wyłączyć te funkcje.

! Odpowiedz
4 2 ~NiepostepowyAleMadry

Ja od lat powtarzam że bezpieczne sa tylko tokeny na karteczkach które noszę przy przysłowiowej "d...e". Jak mnie bank próbuje namawiać na zmianę to od razu mówię że jak tylko zlikwidują kartki z kodami to od razu zamknę konto.
płacę nawet już 19 PLN za 48 takich haseł i będę nadal płacił, nawet jak podniosą do 50.

Pokaż cały komentarz ! Odpowiedz
0 2 ~edward

Oj naiwny. Dane cyfr z tokenów są przechowywane ne serwerach banku oraz również bank zleca wydrukowanie zdrapek najtańszej firmie na rynku by prezes mógł dostać 4 mln na rok. Twoja kasa zniknie, a nie jego, to po co inwestować he, he

! Odpowiedz
0 4 ~Klient

Credit Agricole namawiał mnie wielokrotnie na hasełka smsowe, ja jednak pozostałem przy tokenie :)

! Odpowiedz
0 2 ~juesej

Ci "hakerzy" zostali wyszkoleni przez jakie państwo i dla jakiego wywiadu działają?
Obstawiam bandytów z ....

! Odpowiedz
0 5 ~2015

Zespół specjalistów twierdzi, że miał legalny dostęp do sieci SS7, ponieważ chronił niemieckich operatorów przed szpiegostwem. Wprawdzie włamanie się do niej nie jest takie proste, lecz specjaliści twierdzą, że operatorzy sami mogą nielegalnie wynajmować je firmom trzecim i nie ma wątpliwości, że mają do niej dostęp rządowe agencje wywiadu takie jak NSA oraz firmy specjalizujące się w zabezpieczeniach. Jest więc wysoce prawdopodobne, że SS7 od lat jest wykorzystywana do monitorowania telefonów różnych osób.

Odkrycia poczynione przez Coultharta są dość przerażające, ponieważ pokazują, że nasza prywatność może być naruszana od wielu lat i to na bardzo dużą skalę.

http://technowinki.onet.pl/oprogramowanie/sieci-komorkowe-podatne-na-inwigilacje/g4ql7w

Pokaż cały komentarz ! Odpowiedz
2 2 ~MGS

z Chin, Rosji, ew Kim Dzong kogoś tam

! Odpowiedz
Zapisz się na bezpłatny newsletter Bankier.pl