Više od desetljeća uvriježena kibernetička maksima glasila je: „Bilo kakav 2FA bolji je nego nikakav 2FA.” Iako to još uvijek vrijedi za jednostavne, masovne napade ispunjavanjem vjerodajnica (credential stuffing), dvofaktorska autentifikacija temeljena na SMS-u pretvorila se u katastrofalnu jedinstvenu točku kvara (Single Point of Failure - SPOF). Uz masovna curenja osobnih identifikacijskih podataka (PII) na dark webu, kompromitirana prodajna mjesta telekom operatera i automatizirane okvire obrnutog proxyja protivnika u sredini (Adversary-in-the-Middle - AiTM) poput Evilginxa, SMS 2FA pruža lažan osjećaj sigurnosti. Ovaj tehnički dosje raščlanjuje kako se presreću SMS verifikacije i zašto vaša sigurnost zahtijeva trenutnu migraciju na TOTP i FIDO2 ključeve.
01. Iluzija sigurnosti SMS-a i povijesno naslijeđe
Početkom 2000-ih verifikacija putem SMS-a postala je prevladavajući standard sigurnosti za krajnje korisnike na internetu jer nije stvarala nikakvo trenje pri korištenju. Korisnici nisu trebali instalirati namjenske kriptografske aplikacije niti kupovati hardverske ključeve. Sve dok je netko posjedovao mobilni telefon, verifikacijski kod od 4 do 6 znamenki mogao je stići izravno u njegov džep.
Međutim, protokol usluge kratkih poruka (Short Message Service - SMS) izvorno je formaliziran 1980-ih godina u okviru GSM standardizacije od strane Europskog instituta za telekomunikacijske standarde (ETSI). Nikada nije bio osmišljen za prijenos kriptografskih tajni niti kao protokol za verifikaciju identiteta. SMS porukama nedostaje enkripcija od kraja do kraja (E2EE), nedostaje autentifikacija pošiljatelja i potpuno im nedostaje kriptografsko vezanje uz aktivnu sesiju korisnikova web preglednika (channel binding).
Telekom operateri usmjeravaju tekstualne poruke na temelju međunarodnog identiteta mobilnog pretplatnika (IMSI) koji je trenutno prijavljen na mobilnu baznu stanicu — a ne na temelju identiteta stvarne osobe koja drži uređaj. Kada se oslanjate na SMS 2FA, vaš digitalni identitet nije osiguran kriptografijom; osiguran je odlukom najslabije plaćenog djelatnika korisničke podrške u lokalnoj trgovini mobilnih telefona.
02. Vektor napada 1: Detaljna analiza mehanike zamjene SIM kartice (SIM Swapping)
Zamjena SIM kartice (poznata i kao otmica SIM-a ili port-out prevara) odabrano je oružje ciljanih napadača protiv imućnih vlasnika kriptovaluta, korporativnih direktora i administratora sustava. Napadaču za uspjeh uopće nije potreban fizički pristup uređaju žrtve.
Životni ciklus napada zamjenom SIM kartice:
Napadači kupuju prikupljene podatke iz baza podataka procurjelih na dark webu kako bi prikupili žrtvin OIB ili broj socijalnog osiguranja, puno ime i prezime, datum rođenja, kućnu adresu i primarnog mobilnog operatera.
Napadač zove korisničku podršku operatera pretvarajući se da je žrtva s „izgubljenom ili oštećenom SIM karticom” te točno odgovara na jednostavna sigurnosna pitanja. Alternativno, kibernetičke kriminalne skupine podmićuju djelatnike u maloprodajnim poslovnicama s 500 do 1.000 dolara po neovlaštenoj zamjeni SIM-a.
Operater prebacuje žrtvin MSISDN telefonski broj na napadačevu SIM karticu. Žrtvin telefon odmah gubi mobilni signal i prikazuje poruku „Nema usluge” (No Service) ili „Samo hitni pozivi”. Većina žrtava pretpostavlja da je riječ o privremenom problemu s mrežom, čime gube ključni prozor od 10 minuta za reakciju.
