Több mint egy évtizeden át a kiberbiztonság általános alaptézise így szólt: "Bármilyen kétlépcsős azonosítás jobb, mint a semmilyen." Noha ez továbbra is igaz az alacsony szintű, automatizált tömeges jelszótámadásokkal (credential stuffing) szemben, az SMS-alapú kétfaktoros hitelesítés mára katasztrofális egyetlen hibaforrássá (Single Point of Failure) vált. A darkneten keringő hatalmas személyes adatbázisok (PII), a feltört mobilszolgáltatói üzletek és az Evilginx-hez hasonló automatizált Adversary-in-the-Middle (AiTM) fordított proxy eszközök miatt az SMS 2FA hamis biztonságérzetet nyújt. Ez a technikai dokumentum részletesen feltárja, hogyan hallgatják le az SMS-ellenőrzést, és miért elengedhetetlen az azonnali átállás a TOTP és FIDO2 kulcsokra.
01. Az SMS-biztonság illúziója és történelmi öröksége
A 2000-es évek elején az SMS-alapú ellenőrzés lett az online fogyasztói biztonság domináns szabványa a zéró felhasználói súrlódásnak köszönhetően. A felhasználóknak nem kellett dedikált titkosító alkalmazásokat telepíteniük vagy hardverkulcsokat vásárolniuk. Amíg rendelkeztek mobiltelefonnal, a 4-6 számjegyű kód közvetlenül a zsebükbe érkezett.
Azonban a Short Message Service (SMS) protokollt eredetileg az 1980-as években szabványosította a GSM keretében az Európai Távközlési Szabványügyi Intézet (ETSI). Soha nem arra tervezték, hogy kriptográfiai titkokat továbbítson, vagy személyazonosság-ellenőrzési protokollként szolgáljon. Az SMS-üzenetekből hiányzik a végpontok közötti titkosítás (End-to-End Encryption), a feladó hitelesítése, és teljesen hiányzik a kriptográfiai csatornakötés (Channel Binding) a felhasználó aktív böngészési munkamenetéhez.
A távközlési szolgáltatók a szöveges üzeneteket a bázisállomáshoz éppen bejelentkezett Nemzetközi Mobil Előfizetői Azonosító (IMSI) alapján irányítják – és nem az eszközt kézben tartó ember személyazonossága szerint. Amikor az SMS 2FA-ra hagyatkozik, digitális identitását nem erős kriptográfia védi, hanem a helyi telefonos üzlet legalacsonyabban fizetett ügyfélszolgálati munkatársa.
02. 1. támadási vektor: A SIM-csere (SIM Swapping) részletes működése
A SIM-csere (más néven SIM-eltérítés vagy számhordozási csalás) a vagyonos kriptotulajdonosokat, vállalati vezetőket és rendszergazdákat támadó kiberbűnözők kedvenc fegyvere. A támadónak egyáltalán nincs szüksége a célpont készülékének fizikai birtoklására.
A SIM-cserés támadás életciklusa:
A támadók kiszivárgott adatbázisokból megvásárolják az áldozat személyes azonosító adatait: teljes nevét, születési idejét, lakcímét, adóazonosítóját/társadalombiztosítási számát és elsődleges mobilszolgáltatóját.
A támadó felhívja az ügyfélszolgálatot az áldozatnak kiadva magát egy "elveszett vagy sérült SIM-kártyára" hivatkozva, és sikeresen megválaszolja az egyszerű biztonsági kérdéseket. Alternatív megoldásként a bűnszervezetek 500–1000 dolláros kenőpénzt fizetnek az üzletek alkalmazottainak minden jogosulatlan SIM-cseréért.
A mobilszolgáltató átirányítja az áldozat telefonszámát a támadó SIM-kártyájára. Az áldozat telefonja azonnal elveszíti a térerőt, és a "Nincs szolgáltatás" vagy "Csak segélyhívás" állapotba kerül. A legtöbb áldozat átmeneti hálózati hibára gyanakszik, ezzel elveszítve a kritikus első 10 perces reakcióidőt.
