ఒక దశాబ్దానికి పైగా, సంప్రదాయ సైబర్ భద్రతా సూత్రం ఇలా ఉండేది: "ఏ 2FA అయినా, అసలు 2FA లేకపోవడం కంటే మెరుగైనది." తక్కువ-ప్రయత్నంతో జరిగే పెద్ద ఎత్తున ఆధారాల నింపే (credential stuffing) దాడులకు ఇది ఇప్పటికీ నిజమే అయినప్పటికీ, SMS ఆధారిత రెండు-కారకాల ప్రామాణీకరణ విపత్కర ఏకైక వైఫల్య కేంద్రంగా (single point of failure) మారింది. భారీ డార్క్-వెబ్ వ్యక్తిగత గుర్తింపు సమాచార (PII) లీక్‌లు, టెలికాం క్యారియర్ స్టోర్‌ల భద్రతా రాజీలు, మరియు Evilginx వంటి ఆటోమేటెడ్ అడ్వర్సరీ-ఇన్-ది-మిడిల్ (AiTM) రివర్స్ ప్రాక్సీ సాధనాల కారణంగా SMS 2FA తప్పుడు భద్రతా భావనను కలిగిస్తుంది. ఈ సాంకేతిక నివేదిక SMS ధృవీకరణ ఎలా అడ్డగించబడుతుందో మరియు మీ భద్రతా వ్యవస్థ తక్షణమే TOTP మరియు FIDO2 కీలకు ఎందుకు మారాలనే విషయాన్ని సమగ్రంగా విశ్లేషిస్తుంది.
01. SMS భద్రత యొక్క భ్రమ & చారిత్రక వారసత్వం
2000ల ప్రారంభంలో, వినియోగదారులకు ఎటువంటి ఇబ్బంది లేకపోవడం వల్ల ఆన్‌లైన్ వినియోగదారుల భద్రతకు SMS ఆధారిత ధృవీకరణ ప్రధాన ప్రామాణికంగా మారింది. వినియోగదారులు ప్రత్యేకమైన క్రిప్టోగ్రాఫిక్ అప్లికేషన్‌లను ఇన్‌స్టాల్ చేయాల్సిన అవసరం లేదు లేదా హార్డ్‌వేర్ కీలను కొనుగోలు చేయాల్సిన అవసరం రాలేదు. మొబైల్ ఫోన్ ఉన్నంత వరకు, 4 నుండి 6 అంకెల ధృవీకరణ కోడ్ నేరుగా వారి జేబుకు చేరేది.
అయితే, షార్ట్ మెసేజ్ సర్వీస్ (SMS) ప్రోటోకాల్ వాస్తవానికి 1980లలో యూరోపియన్ టెలికమ్యూనికేషన్స్ స్టాండర్డ్స్ ఇన్స్టిట్యూట్ (ETSI) ద్వారా GSM ప్రమాణీకరణ క్రింద రూపొందించబడింది. ఇది ఎన్నడూ క్రిప్టోగ్రాఫిక్ రహస్యాలను చేరవేయడానికి లేదా గుర్తింపు ధృవీకరణ ప్రోటోకాల్‌గా పనిచేయడానికి రూపొందించబడలేదు. SMS సందేశాలకు ఎండ్-టు-ఎండ్ ఎన్‌క్రిప్షన్ ఉండదు, మూల ప్రామాణీకరణ (origin authentication) ఉండదు, మరియు వినియోగదారు క్రియాశీల వెబ్ బ్రౌజర్ సెషన్‌కు ఎలాంటి క్రిప్టోగ్రాఫిక్ ఛానల్ బైండింగ్ ఉండదు.
