Viac ako desať rokov bolo konvenčným heslom v kybernetickej bezpečnosti tvrdenie: „Akékoľvek 2FA je lepšie ako žiadne 2FA.“ Hoci to stále platí pre hromadné automatizované útoky typu credential stuffing s nízkym úsilím, dvojfaktorové overovanie cez SMS sa zmenilo na katastrofálny jediný bod zlyhania. Vzhľadom na masívne úniky osobných identifikačných údajov (PII) na dark webe, kompromitované predajne mobilných operátorov a automatizované nástroje reverzného proxy typu Adversary-in-the-Middle (AiTM) ako Evilginx poskytuje SMS 2FA len falošný pocit bezpečia. Táto technická štúdia podrobne analyzuje, ako je možné overovacie SMS správy zachytiť a prečo vaša bezpečnostná stratégia vyžaduje okamžitý prechod na TOTP a bezpečnostné kľúče FIDO2.
01. Ilúzia bezpečnosti SMS a historické dedičstvo
Začiatkom 21. storočia sa overovanie cez SMS stalo dominantným štandardom pre zabezpečenie online používateľov vďaka nulovým prekážkam pri používaní. Používatelia nemuseli inštalovať špeciálne kryptografické aplikácie ani kupovať hardvérové kľúče. Pokiaľ človek vlastnil mobilný telefón, 4- až 6-ciferný overovací kód mohol byť doručený priamo do jeho vrecka.
Protokol Short Message Service (SMS) bol však pôvodne navrhnutý už v 80. rokoch 20. storočia v rámci štandardizácie GSM Európskym inštitútom pre telekomunikačné normy (ETSI). Nikdy nebol koncipovaný na prenos kryptografických tajomstiev ani ako protokol na overovanie identity. Správam SMS chýba koncové šifrovanie (end-to-end encryption), chýba overenie pôvodu odosielateľa a úplne im chýba kryptografická väzba na reláciu prehliadača používateľa (channel binding).
Telekomunikační operátori smerujú textové správy na základe medzinárodnej identity mobilného účastníka (IMSI) aktuálne prihlásenej k základňovej stanici (vysielaču) – nie na základe identity osoby, ktorá drží fyzické zariadenie v ruke. Keď sa spoliehate na SMS 2FA, vaša digitálna identita nie je chránená kryptografiou; je závislá od najhoršie plateného pracovníka zákazníckej podpory v pobočke mobilného operátora.
02. Vektor útoku 1: Hĺbková analýza mechanizmov SIM Swappingu
SIM Swapping (známy aj ako únos SIM karty alebo neoprávnený prenos čísla) je preferovanou zbraňou cielených útočníkov zameraných na držiteľov kryptomien, manažérov firiem a správcov systémov. Útočník nepotrebuje fyzický prístup k telefónu obete.
Životný cyklus útoku SIM Swapping:
Útočníci kupujú konsolidované dáta z uniknutých databáz na dark webe s cieľom získať rodné číslo, celé meno, dátum narodenia, adresu trvalého bydliska a primárneho mobilného operátora obete.
Útočník zavolá na zákaznícku linku operátora, predstiera, že je obeť s „stratenou alebo poškodenou SIM kartou“, a úspešne zodpovie triviálne overovacie otázky. Alternatívne kyberkriminálne gangy podplácajú zamestnancov predajní sumou 500 až 1 000 USD za každú neoprávnenú výmenu SIM karty.
Operátor priradí telefónne číslo obete (MSISDN) na novú SIM kartu patriacu útočníkovi. Telefón obete okamžite stratí mobilné pripojenie a zobrazí „Žiadna služba“ alebo „Iba tiesňové volania“. Väčšina obetí predpokladá len dočasný výpadok siete, čím premárni kritické 10-minútové okno na reakciu.
S telefónnym číslom pod kontrolou útočníci iniciujú požiadavky na obnovenie hesla v službách Gmail, Microsoft, Telegram, Binance a v internetovom bankovníctve. Každý prichádzajúci overovací SMS kód dorazí priamo na telefón útočníka, čo mu umožní okamžite prevziať plnú kontrolu nad účtom.
- Jack Dorsey (výkonný riaditeľ Twitteru): V auguste 2019 hackeri oklamali operátora AT&T a vymenili Dorseyho SIM kartu. S ukradnutým číslom publikovali urážlivé príspevky cez staršiu SMS bránu Twitteru (Cloudhopper).
- Účet americkej Komisie pre cenné papiere a burzy (SEC) na sieti X (2024): Útočníci vykonali neoprávnený SIM swap na záložnom telefónnom čísle oficiálneho účtu SEC a falošne oznámili schválenie spotových Bitcoin ETF, čo spôsobilo likvidáciu pákových pozícií za stovky miliónov dolárov na svetových trhoch.
03. Vektor útoku 2: Zneužitie protokolov SS7 a mobilných sietí
Kým SIM swapping sa spolieha na ľudské zlyhanie, zraniteľnosti v signalizačnom systéme Signaling System No. 7 (SS7) využívajú štrukturálne nedostatky v globálnom telekomunikačnom smerovaní.