S telefonskim brojem u rukama, napadači pokreću zahtjeve za ponovno postavljanje lozinki na Gmailu, Microsoftu, Telegramu, Binanceu i internetskom bankarstvu. Svaki dolazni jednokratni SMS kod (OTP) stiže izravno na napadačev jednokratni telefon, omogućujući trenutačnu i potpunu kontrolu nad računom.
- Jack Dorsey (izvršni direktor Twittera): U kolovozu 2019. hakeri su ciljali prodajno mjesto AT&T-a kako bi zamijenili Dorseyjev SIM, iskoristivši njegov oteti telefonski broj za objavu uvredljivih tweetova putem Twitterovog starog SMS pristupnika (Cloudhopper).
- X račun Američke komisije za vrijednosne papire i burzu (SEC) (2024.): Napadači su izveli neovlaštenu zamjenu SIM kartice na službenom mobilnom broju za oporavak SEC računa, lažno objavivši odobrenje Spot Bitcoin ETF-ova, što je izazvalo stotine milijuna dolara likvidiranih pozicija s financijskom polugom na globalnim tržištima.
03. Vektor napada 2: Zlouporaba SS7 protokola i mobilne signalizacije
Dok se zamjena SIM kartice oslanja na ljudsku pogrešku, ranjivosti u signalnom sustavu br. 7 (Signaling System No. 7 - SS7) iskorištavaju strukturalne nedostatke u globalnom telekomunikacijskom usmjeravanju.
Osmišljen još 1975. godine, SS7 upravlja uspostavom poziva, translacijom brojeva, isporukom SMS poruka i međunarodnim roamingom između stotina telekoma diljem svijeta. Ključno je što je SS7 izgrađen na modelu slijepog povjerenja: pretpostavlja se da je svaki telekomunikacijski operater spojen na SS7 infrastrukturu dobronamjeran i ovlašten.
To omogućuje neprijateljskim obavještajnim službama ili sofisticiranim kriminalnim sindikatima presretanje bankovnih i kripto OTP kodova preko državnih granica, a da žrtva ništa ne posumnja. Čak i uz nadogradnje na LTE Diameter protokol, kompatibilnost unatrag sa starim SS7 sustavom stvara stalnu izloženost.
04. Vektor napada 3: AiTM phishing u stvarnom vremenu (okvir Evilginx)
Mnogi korisnici pogrešno vjeruju: „Ako mi SIM kartica nije zamijenjena, moji SMS kodovi su sigurni.” Ta pretpostavka pada u vodu pred modernim alatima obrnutog proxyja protivnika u sredini (Adversary-in-the-Middle - AiTM) kao što su Evilginx 3.0, Modlishka i Muraena.
Tradicionalna krađa vjerodajnica stvarala je statične, lažne stranice za prijavu. Današnji napadački obrnuti proxy poslužitelji djeluju kao transparentni posrednici u stvarnom vremenu:
Krade statične lozinke. Trenutačno propada ako je omogućen 2FA jer napadač ne može ponovno iskoristiti jednokratni OTP kod koji istječe unutar 60 sekundi.
Prosleđuje promet uživo između korisnika i legitimnog poslužitelja. Kada korisnik unese svoj SMS kod, proxy ga trenutačno prosljeđuje, dovršava autentifikaciju i krade autentificirane sesijske kolačiće te OAuth autorizacijske tokene.
login.example.com od unosa na login.examp1e.com. Nasuprot tome, FIDO2/WebAuthn autentifikatori vežu potpise javnog ključa izravno uz URL ishodišta (origin URL) u pregledniku, trenutačno zaustavljajući pokušaje phishinga.
05. Vektor napada 4: IMSI hvatači i trojanci za Android
Na razini lokalnih radijskih frekvencija i krajnjih uređaja, SMS poruke nailaze na dodatne ozbiljne ranjivosti:
-
●
IMSI hvatači (Stingrays) i napadi prisilnog vraćanja na 2G mrežu: Lažne prijenosne mobilne bazne stanice odašilju snažne signale koji prisiljavaju obližnje uređaje da se odspoje s 4G/5G mreža i prebace na stari 2G (GSM). Budući da GSM ne autentificira baznu stanicu prema mobilnom uređaju, napadači iskorištavaju probijene šifre A5/1 kako bi presretali i dešifrirali glasovne pozive i tekstualne SMS tokene izravno iz zraka.