టెలికాం క్యారియర్‌లు పరికరాన్ని కలిగి ఉన్న వ్యక్తి యొక్క గుర్తింపు ఆధారంగా కాకుండా, ప్రస్తుతం సెల్యులార్ టవర్‌కు నమోదు చేయబడిన International Mobile Subscriber Identity (IMSI) ఆధారంగా టెక్స్ట్ సందేశాలను రూట్ చేస్తాయి. మీరు SMS 2FA పై ఆధారపడినప్పుడు, మీ డిజిటల్ గుర్తింపు క్రిప్టోగ్రఫీ ద్వారా రక్షించబడదు; ఇది స్థానిక మొబైల్ ఫోన్ దుకాణంలోని తక్కువ వేతనం పొందే కస్టమర్ సపోర్ట్ ప్రతినిధి చేతిలో ఉంటుంది.
02. దాడి వెక్టర్ 1: SIM స్వాపింగ్ మెకానిక్స్ సమగ్ర పరిశీలన
SIM స్వాపింగ్ (దీనినే SIM హైజాకింగ్ లేదా పోర్ట్-అవుట్ స్కామింగ్ అని కూడా పిలుస్తారు) అనేది అధిక-విలువైన క్రిప్టో హోల్డర్లు, కార్పొరేట్ ఎగ్జిక్యూటివ్‌లు మరియు సిస్టమ్ నిర్వాహకులను లక్ష్యంగా చేసుకునే దాడిదారుల ప్రధాన ఆయుధం. దాడిదారుడికి బాధితుడి హ్యాండ్‌సెట్‌తో భౌతిక సంబంధం ఉండవలసిన అవసరం లేదు.
SIM స్వాపింగ్ దాడి జీవిత చక్రం:
బాధితుడి సోషల్ సెక్యూరిటీ నంబర్ (SSN), పూర్తి పేరు, పుట్టిన తేదీ, నివాస చిరునామా మరియు ప్రాథమిక సెల్యులార్ క్యారియర్‌ను సేకరించడానికి దాడిదారులు డార్క్-వెబ్ ఉల్లంఘన డేటాబేస్‌ల నుండి సేకరించిన డేటాను కొనుగోలు చేస్తారు.
దాడిదారుడు బాధితుడిలా నటిస్తూ "SIM పోయింది లేదా పాడైపోయింది" అని క్యారియర్ సపోర్ట్‌కి కాల్ చేసి, సాధారణ ధృవీకరణ ప్రశ్నలకు సులభంగా సమాధానమిస్తాడు. ప్రత్యామ్నాయంగా, సైబర్ నేరగాళ్ల ముఠాలు అనధికారిక SIM మార్పిడి కోసం రిటైల్ స్టోర్ ఉద్యోగులకు $500-$1,000 లంచం ఇస్తాయి.
క్యారియర్ బాధితుడి MSISDN ఫోన్ నంబర్‌ను దాడిదారుడి SIM కార్డుకు బదిలీ చేస్తుంది. బాధితుడి ఫోన్ సెల్యులార్ సిగ్నల్ వెంటనే ఆగిపోయి "నో సర్వీస్" (No Service) లేదా "ఎమర్జెన్సీ కాల్స్ ఓన్లీ"గా మారుతుంది. చాలా మంది బాధితులు ఇది తాత్కాలిక సెల్యులార్ లోపం అని భావించి, అత్యంత కీలకమైన 10 నిమిషాల ప్రతిస్పందన సమయాన్ని కోల్పోతారు.
ఫోన్ నంబర్ చేతికి వచ్చిన తర్వాత, దాడిదారులు Gmail, Microsoft, Telegram, Binance మరియు ఆన్‌లైన్ బ్యాంకింగ్‌పై పాస్‌వర్డ్ రీసెట్ అభ్యర్థనలను పంపుతారు. ప్రతి ఇన్‌కమింగ్ SMS OTP నేరుగా దాడిదారుడి బర్నర్ ఫోన్‌కు చేరుతుంది, తద్వారా తక్షణమే పూర్తి ఖాతా నియంత్రణ లభిస్తుంది.
- జాక్ డోర్సే (Jack Dorsey - Twitter CEO): ఆగస్టు 2019లో, హ్యాకర్లు AT&T రిటైల్ అవుట్‌లెట్‌ను లక్ష్యంగా చేసుకుని డోర్సే SIMని మార్పిడి చేశారు, మరియు హైజాక్ చేసిన ఫోన్ నంబర్‌ను ఉపయోగించి Twitter పాత SMS-టు-ట్వీట్ గేట్‌వే (Cloudhopper) ద్వారా అభ్యంతరకరమైన ట్వీట్లను పోస్ట్ చేశారు.