A birtokba vett telefonszámmal a támadók jelszó-visszaállítást kezdeményeznek a Gmail, Microsoft, Telegram, Binance és online banki felületeken. Minden beérkező SMS-kód közvetlenül a támadó készülékére érkezik, azonnali és teljes fiók-hozzáférést biztosítva.
- Jack Dorsey (a Twitter vezérigazgatója): 2019 augusztusában hackerek az AT&T egyik üzletén keresztül cserélték ki Dorsey SIM-kártyáját, és az eltérített számmal sértő üzeneteket tettek közzé a Twitter régi SMS-küldő átjáróján (Cloudhopper) keresztül.
- Az USA Értékpapír- és Tőzsdefelügyeletének (SEC) X-fiókja (2024): Támadók jogosulatlan SIM-cserét hajtottak végre a SEC hivatalos fiókjához tartozó helyreállítási telefonszámon, és hamisan bejelentették a Spot Bitcoin ETF-ek jóváhagyását, ami több száz millió dolláros tőkeáttételes pozíció felszámolásához vezetett a globális piacokon.
03. 2. támadási vektor: Az SS7 és mobilhálózati protokollok kihasználása
Míg a SIM-csere emberi mulasztásra épül, a Signaling System No. 7 (SS7) sebezhetőségei a globális telekommunikációs útválasztás strukturális hibáit használják ki.
Az 1975-ben tervezett SS7 kezeli a hívásfelépítést, a számfordítást, az SMS-kézbesítést és a nemzetközi roamingot több száz távközlési szolgáltató között világszerte. Alapvető probléma, hogy az SS7 vakbizalmi modellen alapul: a gerinchálózathoz kapcsolódó bármely szolgáltatót jóindulatúnak és jogosultnak tekint.
Ez lehetővé teszi ellenséges hírszerző ügynökségek vagy kifinomult bűnszervezetek számára, hogy országhatárokon átívelve hallgassanak le banki és kripto OTP-kódokat anélkül, hogy az áldozat bármit is sejtene. Még az LTE Diameter protokollfrissítései mellett is a régi SS7-tel való visszafelé kompatibilitás tartós kitettséget jelent.
04. 3. támadási vektor: Valós idejű AiTM adathalászat (Evilginx keretrendszer)
Sok felhasználó tévesen hiszi: "Ha a SIM-kártyámat nem cserélik ki, a szöveges kódjaim biztonságban vannak." Ez a feltételezés azonnal megdől a modern Adversary-in-the-Middle (AiTM) fordított proxy eszközökkel szemben, mint amilyen az Evilginx 3.0, a Modlishka vagy a Muraena.
A hagyományos adathalászat statikus, hamisított bejelentkezési űrlapokat hozott létre. A mai támadó fordított proxyk élő, transzparens közvetítőként működnek:
Statikus jelszavakat lop el. Azonnal elbukik, ha a 2FA be van kapcsolva, mivel a támadó nem tudja visszajátszani a 60 másodpercen belül lejáró OTP kódot.
Élő adatforgalmat közvetít a felhasználó és a valódi szerver között. Amikor a felhasználó megadja az SMS-kódot, a proxy azonnal továbbítja azt, befejezi a hitelesítést, és ellopja a hitelesített munkamenet-sütiket (Session Cookies) és OAuth tokeneket.
login.example.com vagy a login.examp1e.com oldalon. Ezzel szemben a FIDO2/WebAuthn hitelesítők a nyilvános kulcsú aláírásokat közvetlenül a böngésző domain URL-jéhez kötik, azonnal megállítva az adathalászati kísérleteket.
05. 4. támadási vektor: IMSI-fogók (Stingrays) és Android trójaiak
A helyi rádiófrekvenciás és a végponti eszközök szintjén az SMS további súlyos sebezhetőségekkel szembesül:
-
●
IMSI-fogók (Stingray) és 2G visszaléptetéses támadások: A hordozható hamis bázisállomások nagy teljesítményű jeleket sugároznak, amelyek arra kényszerítik a közeli telefonokat, hogy lekapcsolódjanak a 4G/5G hálózatokról, és visszalépjenek a régi 2G (GSM) szintre. Mivel a GSM nem hitelesíti a bázisállomást a mobiltelefon felé, a támadók feltört A5/1 rejtjelezést használnak a hanghívások és az egyszerű szöveges SMS-tokenek éteren keresztüli visszafejtésére.