Systém SS7 navrhnutý v roku 1975 riadi zostavovanie hovorov, preklad čísel, doručovanie SMS správ a medzinárodný roaming medzi stovkami operátorov po celom svete. Zásadným problémom je, že SS7 bol navrhnutý na základe modelu slepej dôvery: akýkoľvek telekomunikačný operátor pripojený k chrbticovej sieti SS7 je považovaný za dôveryhodného a autorizovaného.
To umožňuje nepriateľským spravodajským službám alebo sofistikovaným kriminálnym skupinám zachytávať jednorazové heslá (OTP) z bánk a krypto búrok cez medzinárodné hranice bez toho, aby obeť mala akékoľvek podozrenie. Ani prechod na protokol LTE Diameter túto hrozbu úplne neodstránil kvôli spätnej kompatibilite so starším SS7.
04. Vektor útoku 3: Phishing v reálnom čase typu AiTM (rámec Evilginx)
Mnohí používatelia sa mylne domnievajú: „Pokiaľ mi nikto nevymenil SIM kartu, moje SMS kódy sú v bezpečí.“ Tento predpoklad padá pri konfrontácii s modernými reverznými proxy nástrojmi Adversary-in-the-Middle (AiTM), ako sú Evilginx 3.0, Modlishka a Muraena.
Tradičný phishing vytváral statické podvodné prihlasovacie formuláre. Dnešné reverzné proxy nástroje fungujú ako priami transparentní sprostredkovatelia v reálnom čase:
Kradne statické heslá. Zlyháva pri zapnutom 2FA, pretože útočník nedokáže znova použiť jednorazový expirovaný kód.
Sprostredkováva živú komunikáciu medzi používateľom a legitímnym serverom. Keď používateľ zadá SMS kód, proxy ho okamžite prepošle, dokončí overenie a ukradne reláciu (session cookies) a overovacie tokeny OAuth.
login.example.com a login.examp1e.com. Naopak autentifikátory FIDO2/WebAuthn viažu podpis verejného kľúča priamo na doménu v prehliadači, čím phishingové útoky okamžite eliminujú.
05. Vektor útoku 4: IMSI Catchery a trójske kone pre Android
Na úrovni rádiového rozhrania a koncových zariadení čelia SMS správy ďalším závažným rizikám:
-
●
IMSI Catchery (Stingray) a útoky na vynútenie 2G: Falošné prenosné základňové stanice vysielajú silný signál, ktorý núti okolité telefóny odpojiť sa od 4G/5G a prejsť na zastaraný štandard 2G (GSM). Keďže GSM neoveruje základňovú stanicu voči telefónu, útočníci využívajú prelomené šifry A5/1 na dešifrovanie hovorov a nešifrovaných SMS kódov priamo zo vzduchu.
-
●
Špionážny malvér pre Android zachytávajúci SMS: Podvodné aplikácie alebo manuálne inštalované APK balíčky vyžadujú povolenia
android.permission.RECEIVE_SMSaleboBIND_NOTIFICATION_LISTENER_SERVICE. Po inštalácii zachytávajú overovacie kódy na pozadí a okamžite ich odosielajú útočníkom cez Telegram botov alebo riadiace C&C servery.
06. Odporúčania NIST SP 800-63B o obmedzení SMS
Vzhľadom na tieto zničujúce vektory útokov Národný inštitút pre štandardy a technológie (NIST) oficiálne obmedzil používanie SMS autentifikácie vo svojom kľúčovom dokumente Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management):
„Autentifikácia mimo pásma (OOB) využívajúca verejné telefónne siete PSTN (SMS alebo hlasové volania) je formálne označená ako OBMEDZENÁ (RESTRICTED). Systémy nasadzujúce overovanie cez SMS musia explicitne dokumentovať a prijať existenčné riziká výmeny SIM karty, podvrhnutia čísla, signalizačného odpočúvania a klonovania zariadení. Pre organizácie dodržiavajúce úroveň Authenticator Assurance Level 2 (AAL2) alebo vyššiu sa dôrazne vyžaduje používanie kryptografických viacfaktorových autentifikátorov (aplikácií TOTP alebo hardvérových FIDO tokenov).“
Európske autority (ENISA) a americká agentúra CISA vydali zhodné stanoviská, v ktorých nariaďujú podnikom a vládnym inštitúciám urýchlene odstrániť SMS overovanie z kritických infraštruktúr.