- యు.ఎస్. సెక్యూరిటీస్ అండ్ ఎక్స్ఛేంజ్ కమిషన్ (SEC) X ఖాతా (2024): దాడిదారులు SEC అధికారిక ఖాతా రికవరీ మొబైల్ నంబర్‌పై అనధికారిక SIM మార్పిడిని నిర్వహించారు, స్పాట్ బిట్‌కాయిన్ ETFల ఆమోదాన్ని తప్పుగా ప్రకటించారు, దీనివల్ల ప్రపంచ మార్కెట్లలో వందల మిలియన్ల డాలర్ల లివరేజ్ ట్రేడ్‌లు లిక్విడేట్ అయ్యాయి.
03. దాడి వెక్టర్ 2: SS7 & సెల్యులార్ ప్రోటోకాల్స్ దోపిడీ
SIM స్వాపింగ్ మానవ తప్పిదాలపై ఆధారపడితే, Signaling System No. 7 (SS7) బలహీనతలు ప్రపంచ టెలికమ్యూనికేషన్స్ రూటింగ్‌లోని నిర్మాణ లోపాలను ఉపయోగించుకుంటాయి.
1975లో రూపొందించబడిన SS7, ప్రపంచవ్యాప్తంగా వందలాది టెలికాంల మధ్య కాల్ సెటప్, నంబర్ అనువాదం, SMS డెలివరీ మరియు అంతర్జాతీయ రోమింగ్‌ను నిర్వహిస్తుంది. ముఖ్యంగా, SS7 గుడ్డి నమ్మక నమూనా (blind-trust model) పై రూపొందించబడింది: SS7 బ్యాక్‌బోన్‌కు అనుసంధానించబడిన ఏ టెలికమ్యూనికేషన్స్ ప్రొవైడర్ అయినా సురక్షితమైనది మరియు అధికారం కలిగినదిగా భావించబడుతుంది.
ఇది శత్రు ఇంటెలిజెన్స్ ఏజెన్సీలు లేదా అధునాతన నేర ముఠాలు బాధితుడికి ఏమాత్రం అనుమానం రాకుండా దేశ సరిహద్దుల గుండా బ్యాంకింగ్ మరియు క్రిప్టో OTPలను అడ్డగించడానికి వీలు కల్పిస్తుంది. LTE Diameter ప్రోటోకాల్ అప్‌గ్రేడ్‌లు ఉన్నప్పటికీ, పాత SS7తో బ్యాక్‌వర్డ్ అనుకూలత నిరంతర భద్రతా ముప్పును సృష్టిస్తుంది.
04. దాడి వెక్టర్ 3: రియల్-టైమ్ AiTM ఫిషింగ్ (Evilginx ఫ్రేమ్‌వర్క్)
చాలా మంది వినియోగదారులు పొరపాటుగా ఇలా నమ్ముతారు: "నా SIM కార్డు మారకపోతే, నా టెక్స్ట్ కోడ్‌లు సురక్షితంగా ఉంటాయి." Evilginx 3.0, Modlishka, మరియు Muraena వంటి ఆధునిక Adversary-in-the-Middle (AiTM) రివర్స్ ప్రాక్సీ సాధనాలను ఎదుర్కొన్నప్పుడు ఈ నమ్మకం కుప్పకూలుతుంది.
సాంప్రదాయ క్రెడెన్షియల్ హార్వెస్టింగ్ స్థిరమైన నకిలీ లాగిన్ ఫారమ్‌లను సృష్టించేది. నేటి దూకుడు రివర్స్ ప్రాక్సీలు ప్రత్యక్ష పారదర్శక మధ్యవర్తులుగా పనిచేస్తాయి:
స్థిరమైన పాస్‌వర్డ్‌లను దొంగిలిస్తుంది. 2FA ప్రారంభించబడితే దాడిదారుడు 60 సెకన్ల వ్యవధిలో గడువు ముగిసే OTP కోడ్‌ను తిరిగి ఉపయోగించలేకపోవడం వల్ల వెంటనే విఫలమవుతుంది.