-
●
Android SMS-lehallgató kártevők: Megtévesztő segédprogramok vagy külső forrásból telepített APK fájlok
android.permission.RECEIVE_SMSvagyBIND_NOTIFICATION_LISTENER_SERVICEjogosultságokat kérnek. A telepítés után a háttérfolyamatok lehallgatják az ellenőrző kódokat azok megérkezésekor, és titkosított Telegram-botokon vagy vezérlőszervereken (C2) keresztül valós időben továbbítják azokat.
06. A NIST SP 800-63B korlátozási irányelvei
Felismerve ezeket a végzetes támadási vektorokat, az Amerikai Nemzeti Szabványügyi és Technológiai Intézet (NIST) hivatalosan korlátozta az SMS-hitelesítést a meghatározó digitális identitás-szabványában, a Special Publication 800-63B (Digitális identitás irányelvek: Hitelesítés és életciklus-kezelés) dokumentumban:
"A PSTN-rendszereket (SMS vagy hanghívás) használó sávon kívüli (Out-of-band - OOB) hitelesítés hivatalosan KORLÁTOZOTT (RESTRICTED) besorolású. Az SMS-alapú ellenőrzést alkalmazó rendszereknek kifejezetten dokumentálniuk és vállalniuk kell a SIM-csere, a számmegszemélyesítés, a jelzéslehallgatás és az eszközklónozás egzisztenciális kockázatait. Az Authenticator Assurance Level 2 (AAL2) vagy magasabb szintet követő szervezetek számára kriptográfiai többfaktoros hitelesítők (TOTP alkalmazások vagy hardveres FIDO tokenek) használata kötelező jelleggel elvárt."
Az európai hatóságok (ENISA) és az Egyesült Államok Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (CISA) megerősítették ezt az irányelvet, és arra utasították a vállalatokat és kormányzati szerveket, hogy fokozatosan vezessék ki az SMS-hitelesítést a kritikus infrastruktúrákból.
07. Architektúra-összehasonlítás: SMS vs. TOTP vs. FIDO2
Miért alapvetően biztonságosabb az időalapú egyszer használatos jelszó (RFC 6238 TOTP), mint az SMS? Az alábbi összehasonlító táblázat összefoglalja az architekturális biztonsági jellemzőket:
| Biztonsági dimenzió | SMS-ellenőrzés | TOTP hitelesítő (RFC 6238) | Hardveres FIDO2 / YubiKey |
|---|---|---|---|
| Kézbesítési csatorna | Mobil távközlési hálózat | 100% helyi kliensoldali matematika | Helyi Secure Element chip |
| SIM-cserével szembeni ellenállás | Nulla (Azonnal eltéríthető) | Védett (Független a telefonszámtól) | Védett (Hardveresen izolált) |
| SS7 jelzéslehallgatás | Sebezhető | Védett (Nincs hálózati csomagforgalom) | Védett (Nincs hálózati adatátvitel) |
| IMSI-fogó / 2G visszaléptetés | Sebezhető | Védett | Védett |
| AiTM fordított proxy (Evilginx) | Könnyen kijátszható | Közepes (Felhasználói éberséget igényel) | Tökéletes (Eredetkötés védelem) |
| Repülőgépes üzemmód / Offline használat | Nem érhető el | Teljesen működőképes (Csak időbélyeg) | Teljesen működőképes |
| Bevezetési költség | SMS-enkénti szolgáltatói díj | Ingyenes és nyílt szabvány | Hardvertoken ($45 – $80) |
08. Gyakorlati védelmi és átállási ütemterv
Ne várja meg, amíg a mobil térerő rejtélyes módon megszűnik a telefonján. Tegye meg ezeket a konkrét lépéseket még ma:
Jelentkezzen be a Google, Apple ID, GitHub, Binance, Kraken és az elsődleges e-mail szolgáltatóiba. Regisztráljon egy hitelesítő alkalmazást (például Aegis, 2FAS vagy Bitwarden) vagy fizikai hardverkulcsot. Ha a rendszer engedi, kifejezetten tiltsa le az SMS-t tartalék helyreállítási módszerként.
