Више од деценије уобичајена сајбер безбедносна максима гласила је: „Било какав 2FA је бољи него никакав 2FA.“ Док то и даље важи за масовне, аутоматизоване нападе препуњавањем акредитива (credential stuffing), двофакторска аутентификација путем SMS-а претворила се у катастрофалну појединачну тачку отказа. Уз масовна цурења личних података (PII) на дарк вебу, подмићивање или обмањивање запослених у филијалама мобилних оператера и аутоматизоване системе за реверзни прокси попут Evilginx алата (Adversary-in-the-Middle - AiTM), SMS 2FA ствара само лажни осећај сигурности. Ова техничка анализа детаљно разлаже како се SMS кодови пресрећу и зашто ваша безбедносна стратегија захтева хитну миграцију на TOTP и FIDO2 кључеве.
01. Илузија о безбедности SMS-а и историјско наслеђе
Почетком 2000-их, верификација путем SMS порука постала је доминантни стандард за заштиту корисничких налога на вебу јер није захтевала никакав напор од корисника. Корисници нису морали да инсталирају специјализоване криптографске апликације нити да купују хардверске кључеве. Све док неко има мобилни телефон, једнократни код од 4 до 6 цифара могао је да стигне директно у његов џеп.
Међутим, протокол за кратке текстуалне поруке (SMS) првобитно је стандардизован 1980-их година у оквиру GSM спецификација од стране Европског института за телекомуникационе стандарде (ETSI). Он никада није био пројектован за пренос криптографских тајни нити као протокол за проверу дигиталног идентитета. SMS поруке немају енд-ту-енд шифровање, немају аутентификацију порекла пошиљаоца и потпуно су лишене криптографског везивања за активну сесију прегледача корисника (Channel Binding).
Мобилни оператери рутирају текстуалне поруке на основу међународног идентитета мобилног претплатника (IMSI) који је тренутно регистрован на базној станици — а не на основу идентитета особе која држи физички уређај. Када се ослањате на SMS 2FA, ваш дигитални идентитет није заштићен математичком криптографијом; њега штити најслабије плаћени радник корисничке подршке у локалној пословници мобилног оператера.
02. Вектор напада 1: Детаљна механика SIM Swapping-а
SIM Swapping (познат и као преотимање SIM картице или превара преносом броја) омиљено је оружје нападача када циљају власнике значајних крипто средстава, корпоративне директоре и системске администраторе. Нападачу није потребан физички приступ телефону жртве.
Животни циклус напада заснованог на SIM Swapping-у:
Нападачи прибављају процуреле податке из база података на дарк вебу како би сазнали јединствени матични број (ЈМБГ/SSN), пуно име и презиме, датум рођења, адресу пребивалишта и мобилног оператера циљане жртве.
Нападач позива кориснички центар оператера представљајући се као жртва са „изгубљеном или оштећеном SIM картицом“, успешно одговарајући на једноставна питања за верификацију. У другим случајевима, криминалне групе подмићују запослене у продавницама са 500 до 1.000 долара по неовлашћеном пребацивању броја.
Оператер преусмерава телефонски број (MSISDN) на SIM картицу у поседу нападача. Телефон жртве у истом тренутку губи приступ мобилној мрежи и приказује поруку „Нема услуге“ (No Service) или „Само хитни позиви“. Већина жртава претпоставља да је реч о тренутном техничком проблему оператера, губећи пресудних првих 10 минута за реакцију.
Пошто сада контролише број телефона, нападач покреће ресетовање лозинки на налозима као што су Gmail, Microsoft, Telegram, Binance и електронско банкарство. Сваки SMS једнократни код (OTP) стиже директно на телефон нападача, омогућавајући тренутно преузимање комплетне контроле над налозима.
- Џек Дорси (бивши директор Твитера): У августу 2019. године, нападачи су циљали малопродајну пословницу AT&T оператера да преотму Дорсијеву SIM картицу, искористивши његов број телефона за слање увредљивих твитова преко застарелог Твитеровог SMS-to-tweet сервиса (Cloudhopper).
- Званични X налог америчке комисије за хартије од вредности (SEC) (2024): Нападачи су извели неовлашћени SIM swap на броју за опоравак повезаном са званичним налогом SEC-а, лажно објавивши одобрење Спот Bitcoin ETF-ова, што је изазвало ликвидацију трговачких позиција вредних стотине милиона долара на светским тржиштима.
03. Вектор напада 2: Злоупотреба SS7 и мобилних протокола
Док се SIM swapping ослања на људски фактор и друштвени инжењеринг, рањивости у Систему сигнализације бр. 7 (SS7) користе структуралне недостатке у самом рутирању глобалног телекомуникационог саобраћаја.