వినియోగదారు మరియు ప్రామాణికమైన సర్వర్ మధ్య ప్రత్యక్ష ట్రాఫిక్‌ను ప్రాక్సీ చేస్తుంది. వినియోగదారు తమ SMS కోడ్‌ను నమోదు చేసినప్పుడు, ప్రాక్సీ దానిని తక్షణమే ఫార్వార్డ్ చేసి, ప్రామాణీకరణను పూర్తి చేసి, ప్రామాణీకరించబడిన సెషన్ కుకీలు మరియు OAuth బేరర్ టోకెన్‌లను దొంగిలిస్తుంది.
login.example.com లేదా login.examp1e.com లో నమోదు చేస్తున్నారా అని వినియోగదారు గుర్తించలేరు. దీనికి విరుద్ధంగా, FIDO2/WebAuthn ప్రామాణీకరణ సాధనాలు పబ్లిక్-కీ సంతకాలను నేరుగా బ్రౌజర్ మూల URLకి బైండ్ చేస్తాయి, తద్వారా ఫిషింగ్ ప్రయత్నాలను తక్షణమే అడ్డుకుంటాయి.
05. దాడి వెక్టర్ 4: IMSI క్యాచర్లు & Android ట్రోజన్లు
స్థానిక రేడియో ఫ్రీక్వెన్సీ మరియు ఎండ్‌పాయింట్ స్థాయిలలో, SMS సందేశాలు మరిన్ని తీవ్రమైన బలహీనతలను ఎదుర్కొంటాయి:
-
●
IMSI క్యాచర్లు (Stingrays) & 2G ఫాల్‌బ్యాక్ దాడులు: నకిలీ పోర్టబుల్ సెల్యులార్ బేస్ స్టేషన్‌లు అధిక శక్తితో కూడిన బీకాన్ సిగ్నల్‌లను ప్రసారం చేస్తాయి, ఇవి సమీపంలోని హ్యాండ్‌సెట్‌లను 4G/5G నుండి డిస్‌కనెక్ట్ చేసి పాత 2G (GSM) కి డౌన్‌గ్రేడ్ అయ్యేలా చేస్తాయి. GSM బేస్ స్టేషన్‌ను మొబైల్ హ్యాండ్‌సెట్‌కు ప్రామాణీకరించదు కాబట్టి, దాడిదారులు వాయిస్ కాల్స్ మరియు ప్లెయిన్‌టెక్స్ట్ SMS టోకెన్‌లను గాల్లోనే డీక్రిప్ట్ చేయడానికి విచ్ఛిన్నమైన A5/1 సైఫర్‌లను ఉపయోగించుకుంటారు.
-
●
Android SMS స్నిఫర్ మాల్వేర్: మోసపూరిత యుటిలిటీలు లేదా సైడ్‌లోడ్ చేయబడిన APKలు
android.permission.RECEIVE_SMSలేదాBIND_NOTIFICATION_LISTENER_SERVICEఅనుమతులను అభ్యర్థిస్తాయి. ఇన్‌స్టాల్ చేసిన తర్వాత, బ్యాక్‌గ్రౌండ్ డెమోన్‌లు ధృవీకరణ కోడ్‌లు రాగానే వాటిని అడ్డగించి, ఎన్‌క్రిప్ట్ చేసిన Telegram బాట్‌లు లేదా కమాండ్-అండ్-కంట్రోల్ సర్వర్‌ల ద్వారా రియల్ టైమ్‌లో ఫార్వార్డ్ చేస్తాయి.