Lépjen kapcsolatba a mobilszolgáltatójával, és állítson be kötelező hordozási PIN-kódot vagy fiókzárolást (Port-Out Freeze). Aktiválja a SIM PIN-kódot az iOS/Android beállításaiban, hogy az ellopott fizikai SIM-kártyát ne lehessen másik telefonba helyezve használni.
Minden alkalommal, amikor hitelesítőt állít be, mentse el a nyers 16 karakteres Base32 titkos kulcsot egy offline fizikai adathordozóra (papírra vagy titkosított hideg tárolóra), és őrizze meg a fiókhoz tartozó 10 egyszer használatos vészhelyzeti helyreállítási kódot.
09. Gyakran Ismételt Kérdések (GYIK)
1. kérdés: Nem jobb az SMS 2FA, mint ha egyáltalán nem lenne második faktor? ▼
Az alapvető, újrafelhasznált jelszavakat kereső automatizált bottámadások ellen az SMS 2FA nyújt némi védelmet. Az SMS 2FA paradoxona azonban az, hogy a szolgáltatások a telefonszámot tévedhetetlen mesterkulcsként kezelik a helyreállításhoz. Ha egy célzott támadó kicseréli a SIM-kártyáját, az SMS nem védelem többé, hanem az a fegyver, amellyel minden jelszavát visszaállítja.
2. kérdés: Védelmet nyújt-e az eSIM a SIM-csere ellen? ▼
Nem. Az eSIM védelmet nyújt a fizikai kártya ellopása ellen, de hatástalan a pszichológiai manipulációval (social engineering) szemben. Azok a támadók, akik meggyőzik az ügyfélszolgálatot a szám átregisztrálásáról, egyszerűen kapnak egy elektronikus eSIM QR-kódot, és másodpercek alatt letöltik a számot a saját eszközükre az interneten keresztül.
3. kérdés: Miért követelik meg a lakossági bankok még mindig az SMS-ellenőrzést? ▼
A felhasználói szokások és az ügyfélszolgálati leterheltség miatt. Ha több millió, technológiailag kevésbé képzett banki ügyfelet kényszerítenének hitelesítő alkalmazások használatára, az túlterhelné a telefonos ügyfélszolgálatokat. A bankok inkább évente több száz millió dolláros csalási kárt vállalnak magukra, és a háttérben futó kockázatelemző modellekre támaszkodnak (például lekérdezik a mobilszolgáltatókat, hogy történt-e SIM-csere az elmúlt 24 órában).
4. kérdés: Mit tegyek azonnal, ha az okostelefonom azt jelzi, hogy "Nincs szolgáltatás" (No Service)? ▼
Kezelje kritikus biztonsági incidensként. Csatlakozzon azonnal egy megbízható Wi-Fi hálózatra, hívja fel a szolgáltatóját vezetékes telefonról vagy más készülékről, és ellenőrizze, hogy átirányították-e a számát. Ezzel párhuzamosan zárolja kriptotőzsdei fiókjait, és változtassa meg elsődleges e-mail jelszavait egy biztonságos asztali számítógépről.
5. kérdés: Kompromittálhatja-e a TOTP hitelesítőmet egy olyan támadó, aki elvégzi a SIM-cserét? ▼
Egyáltalán nem. A hitelesítő alkalmazások helyileg generálják a kódokat egy előre megosztott titkos kulcs segítségével, amely a készülék hardveresen elszigetelt kulcstárában (Keystore) található. A mobilhálózatnak semmilyen hozzáférése sincs ehhez a kulcshoz. Még ha a támadó teljes mértékben uralja is a telefonszámát, képtelen előállítani az Ön TOTP kódjait.
Generáljon biztonságos TOTP kódokat közvetlenül a böngészőjében
Felejtse el a mobilhálózati lehallgatási kockázatokat. A 2FA-Tool a W3C Web Crypto API-t használja az RFC 6238 kódok generálásához tisztán a helyi böngésző elkülönített környezetében, megőrizve kulcsai offline és privát jellegét.