O argumento usual "você realmente precisa de um antivírus" muitas vezes é mais ou menos assim:

- Não preciso de antivírus! Não tenho nada para roubar! Vírus? Ransomware? Vá em frente e me infecte! Vou apenas reinstalar o sistema operacional e não tenho nada a perder - não há nada valioso no meu computador.

- Mas você tem conta no banco, certo? Você faz compras online, não é?

- Bah, o banco tem autenticação de dois fatores. Isso vai me proteger. Mesmo se hackers roubassem o número do meu cartão, eles não poderiam retirar meu dinheiro.

Bem, acontece que eles podem. Em primeiro lugar, nem toda loja online usa proteção 3D Secure , o que significa que nem toda transação requer uma mensagem SMS de confirmação com um código. Mesmo o código CVC (três dígitos no verso do cartão) não é garantia contra o uso indevido - nem todas as transações exigem um.

Além disso, os hackers podem interceptar as mensagens SMS que os bancos enviam e usar os códigos de verificação para obter acesso total a uma conta. Recentemente, uma quantia substancial de dinheiro foi roubada de consumidores infelizes na Alemanha exatamente dessa maneira. Vamos dar uma olhada mais de perto em como isso aconteceu.

SS7: Um buraco no telefone

A interceptação de mensagens SMS é possível devido a vulnerabilidades em um conjunto de protocolos de sinalização de telefonia conhecidos por um nome comum - SS7 (também conhecido como Sistema de sinalização 7, também conhecido como Sistema de sinalização de canal comum 7).

Esses protocolos de sinalização são a espinha dorsal do sistema de comunicação telefônica contemporâneo; eles são projetados para transmitir todas as informações de serviço dentro de uma rede telefônica. Eles foram desenvolvidos já na década de 1970 e implementados pela primeira vez nos anos 80 e, desde então, se tornaram um padrão mundial.

Inicialmente, os protocolos SS7 foram projetados para telefones fixos. A ideia era separar fisicamente os sinais de voz e de serviço, colocando-os em canais diferentes, e isso foi feito para fortalecer a proteção contra invasores de telefone usando caixas especiais para imitar os sinais de tom usados ​​na época para transferir informações de serviço dentro das redes telefônicas. (Sim, as mesmas caixas que Steve Jobs e Steve Wozniak faziam naquela época - mas isso é outra história.)

O mesmo conjunto de protocolos foi implementado posteriormente, em redes móveis. Nesse meio tempo, os desenvolvedores adicionaram uma variedade de recursos. Entre outras coisas, o SS7 é usado para transferir mensagens SMS.

Mas a segurança da informação não era motivo de preocupação há cinquenta anos - pelo menos, não para as tecnologias civis. Eficiência era o que importava, e isso nos deu o Sistema de Sinalização 7 eficiente, mas inseguro.

O principal ponto fraco desse sistema (junto com muitos outros sistemas projetados naquela época) é que ele se baseia na confiança. Supunha-se que apenas as operadoras de rede iriam acessá-lo e, em geral, eram considerados caras legais.

Em última análise, no entanto, o nível de segurança do sistema é definido pelo membro menos protegido . Se algum de seus operadores for hackeado, todo o sistema ficará comprometido. O mesmo é verdade se qualquer administrador de rede trabalhando para qualquer uma dessas operadoras decidir exceder a autoridade e usar o SS7 para seus próprios fins.

O acesso SS7 pode permitir que alguém grampear conversas, determinar a localização do usuário e interceptar mensagens SMS, portanto, não é surpresa que ambos os serviços secretos de vários países e criminosos sejam usuários ativos de acesso SS7 não autorizado.

Como o ataque realmente aconteceu

No caso do ataque recente na Alemanha, foi assim:

1. Os computadores dos usuários foram infectados por um Trojan bancário. É muito fácil ser infectado por um Trojan se você não usar uma solução de segurança, e eles podem funcionar sem sinais óbvios, de modo que os usuários podem nem notá-los.

Usando o Trojan, os hackers roubaram logins e senhas de bancos. (Claro, roubar essas credenciais não é suficiente na maioria dos casos - o código de confirmação do banco enviado por SMS também é necessário.)

2. Aparentemente, o mesmo Trojan foi usado para roubar os números de telefone dos usuários. Esses dados geralmente são solicitados quando as pessoas fazem compras online e não são difíceis de roubar. Portanto, os criminosos tinham as credenciais para acessar as contas bancárias dos usuários e seus números de telefone celular.

3. Os criminosos usaram os logins de banco roubados para iniciar a transferência de dinheiro para sua própria conta bancária. Depois disso, tendo acesso ao SS7 em nome de alguma operadora estrangeira, eles encaminharam as mensagens SMS enviadas para esses números de telefone para o seu próprio telefone e receberam os códigos de confirmação de que precisavam para concluir os logins e transferir dinheiro. O banco não tinha motivo nem para suspeitar de um possível abuso.

A operadora alemã cujos assinantes foram prejudicados por este caso confirmou o ataque. A operadora estrangeira cujo acesso à rede SS7 foi usado para o ataque foi bloqueada e as pessoas afetadas foram notificadas. Não sabemos se eles conseguiram o dinheiro de volta.

Você ainda não precisa de um antivírus?

A autenticação de dois fatores geralmente é considerada segurança sólida - se ninguém além de você tiver acesso ao seu telefone celular, quem mais poderia ler uma mensagem nele? Pois bem, quem tem acesso ao sistema SS7 e se interessa em utilizar as suas mensagens SMS para chegar ao seu dinheiro.

O que você pode fazer para construir uma autenticação de dois fatores adequada e proteger contra ataques semelhantes ao descrito nesta postagem? Aqui estão duas dicas.

O SMS não é a única solução para autenticação de dois fatores. Veja se seu banco oferece suporte a outras variantes mais seguras, como o aplicativo Google Authenticator e chaves USB criptográficas.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.