06. NIST SP 800-63B నిలిపివేత మార్గదర్శకాలు
ఈ విపత్కర దాడి వెక్టర్లను గుర్తించి, National Institute of Standards and Technology (NIST) తన మైలురాయి గుర్తింపు ప్రమాణమైన Special Publication 800-63B (డిజిటల్ ఐడెంటిటీ గైడ్‌లైన్స్: అథెంటికేషన్ అండ్ లైఫ్‌సైకిల్ మేనేజ్‌మెంట్) లో SMS ప్రామాణీకరణను అధికారికంగా పరిమితం చేసింది:
"PSTN సిస్టమ్‌లను (SMS లేదా వాయిస్) ఉపయోగించి అవుట్-ఆఫ్-బ్యాండ్ (OOB) ప్రామాణీకరణ అధికారికంగా RESTRICTED (పరిమితం చేయబడింది) గా పేర్కొనబడింది. SMS ధృవీకరణను ఉపయోగించే సిస్టమ్‌లు SIM స్వాపింగ్, నంబర్ స్పూఫింగ్, సిగ్నలింగ్ ఇంటర్‌సెప్షన్ మరియు పరికర క్లోనింగ్ యొక్క అస్తిత్వ నష్టాలను స్పష్టంగా నమోదు చేసి అంగీకరించాలి. Authenticator Assurance Level 2 (AAL2) లేదా అంతకంటే ఎక్కువ స్థాయికి కట్టుబడి ఉండే సంస్థల కోసం, క్రిప్టోగ్రాఫిక్ మల్టీ-ఫాక్టర్ ప్రామాణీకరణ సాధనాల (TOTP యాప్‌లు లేదా హార్డ్‌వేర్ FIDO టోకెన్‌లు) ఉపయోగం ఖచ్చితంగా అవసరం."
యూరోపియన్ అధికారులు (ENISA) మరియు Cybersecurity and Infrastructure Security Agency (CISA) ఈ విధానాన్ని పునరుద్ఘాటించాయి, కీలకమైన మౌలిక సదుపాయాల నుండి SMS ప్రామాణీకరణను వేగంగా తొలగించాలని సంస్థలు మరియు ప్రభుత్వ విభాగాలకు సూచించాయి.
07. ఆర్కిటెక్చర్ పోలిక: SMS vs TOTP vs FIDO2
టైమ్-బేస్డ్ వన్-టైమ్ పాస్‌వర్డ్ (RFC 6238 TOTP) SMS కంటే ప్రాథమికంగా ఎందుకు ఉన్నతమైనది? దిగువ పోలిక పట్టిక ఆర్కిటెక్చరల్ భద్రతా లక్షణాలను వివరిస్తుంది:
| భద్రతా పరిమాణం | SMS ధృవీకరణ | TOTP Authenticator (RFC 6238) | హార్డ్‌వేర్ FIDO2 / YubiKey |
|---|---|---|---|
| డెలివరీ ఛానల్ | సెల్యులార్ టెలికాం నెట్‌వర్క్ | 100% క్లయింట్-సైడ్ స్థానిక గణితం | స్థానిక Secure Element చిప్ |
| SIM స్వాప్ నిరోధకత | సున్నా (వెంటనే హైజాక్ చేయబడుతుంది) | రోగనిరోధకత (ఫోన్ నంబర్‌తో సంబంధం లేదు) | రోగనిరోధకత (హార్డ్‌వేర్ వేరుచేయబడింది) |
| SS7 సిగ్నలింగ్ అడ్డగింపు | హాని కలిగించేది (Vulnerable) | రోగనిరోధకత (జీరో నెట్‌వర్క్ ప్యాకెట్లు) | రోగనిరోధకత (నెట్‌వర్క్ ట్రాన్సిట్ లేదు) |
| IMSI క్యాచర్ / 2G డౌన్‌గ్రేడ్ | హాని కలిగించేది | రోగనిరోధకత | రోగనిరోధకత |