Пројектован давне 1975. године, SS7 управља успостављањем позива, превођењем бројева, испоруком SMS порука и међународним ромингом између стотина телеком оператера широм света. Најважније од свега, SS7 је конструисан на моделу слепог поверења: претпоставља се да је сваки оператер повезан на SS7 мрежу добронамеран и овлашћен.
Ова техника омогућава напредним државним хакерским групама или софистицираним криминалним организацијама да пресрећу банковне и крипто OTP кодове преко међународних граница а да жртва ништа не посумња. Чак и уз прелазак на LTE Diameter протокол, компатибилност уназад са застарелим SS7 системом одржава овај безбедносни ризик активним.
04. Вектор напада 3: AiTM пецање у реалном времену (Evilginx оквир)
Многи корисници погрешно верују: „Ако моја SIM картица није клонирана, моји SMS кодови су безбедни.“ Ова претпоставка потпуно пада у воду пред модерним Adversary-in-the-Middle (AiTM) алатима за реверзни прокси као што су Evilginx 3.0, Modlishka и Muraena.
Традиционално пецање користило је статичне лажне форме за пријаву. Данашњи нападачки реверзни проксији делују као потпуно транспарентни посредници у реалном времену:
Краде статичне лозинке. Одмах постаје неуспешно ако је 2FA укључен, јер нападач не може аутоматски да искористи једнократни код пре него што истекне у року од 60 секунди.
Прослеђује саобраћај уживо између корисника и правог сервера. Када корисник унесе свој SMS код, прокси га истог тренутка шаље легитимном сајту, завршава пријаву и краде аутентификоване сесијске колачиће (session cookies) и OAuth токене.
login.example.com и login.examp1e.com. Насупрот томе, FIDO2/WebAuthn аутентификатори везују криптографске потписе директно за изворни URL прегледача, тренутно онемогућавајући покушаје пецања.
05. Вектор напада 4: IMSI хватачи и Android тројанци
На нивоу локалног радио-сигнала и самих крајњих уређаја, SMS поруке су изложене додатним озбиљним претњама:
-
●
IMSI хватачи (Stingrays) и напади присилног спуштања на 2G мрежу: Лажне преносиве базне станице емитују снажне сигнале који приморавају оближње мобилне телефоне да се искључе са 4G/5G мрежа и пређу на застарелу 2G (GSM) везу. Будући да GSM мрежа не потврђује аутентичност базне станице телефону, нападачи користе разбијене A5/1 алгоритме шифровања како би из ваздуха дешифровали гласовне позиве и читљиве текстуалне SMS кодове.
-
●
Android злонамерни софтвер за пресретање SMS порука: Обмањујуће апликације или бочно инсталирани APK фајлови захтевају системске дозволе попут
android.permission.RECEIVE_SMSилиBIND_NOTIFICATION_LISTENER_SERVICE. Након што се инсталирају, позадински процеси пресрећу верификационе кодове чим стигну, прослеђујући их нападачима преко шифрованих Telegram ботова или командних сервера у реалном времену.
06. NIST SP 800-63B смернице о напуштању SMS-а
Препознајући ове критичне векторе напада, амерички Национални институт за стандарде и технологију (NIST) званично је ограничио употребу SMS аутентификације у свом водећем стандарду за дигитални идентитет, Special Publication 800-63B (Смернице за дигитални идентитет: Аутентификација и управљање животним циклусом):
„Аутентификација ван опсега (OOB) која користи PSTN телекомуникационе системе (SMS или говорне позиве) формално се означава као ОГРАНИЧЕНА (RESTRICTED). Системи који примењују SMS верификацију морају експлицитно документовати и прихватити егзистенцијалне ризике од преотимања SIM картица, лажирања бројева, сигналног пресретања и клонирања уређаја. За организације које захтевају ниво сигурности аутентификатора 2 (AAL2) или виши, строго се захтева употреба криптографских вишефакторских аутентификатора (TOTP апликација или хардверских FIDO токена).“
Европска агенција за безбедност мрежа и података (ENISA) и америчка агенција CISA усвојиле су исте препоруке, налажући предузећима и владиним телима да убрзано повуку SMS аутентификацију из свих критичних инфраструктура.
