Essa prática de reciclar números de telefone é padrão, mas representa um risco significativo de privacidade e segurança, conforme constatou um estudo recente. Os números de telefone reciclados não são apenas incrivelmente fáceis de obter, mas também podem ser usados ​​para encenar uma infinidade de ataques a seus proprietários anteriores, desde invasões de conta e ataques de phishing e spam, até mesmo impedir que novos proprietários se inscrevam em serviços online e pedindo resgate para liberar o número.

Como funcionam os ataques

O estudo descreve oito tipos de ataques, mas o método mais simples e barato de executar é o ataque de pesquisa reversa . Aqui, os invasores usam a interface online da operadora para tentar identificar um número de telefone reciclado, comprá-lo e usá-lo para acessar a conta da vítima vinculada a esse número.

Isso pode ser feito se a vítima usa SMS para autenticação de dois fatores (2FA) e não atualizou seu número de telefone. Dos 259 números de telefone avaliados, 66% eram "vulneráveis ​​a sequestros de contas em seis sites populares: Amazon, AOL, Facebook, Google, Paypal e Yahoo" e 39% eram "vinculados a credenciais de login vazadas na web, que pode permitir o sequestro de contas que anula a autenticação multi-fator de SMS.”

Então, se, por exemplo, você estava usando o SMS 2FA no Facebook e um vazamento do Facebook expôs um número de telefone antigo vinculado à sua conta, alguém poderia obter acesso à sua conta, redefinir sua senha e bloqueá-lo.

Ainda mais alarmante é que 66% desses números de telefone também podem ser usados ​​para encontrar informações de identificação pessoal, como o nome e a localização do proprietário anterior, em serviços de pesquisa de pessoas como BeenVerified ou Intelius.

Existem cinco exploits adicionais de reciclagem de números também descritos em seu estudo que visam proprietários anteriores e futuros, permitindo que um invasor se faça passar por proprietários anteriores, sequestra contas online e execute ataques de negação de serviço.

Milhões de números de telefone antigos, fáceis de explorar

De acordo com a Federal Communications Commission, 35 milhões de números de telefone são desconectados nos EUA todos os anos. Esses números de telefone, então, aparecem em interfaces de mudança de número em sites de operadoras de celular, como Verizon e T-Mobile, que não apenas permitem que você percorra uma fonte infinita de números, mas também veja o número inteiro antes de mudar também. Isso permite que os invasores encontrem e explorem esses números antes que eles sejam selecionados por futuros usuários.

O estudo chegou às transportadoras americanas com suas descobertas. A T-Mobile e a Cellular Telecommunications Industry Association agora lembram os usuários de atualizarem suas informações de contato em todas as suas contas vinculadas ao número antigo quando obtiverem um novo. O estudo também aponta várias coisas que os usuários podem fazer para se proteger de tais ataques, a saber...

Pare de usar seu número de telefone para 2FA

Este estudo é mais uma evidência para mostrar como a autenticação baseada em SMS pode ser arriscada , especialmente porque os invasores nem precisam saber sua senha para redefinir e acessar sua conta ao usar seu número de telefone.

Se você precisar alterar seu número de telefone, o estudo recomenda que você faça o seguinte:

Desvincule seu número de telefone dos serviços online primeiro.

Use uma alternativa segura ao SMS, como aplicativos de autenticação ou até mesmo chaves de hardware, se possível.

Considere usar um serviço de “estacionamento” de baixo custo que permite que você mantenha o seu número antigo.

Os vazamentos de dados estão aumentando em escala e frequência, expondo detalhes de centenas de milhões de pessoas conectadas a plataformas de mídia social e outros serviços online. Com os vazamentos ajudando os agentes mal-intencionados a explorar essas informações para ganho pessoal, agora é ainda mais importante manter o controle sobre a segurança e a privacidade de suas contas.

Use um aplicativo 2FA, desative os serviços online e bancos de dados que compartilham suas informações pessoais publicamente, verifique suas configurações de privacidade e segurança em seus dispositivos e reconsidere os serviços que você usa atualmente.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.