Сентябрь, отпускной сезон позади и это хороший повод вспомнить, куда делась та туристическая симка, которую вы покупали на отдыхе, и не висит ли она до сих пор в каком-нибудь сервисе такси или приложении доставки. Ведь заброшенные номера через пару месяцев могут достаться совершенно незнакомому человеку вместе с доступом к вашему аккаунту и это одна из недооценённых дыр в безопасности.

Кто пишет: проект о кибер-безопасности Cyberbeaver. 

Операторы связи не хранят неактивные номера вечно, свободных комбинаций физически не хватает на всех абонентов, поэтому номера возвращаются в оборот. В США закон обязывает оператора выждать всего 45–90 дней после отключения номера, прежде чем выдать его новому абоненту. В Великобритании этот срок больше — от 3 месяцев до года, в зависимости от оператора. В Европе карантин обычно укладывается в 3–12 месяцев по решению оператора, а, например, в Беларуси МТС блокирует номер примерно через 6 месяцев неактивности и могут отдать новому абоненту уже вскоре после этого. Наверняка и у вас в Telegram часто появляются пуши, что старые знакомые вдруг зарегистрировались в мессенджере.

Проблема в том, что множество сервисов (мессенджеры, такси, банковские приложения и т. д.) используют номер телефона не просто как контакт, а как основной идентификатор владельца аккаунта. SMS с кодом воспринимается системой как достаточное доказательство: «код пришёл на этот номер и значит, это тот же человек». Но после переработки номера это уже не так.

Наиболее подробно эту угрозу разобрали в 2021 году исследователи Принстонского университета Кевин Ли и Арвинд Нараянан (Security and Privacy Risks of Number Recycling at Mobile Carriers in the United States — https://recyclednumbers.cs.princeton.edu/assets/recycled-numbers-05-03-2021.pdf). Они проверили 259 номеров, доступных для новых абонентов у двух крупных операторов США, и получили тревожные цифры:

• 171 из 259 номеров (66%) всё ещё были привязаны к чьим-то действующим аккаунтам на популярных сайтах, то есть теоретически их можно было захватить через восстановление доступа по SMS.
• 100 из 259 номеров засветились в утечках учётных данных, а значит, с их помощью можно обойти двухфакторную аутентификацию, построенную на SMS.
• Большинство доступных номеров также находились через сервисы поиска людей (people search), что дополнительно раскрывало личные данные прежних владельцев.

Самый показательный публичный случай произошёл с пользователем WhatsApp: сразу после активации новой сим-карты на его телефон посыпались чужие личные и групповые чаты на итальянском языке, а аватар в мессенджере автоматически заменился на фотографию предыдущего владельца номера (The Register, 2023).

Meta (владелец WhatsApp и Facebook) признала, что если номер всё ещё привязан к чужому аккаунту, новый владелец номера технически может инициировать сброс пароля и получить доступ к этому аккаунту. Однако компания не стала считать это уязвимостью и сослались на то, что она не контролирует политику операторов связи по переработке номеров.

То же самое происходит с сервисами такси, доставкой еды и банковскими приложениями. Если в аккаунте, привязанном к номеру, осталась сохраненной карта, то получив доступ к чужому, уже настроенному аккаунту, он может просто заказать такси или еду и оплата спишется с сохранённой в нём карты. 

С другим случаем к нам в Кібер-Бабёр обратились за консультацией. В этом кейсе оказался скомпрометирован Bolt-аккаунт — он был зарегистрирован на грузинскую сим-карту, доступ к которой был давно утерян. К аккаунту была привязана банковская карта и обратившийся увидел списание с карты за заказ еды в Грузии через сервис Bolt. Когда он открыл приложение, к которому у него всё ещё оказался доступ, отвязать карту или изменить данные не удалось, так как сим-карта, на которую приходил код, была передана другому человеку. Этот человек залогинился в Bolt, система восприняла его как существующий аккаунт и приняв код из SMS дала доступ. Самое удивительное в этой истории то, что поддержка решить вопрос не смогла и посоветовала закрыть аккаунт, пока есть доступ к приложению. Банковскую карту пришлось перевыпускать для безопасности.

Три шага, которые снижают риск:

• Пройдитесь по ключевым сервисам: банк, почта, мессенджеры, такси, доставка, соцсети. Проверьте,актуальные ли там номера и есть ли у каждого из них способ входа и восстановления доступа, не завязанный только на SMS (резервная почта, отдельный пароль, приложение-аутентификатор).
• При смене номера отвязывайте его вручную от каждого сервиса, где он использовался для входа или двухфакторной аутентификации. Сделать это нужно до того, как номер станет неактивным, а не после.
• В сервисах с привязанной картой (такси, доставка, подписки) отвязывайте карту заранее, а не полагайтесь на то, что сервис сам заблокирует доступ при смене владельца номера. Если проблема уже случилась, то не стоит ждить, пока служба поддержки сервиса разберётся с конфликтом номеров. Быстрее и надёжнее сразу заблокировать карту через банк.

Потратьте 5 минут и проверьте сейчас, где у вас ещё висит номер, которым вы не пользуетесь, и отвяжите его. Иначе потом уже разбираться придётся со списанием с карты и перепиской с поддержкой.

Мнение автора может не совпадать с позицией редакции.