-
●
Zlonamjerni programi (malware) za praćenje SMS-a na Androidu: Prijevarne aplikacije ili instalirane APK datoteke traže dopuštenja
android.permission.RECEIVE_SMSiliBIND_NOTIFICATION_LISTENER_SERVICE. Jednom instalirani pozadinski procesi presreću verifikacijske kodove čim stignu, prosljeđujući ih u stvarnom vremenu putem šifriranih Telegram botova ili zapovjedno-kontrolnih poslužitelja.
06. Smjernice NIST SP 800-63B o napuštanju SMS-a
Prepoznajući ove pogubne vektore napada, Nacionalni institut za standarde i tehnologiju SAD-a (NIST) službeno je ograničio autentifikaciju putem SMS-a u svom mjerodavnom dokumentu za upravljanje identitetom, Special Publication 800-63B (Smjernice za digitalni identitet: Autentifikacija i upravljanje životnim ciklusom):
„Izvanpojasna (Out-of-band - OOB) autentifikacija koja koristi sustave javne komutirane telefonske mreže (PSTN - SMS ili glasovni poziv) formalno se označava kao OGRANIČENA (RESTRICTED). Sustavi koji primjenjuju provjeru putem SMS-a moraju izričito dokumentirati i prihvatiti egzistencijalne rizike od zamjene SIM kartice, lažiranja broja, presretanja signalizacije i kloniranja uređaja. Za organizacije koje se pridržavaju razine osiguranja autentifikatora 2 (AAL2) ili više, strogo se zahtijeva korištenje kriptografskih višefaktorskih autentifikatora (TOTP aplikacije ili hardverski FIDO tokeni).”
Europske institucije (ENISA) i Američka agencija za kibernetičku i infrastrukturnu sigurnost (CISA) podržale su ovu politiku, nalažući poduzećima i državnim tijelima agresivno izbacivanje SMS autentifikacije iz kritične infrastrukture.
07. Arhitektonska usporedba: SMS vs TOTP vs FIDO2
Zašto je vremenski jednokratna lozinka (RFC 6238 TOTP) temeljno nadmoćnija od SMS-a? Tablica u nastavku prikazuje usporedbu ključnih arhitektonskih i sigurnosnih značajki:
| Sigurnosna dimenzija | SMS verifikacija | TOTP autentifikator (RFC 6238) | Hardverski FIDO2 / YubiKey |
|---|---|---|---|
| Kanal isporuke | Mreža mobilnog operatera | 100% lokalna matematika na klijentu | Lokalni Secure Element čip |
| Otpornost na zamjenu SIM-a | Nikakva (trenutačno kompromitiran) | Imun (neovisan o telefonskom broju) | Imun (hardverski izoliran) |
| SS7 presretanje signalizacije | Ranjiv | Imun (nema mrežnih paketa) | Imun (nema mrežnog prijenosa) |
| IMSI hvatač / 2G degradacija | Ranjiv | Imun | Imun |
| AiTM obrnuti proxy (Evilginx) | Lako se zaobilazi | Umjerena (zahtijeva oprez korisnika) | Savršena (vezanje uz domenu ishodišta) |
| Zrakoplovni način rada / Izvanmrežno korištenje | Nedostupno | Potpuno funkcionalno (samo sat uređaja) | Potpuno funkcionalno |
| Trošak implementacije | Naknade operateru po svakom SMS-u | Besplatan i otvoren standard | Kupnja hardverskog tokena (45 – 80 €) |
08. Praktični plan obrane i migracije
Nemojte čekati da vaš mobilni signal tajanstveno nestane kako biste riješili ovu ranjivost. Poduzmite ove konkretne korake već danas:
Prijavite se na Google, Apple ID, GitHub, Binance, Kraken i svoje primarne pružatelje e-pošte. Postavite aplikaciju za autentifikaciju (kao što su Aegis, 2FAS ili Bitwarden) ili hardverski sigurnosni ključ. Ako sustav to dopušta, izričito onemogućite SMS kao rezervni način oporavka računa.