07. Porovnanie architektúr: SMS vs TOTP vs FIDO2
Prečo je časovo založené jednorazové heslo (RFC 6238 TOTP) principiálne lepšie ako SMS? Nasledujúca tabuľka zhŕňa architektonické bezpečnostné parametre:
| Bezpečnostný rozmer | Overenie cez SMS | TOTP autentifikátor (RFC 6238) | Hardvérový FIDO2 / YubiKey |
|---|---|---|---|
| Doručovací kanál | Mobilná sieť operátora | 100 % lokálna matematika na zariadení | Lokálny bezpečnostný čip (Secure Element) |
| Odolnosť voči SIM Swap | Nulová (Okamžité prevzatie) | Imúnne (Nezávislé od telefónneho čísla) | Imúnne (Hardvérovo izolované) |
| Odpočúvanie signalizácie SS7 | Zraniteľné | Imúnne (Nulový prenos sieťových paketov) | Imúnne (Žiadny sieťový prenos) |
| IMSI Catcher / vynútenie 2G | Zraniteľné | Imúnne | Imúnne |
| AiTM Reverzné Proxy (Evilginx) | Ľahko prekonateľné | Stredná (Vyžaduje pozornosť používateľa) | Dokonalá (Kryptografická väzba na pôvod) |
| Režim v lietadle / Použitie offline | Nedostupné | Plne funkčné (Vyžaduje len čas) | Plne funkčné |
| Náklady na implementáciu | Poplatky operátorom za každú SMS | Bezplatný otvorený štandard | Hardvérový kľúč (45 € - 80 €) |
08. Akčný plán obrany a migrácie
Nečakajte, kým váš mobilný signál náhle zmizne. Urobte tieto konkrétne kroky ešte dnes:
Prihláste sa do služieb Google, Apple ID, GitHub, Binance, Kraken a k poskytovateľom e-mailu. Nastavte si autentifikačnú aplikáciu (napr. Aegis, 2FAS alebo Bitwarden) alebo hardvérový bezpečnostný kľúč. Ak to služba umožňuje, úplne vypnite SMS ako záložnú metódu obnovy.
Kontaktujte svojho operátora (Telekom, Orange, O2, 4ka a pod.) a aktivujte si prísne overovanie PIN kódom pri prenose čísla alebo zmenách účtu. Aktivujte si tiež PIN kód na SIM karte v nastaveniach telefónu, aby ukradnutú fyzickú kartu nebolo možné vložiť do iného zariadenia.
Pri každom nastavovaní autentifikátora uložte nespracovaný reťazec Base32 na offline fyzické médium (papier alebo šifrované chladné úložisko) a starostlivo uschovajte núdzové kódy na obnovenie účtu.
09. Často kladené otázky (FAQ)
Otázka 1: Nie je SMS 2FA stále lepšie ako nemať žiadny druhý faktor? ▼
Proti bežným automatizovaným botom skúšajúcim staré heslá poskytuje SMS 2FA základnú ochranu. Paradoxom SMS 2FA však je, že mnohé služby považujú vaše telefónne číslo za neomylný hlavný kľúč na obnovenie účtu. Ak cielený útočník prenesie vašu SIM kartu, SMS prestáva byť obranou a stáva sa zbraňou, pomocou ktorej resetuje všetky vaše heslá.
Otázka 2: Chráni ma používanie eSIM pred útokom SIM Swapping? ▼
Nie. eSIM síce chráni pred fyzickou krádežou plastovej karty, ale neposkytuje žiadnu ochranu pred sociálnym inžinierstvom. Útočník, ktorý presvedčí pracovníka operátora na prevod čísla, jednoducho dostane elektronický QR kód pre eSIM a stiahne vaše telefónne číslo do svojho zariadenia cez internet v priebehu niekoľkých sekúnd.
Otázka 3: Prečo retailové banky stále vyžadujú overenie cez SMS? ▼
Dôvodom je demografická zotrvačnosť a náklady na zákaznícku podporu. Nútiť milióny bežných klientov prejsť na autentifikačné aplikácie by zahltilo pobočky a linky pomoci. Banky radšej každoročne absorbujú finančné straty z podvodov a spoliehajú sa na interné rizikové modely (napríklad overovanie u operátorov, či SIM karta nebola vymenená za posledných 24 hodín).
Otázka 4: Čo mám okamžite urobiť, ak telefón hlási „Žiadna služba“? ▼
Považujte to za kritickú bezpečnostnú udalosť. Okamžite sa pripojte na Wi-Fi, zavolajte operátorovi z pevnej linky alebo iného telefónu a overte, či nebolo vaše číslo prenesené. Zároveň z počítača zmrazte svoje krypto burzy a zmeňte heslá k primárnym e-mailovým účtom.
Otázka 5: Môže útočník po výmene SIM karty kompromitovať môj TOTP autentifikátor? ▼
Nie. Autentifikačné aplikácie počítajú kódy lokálne pomocou vopred zdieľaného kryptografického kľúča uloženého v bezpečnom hardvérovom úložisku vášho zariadenia. Mobilná sieť nemá k tomuto kľúču žiadny prístup. Ani v prípade, že útočník plne ovláda vaše telefónne číslo, nedokáže generovať vaše TOTP kódy.
Generujte bezpečné TOTP kódy priamo vo svojom prehliadači
Rozlúčte sa s rizikami odpočúvania mobilných sietí. 2FA-Tool využíva štandardné rozhranie W3C Web Crypto API na generovanie kódov RFC 6238 čisto v lokálnom pieskovisku prehliadača, vďaka čomu sú vaše kľúče v bezpečí a offline.