| AiTM రివర్స్ ప్రాక్సీ (Evilginx) | సులభంగా దాటవేయబడుతుంది | మోడరేట్ (అప్రమత్తత అవసరం) | పరిపూర్ణం (మూల బైండింగ్) |
| ఎయిర్‌ప్లేన్ మోడ్ / ఆఫ్‌లైన్ ఉపయోగం | అందుబాటులో లేదు | పూర్తి కార్యాచరణ (టైమ్‌స్టాంప్ మాత్రమే) | పూర్తి కార్యాచరణ |
| అమలు ఖర్చు | ప్రతి SMSకు క్యారియర్ ఫీజులు | ఉచిత & ఓపెన్ స్టాండర్డ్ | హార్డ్‌వేర్ టోకెన్ ($45 - $80) |
08. కార్యాచరణ రక్షణ & మైగ్రేషన్ రోడ్‌మ్యాప్
ఈ బలహీనతను పరిష్కరించడానికి మీ సెల్యులార్ సిగ్నల్ అనుమానాస్పదంగా అదృశ్యమయ్యే వరకు వేచి ఉండకండి. ఈ రోజు ఈ ఖచ్చితమైన చర్యలను తీసుకోండి:
Google, Apple ID, GitHub, Binance, Kraken మరియు మీ ప్రాథమిక ఇమెయిల్ ప్రొవైడర్‌లలోకి లాగిన్ అవ్వండి. ఒక authenticator యాప్ (Aegis, 2FAS, లేదా Bitwarden వంటివి) లేదా హార్డ్‌వేర్ సెక్యూరిటీ కీని నమోదు చేయండి. అనుమతించబడితే, ఫాల్‌బ్యాక్ రికవరీ పద్ధతిగా SMSని స్పష్టంగా నిలిపివేయండి.
మీ టెలికాం ప్రొవైడర్‌ను (AT&T, Verizon, T-Mobile, Vodafone మొదలైనవి) సంప్రదించి, తప్పనిసరి పోర్ట్-అవుట్ PIN లేదా "Account Takeover Freeze"ని కాన్ఫిగర్ చేయండి. iOS/Android సెట్టింగ్‌లలో పరికరంలోనే SIM PINని ప్రారంభించండి, తద్వారా దొంగిలించబడిన భౌతిక SIM కార్డును మరొక ఫోన్‌లో చొప్పించలేరు.
మీరు authenticatorని సెటప్ చేసినప్పుడల్లా, ముడి 16-అక్షరాల Base32 రహస్య కీని ఆఫ్‌లైన్ భౌతిక మాధ్యమంలో (కాగితం లేదా ఎన్‌క్రిప్ట్ చేసిన కోల్డ్ స్టోరేజ్) నిల్వ చేయండి మరియు ఖాతా యొక్క 10 ఒకే-సారి ఉపయోగించే అత్యవసర రికవరీ కోడ్‌లను భద్రపరుచుకోండి.
09. తరచుగా అడిగే ప్రశ్నలు (FAQ)
Q1: అసలు రెండవ కారకం లేకపోవడం కంటే SMS 2FA ఇప్పటికీ మెరుగైనది కాదా? ▼
బలహీనమైన పునర్వినియోగ పాస్‌వర్డ్‌లను వెతికే ప్రాథమిక ఆటోమేటెడ్ బాట్ దాడుల కోసం, SMS 2FA నామమాత్రపు రక్షణను అందిస్తుంది. అయితే, SMS 2FA యొక్క వైరుధ్యం ఏమిటంటే, సేవలు మీ ఫోన్ నంబర్‌ను తిరుగులేని మాస్టర్ రికవరీ కీగా పరిగణిస్తాయి. లక్ష్యంగా చేసుకున్న దాడిదారుడు మీ SIMని మార్పిడి చేస్తే, SMS రక్షణగా ఉండటం ఆగిపోతుంది మరియు మీ వద్ద ఉన్న ప్రతి పాస్‌వర్డ్‌ను రీసెట్ చేయడానికి ఉపయోగించే ఆయుధంగా మారుతుంది.