07. Поређење архитектура: SMS vs TOTP vs FIDO2
Зашто је временски заснована једнократна лозинка (RFC 6238 TOTP) суштински супериорнија у односу на SMS? Упоредна табела у наставку детаљно приказује безбедносне карактеристике сваке технологије:
| Безбедносна димензија | SMS верификација | TOTP аутентификатор (RFC 6238) | Хардверски FIDO2 / YubiKey |
|---|---|---|---|
| Канал испоруке | Мрежа мобилног оператера | 100% локална математика на уређају | Локални безбедносни чип (Secure Element) |
| Отпорност на SIM Swap | Нула (Тренутно компромитовано) | Имуно (Независно од телефонског броја) | Имуно (Хардверски изоловано) |
| SS7 пресретање сигнализације | Рањиво | Имуно (Без мрежних пакета) | Имуно (Без мрежног преноса) |
| IMSI хватач / 2G деградација | Рањиво | Имуно | Имуно |
| AiTM реверзни прокси (Evilginx) | Лако се заобилази | Умерено (Захтева опрез корисника) | Савршено (Везивање за порекло) |
| Рад у авионском режиму / ван мреже | Недоступно | Потпуно функционално (Потребно само време) | Потпуно функционално |
| Трошкови имплементације | Накнаде оператеру по сваком SMS-у | Бесплатан и отворен стандард | Хардверски кључ ($45 - $80) |
08. Практична одбрана и план миграције
Немојте чекати да сигнал на вашем телефону мистериозно нестане да бисте решили ову рањивост. Предузмите ове конкретне кораке већ данас:
Пријавите се на Google, Apple ID, GitHub, Binance, Kraken и своје главне имејл сервисе. Подесите апликацију за аутентификацију (као што су Aegis, 2FAS или Bitwarden) или хардверски безбедносни кључ. Уколико сервис то дозвољава, експлицитно искључите SMS као резервни метод опоравка.
Контактирајте свог мобилног оператера (МТС, Yettel, А1 или другог иностраног провајдера) и поставите обавезни кориснички PIN код или забрану преноса броја без личне верификације у пословници. Такође, активирајте PIN код за саму SIM картицу у подешавањима свог iOS или Android телефона како украдена физичка картица не би могла да се искористи у другом уређају.
Приликом сваког подешавања аутентификатора, сачувајте сирови тајни кључ у Base32 формату на физичком медију ван мреже (на папиру или у шифрованом трезору без везе са интернетом) и обавезно похраните једнократне кодове за опоравак налога.
09. Често постављана питања (FAQ)
П1: Зар SMS 2FA ипак није бољи него уопште немање другог фактора? ▼
За основне аутоматизоване бот нападе који испробавају процуреле слабе лозинке, SMS 2FA пружа одређени ниво заштите. Међутим, парадокс SMS 2FA заштите лежи у томе што многи онлајн сервиси третирају број телефона као неопозиви главни кључ за опоравак лозинке. Ако циљани нападач изврши SIM swap над вашим бројем, SMS престаје да буде одбрана и постаје оружје којим нападач ресетује сваку вашу лозинку.
П2: Да ли ме коришћење eSIM картице штити од SIM swapping напада? ▼
Не. eSIM вас штити од крађе физичке пластичне картице из уређаја, али вас уопште не штити од друштвеног инжењеринга над оператером. Нападач који превари агента подршке једноставно добија електронски eSIM QR код и за неколико секунди преузима ваш број телефона на свој уређај преко интернета.
П3: Зашто комерцијалне банке и даље форсирају верификацију путем SMS-а? ▼
Због навика широке популације корисника и трошкова техничке подршке. Приморавање милиона корисника банака који немају техничка знања да користе апликације за аутентификацију преоптеретило би корисничке центре. Уместо тога, банке годишње апсорбују стотине милиона долара губитака због превара, ослањајући се на позадинске моделе процене ризика (као што је провера код оператера да ли је за дати број у последња 24 сата извршена замена SIM картице).
П4: Шта треба одмах да урадим ако мој телефон прикаже „Нема услуге“ (No Service)? ▼
Третирајте то као критични безбедносни инцидент. Одмах се повежите на Wi-Fi, позовите мобилног оператера са фиксног телефона или уређаја пријатеља и проверите да ли је ваш број пренет на другу картицу. Истовремено, са рачунара замрзните налоге на мењачницама криптовалута и промените лозинке својих главних имејл налога.
П5: Може ли нападач који је извршио SIM swap да компромитује мој TOTP аутентификатор? ▼
Не. Апликације за аутентификацију израчунавају кодове искључиво локално користећи унапред дељени тајни криптографски кључ који се чува у изолованом хардверском трезору вашег телефона (Keystore / Secure Enclave). Мобилна мрежа нема апсолутно никакав приступ овом кључу. Чак и ако нападач има потпуну контролу над вашим телефонским бројем, он не може да генерише ваше TOTP кодове.
Генеришите безбедне TOTP кодове директно у свом прегледачу
Заборавите на ризике пресретања у мобилној мрежи. 2FA-Tool користи W3C Web Crypto API за генерисање RFC 6238 кодова у потпуности унутар безбедног окружења вашег прегледача, чувајући ваше кључеве приватним и ван домашаја мреже.