Kontaktirajte svog telekom operatera (Hrvatski Telekom, A1, Telemach itd.) i zatražite postavljanje obveznog PIN-a za prijenos broja (Port-Out PIN) ili zabranu neovlaštenih izmjena na računu. Također uključite SIM PIN u postavkama sustava iOS/Android kako se ukradena fizička SIM kartica ne bi mogla umetnuti u drugi telefon.
Svaki put kada postavljate autentifikator, zapišite izvorni 16-znakovni Base32 tajni ključ na fizički medij izvan mreže (papir ili šifriranu hladnu pohranu) i sigurno sačuvajte 10 jednokratnih kodova za hitan oporavak računa.
09. Često postavljana pitanja (FAQ)
P1: Nije li SMS 2FA ipak bolji nego nemati nikakav drugi faktor zaštite? ▼
Za osnovne automatizirane napade botova koji isprobavaju slabe i višestruko korištene lozinke, SMS 2FA pruža minimalnu razinu zaštite. Međutim, paradoks SMS 2FA leži u tome što servisi često tretiraju vaš telefonski broj kao nepogrešivi glavni ključ za oporavak. Ako ciljani napadač zamijeni vaš SIM, SMS prestaje biti obrana i postaje glavno oružje kojim se poništava svaka lozinka koju posjedujete.
P2: Štiti li me korištenje eSIM kartice od napada zamjene SIM-a? ▼
Ne. eSIM pruža zaštitu od fizičke krađe plastične kartice, ali ne štiti od socijalnog inženjeringa. Napadač koji uvjeri djelatnika korisničke podrške da prebaci vaš broj jednostavno dobiva elektronički eSIM QR kod, čime vaš broj preuzima na svoj uređaj putem interneta u nekoliko sekundi.
P3: Zašto komercijalne banke i dalje inzistiraju na SMS verifikaciji? ▼
Zbog demografske inercije i ogromnih troškova korisničke podrške. Prisiljavanje milijuna netehničkih korisnika bankarskih usluga na korištenje autentifikacijskih aplikacija preopteretilo bi pozivne centre. Banke umjesto toga godišnje apsorbiraju stotine milijuna eura gubitaka zbog prijevara, oslanjajući se na pozadinske modele procjene rizika (kao što je provjera s telekomima je li SIM kartica zamijenjena u posljednja 24 sata).
P4: Što trebam odmah učiniti ako moj pametni telefon iznenada prikaže „Nema usluge”? ▼
Tretirajte to kao kritični sigurnosni incident. Odmah se spojite na pouzdanu Wi-Fi mrežu, nazovite svog mobilnog operatera s fiksnog telefona ili drugog uređaja i provjerite je li vaš broj prenesen ili zamijenjen. Istovremeno zamrznite račune na kripto mjenjačnicama i promijenite lozinke primarne e-pošte s računala.
P5: Može li napadač koji mi je zamijenio SIM kompromitirati moj TOTP autentifikator? ▼
Ne. Autentifikacijske aplikacije izračunavaju kodove lokalno koristeći unaprijed podijeljeni kriptografski ključ pohranjen unutar izoliranog hardverskog skladišta ključeva na vašem uređaju. Mobilna mreža nema nikakav pristup tom ključu. Čak i ako napadač ima potpunu kontrolu nad vašim telefonskim brojem, ne može generirati vaše TOTP kodove.
Generirajte sigurne TOTP kodove izravno u svom pregledniku
Zaboravite na rizike presretanja mobilnog prometa. 2FA-Tool koristi W3C Web Crypto API za izračun RFC 6238 kodova isključivo unutar sigurnog izoliranog okruženja vašeg preglednika, čuvajući vaše ključeve privatnima i izvan mreže.