Q2: eSIMని ఉపయోగించడం నన్ను SIM స్వాపింగ్ నుండి రక్షిస్తుందా? ▼
లేదు. భౌతిక కార్డు దొంగతనం నుండి eSIM రక్షిస్తుంది, కానీ ఇది సోషల్ ఇంజనీరింగ్ నుండి రక్షించదు. క్యారియర్ ప్రతినిధిని ఒప్పించే దాడిదారులు ఎలక్ట్రానిక్ eSIM QR కోడ్‌ను సులభంగా పొందుతారు, సెకన్లలో ఇంటర్నెట్ ద్వారా మీ నంబర్‌ను వారి పరికరంలోకి డౌన్‌లోడ్ చేసుకుంటారు.
Q3: రిటైల్ బ్యాంకులు ఇప్పటికీ SMS ధృవీకరణను ఎందుకు తప్పనిసరి చేస్తాయి? ▼
జనాభా అలవాట్లు మరియు కస్టమర్ సపోర్ట్ ఖర్చుల భారం కారణంగా. మిలియన్ల కొద్దీ సాంకేతికత తెలియని బ్యాంకింగ్ కస్టమర్లను authenticator యాప్‌లను ఉపయోగించమని బలవంతం చేయడం కాల్ సెంటర్‌లను ముంచెత్తుతుంది. బ్యాంకులు బదులుగా వార్షికంగా వందల మిలియన్ల డాలర్ల మోసాల బాధ్యతను భరిస్తాయి, తెరవెనుక రిస్క్ మోడల్స్‌పై ఆధారపడతాయి (గత 24 గంటల్లో SIM మార్పిడి జరిగిందో లేదో తనిఖీ చేయడానికి టెలికాంలను ప్రశ్నించడం వంటివి).
Q4: నా స్మార్ట్‌ఫోన్ "నో సర్వీస్" అని చూపిస్తే నేను వెంటనే ఏమి చేయాలి? ▼
దీనిని క్లిష్టమైన భద్రతా సంఘటనగా పరిగణించండి. వెంటనే Wi-Fiకి కనెక్ట్ అవ్వండి, ల్యాండ్‌లైన్ లేదా ప్రత్యామ్నాయ పరికరం నుండి మీ సెల్యులార్ క్యారియర్‌కు కాల్ చేయండి మరియు మీ నంబర్ పోర్ట్ అవుట్ చేయబడిందో లేదో నిర్ధారించండి. అదే సమయంలో మీ క్రిప్టోకరెన్సీ ఎక్స్ఛేంజ్ ఖాతాలను స్తంభింపజేయండి మరియు డెస్క్‌టాప్ కంప్యూటర్ నుండి మీ ప్రధాన ఇమెయిల్ పాస్‌వర్డ్‌లను మార్చండి.
Q5: నా SIMని మార్పిడి చేసే దాడిదారుడు నా TOTP ప్రామాణీకరణను హ్యాక్ చేయగలడా? ▼
చేయలేరు. Authenticator యాప్‌లు మీ పరికరం యొక్క ప్రత్యేక హార్డ్‌వేర్ కీస్టోర్‌లో నిల్వ చేయబడిన ప్రీ-షేర్డ్ క్రిప్టోగ్రాఫిక్ కీని ఉపయోగించి స్థానికంగా కోడ్‌లను గణిస్తాయి. ఈ కీకి సెల్యులార్ నెట్‌వర్క్‌తో ఎటువంటి ప్రాప్యత ఉండదు. దాడిదారుడు మీ ఫోన్ నంబర్‌ను పూర్తిగా నియంత్రించినప్పటికీ, వారు మీ TOTP కోడ్‌లను రూపొందించలేరు.
నేరుగా మీ బ్రౌజర్‌లోనే సురక్షితమైన TOTP కోడ్‌లను రూపొందించండి
సెల్యులార్ ఇంటర్‌సెప్ట్ నష్టాలకు వీడ్కోలు చెప్పండి. 2FA-Tool మీ కీలను ప్రైవేట్‌గా మరియు ఆఫ్‌లైన్‌లో ఉంచుతూ, మీ స్థానిక బ్రౌజర్ శాండ్‌బాక్స్‌లోనే RFC 6238 కోడ్‌లను రూపొందించడానికి W3C Web Crypto APIని ఉపయోగిస్తుంది.