ایک دہائی سے زائد عرصے تک، روایتی سائبر سیکیورٹی کا بنیادی اصول یہ رہا: "کوئی بھی 2FA، بغیر 2FA کے ہونے سے بہتر ہے۔" اگرچہ یہ کم محنت والے بلک کریڈینشل سٹفنگ حملوں کے لیے آج بھی کسی حد تک درست ہے، لیکن SMS پر مبنی ٹو فیکٹر توثیق ایک تباہ کن سنگل پوائنٹ آف فیلیر میں تبدیل ہو چکی ہے۔ ڈارک ویب پر ذاتی شناخت کے ڈیٹا (PII) کے وسیع پیمانے پر لِیکس، ٹیلی کام کیریئر کے اسٹورز کے ساتھ سمجھوتہ، اور Evilginx جیسے خودکار Adversary-in-the-Middle (AiTM) ریورس پراکسی ٹولز کی وجہ سے، SMS 2FA محض تحفظ کا ایک جھوٹا احساس پیدا کرتی ہے۔ یہ تکنیکی دستاویز واضح کرتی ہے کہ SMS توثیق کو کیسے روکا جاتا ہے اور آپ کے سیکیورٹی ماحول کو فوری طور پر TOTP اور FIDO2 کیز پر منتقل کرنے کی ضرورت کیوں ہے۔
01. SMS سیکیورٹی کا مغالطہ اور تاریخی ورثہ
2000 کی دہائی کے اوائل میں، صفر رکاوٹ (zero user friction) کی وجہ سے SMS پر مبنی توثیق آن لائن صارفین کی حفاظت کا غالب معیار بن گئی۔ صارفین کو نہ تو کوئی مخصوص کرپٹوگرافک ایپلی کیشن انسٹال کرنی پڑتی تھی اور نہ ہی ہارڈ ویئر کیز خریدنی پڑتی تھیں۔ جب تک کسی شخص کے پاس موبائل فون تھا، 4 سے 6 ہندسوں کا تصدیقی کوڈ براہ راست ان کی جیب میں پہنچایا جا سکتا تھا۔
تاہم، شارٹ میسج سروس (SMS) پروٹوکول بنیادی طور پر 1980 کی دہائی میں یورپی ٹیلی کمیونیکیشن اسٹینڈرڈز انسٹی ٹیوٹ (ETSI) کے تحت GSM معیاری کاری کے دوران وضع کیا گیا تھا۔ اسے کبھی بھی کرپٹوگرافک رازوں کی ترسیل یا شناختی توثیق کے پروٹوکول کے طور پر ڈیزائن ہی نہیں کیا گیا تھا۔ SMS پیغامات اینڈ ٹو اینڈ انکرپشن سے محروم ہیں، ان میں ماخذ کی تصدیق کا کوئی نظام نہیں، اور وہ صارف کے فعال ویب براؤزر سیشن کے ساتھ کسی بھی کرپٹوگرافک چینل بائنڈنگ سے یکسر خالی ہیں۔
ٹیلی کام کیریئرز ٹیکسٹ پیغامات کو سیلولر ٹاور پر رجسٹرڈ International Mobile Subscriber Identity (IMSI) کی بنیاد پر روٹ کرتے ہیں — نہ کہ ڈیوائس تھامے ہوئے انسان کی شناخت کی بنیاد پر۔ جب آپ SMS 2FA پر انحصار کرتے ہیں، تو آپ کی ڈیجیٹل شناخت ریاضی یا کرپٹوگرافی سے محفوظ نہیں ہوتی؛ بلکہ یہ کسی بھی مقامی موبائل فرنچائز پر موجود کسٹمر سپورٹ کے عملے کے رحم و کرم پر ہوتی ہے۔
02. طریقہ کار 1: SIM Swapping کی اندرونی تفصیلات
SIM Swapping (جسے SIM ہائی جیکنگ یا پورٹ آؤٹ اسکیم بھی کہا جاتا ہے) ہائی نیٹ ورتھ کرپٹو مالکان، کارپوریٹ ایگزیکٹوز، اور سسٹم ایڈمنسٹریٹرز کو نشانہ بنانے والے ہیکرز کا پسندیدہ ہتھیار ہے۔ حملہ آور کو ہدف کے ہینڈ سیٹ تک فزیکل رسائی حاصل کرنے کی مطلق کوئی ضرورت نہیں ہوتی۔
SIM Swapping حملے کے لائف سائیکل کے مراحل:
حملہ آور شکار کا سوشل سیکیورٹی نمبر (SSN)، پورا نام، تاریخ پیدائش، رہائشی پتہ اور بنیادی سیلولر کیریئر معلوم کرنے کے لیے ڈارک ویب پر بریچ ڈیٹا بیسز سے معلومات خریدتے ہیں۔
حملہ آور "گم شدہ یا خراب سم" کا بہانہ بنا کر شکار کے روپ میں کیریئر سپورٹ کو کال کرتا ہے، اور عام تصدیقی سوالات کے آسان جوابات دیتا ہے۔ متبادل کے طور پر، سائبر کرائم گروہ ریٹیل اسٹور کے ملازمین کو فی غیر مجاز سم سویپ $500 سے $1,000 تک رشوت دیتے ہیں۔
کیریئر متاثرہ صارف کے MSISDN فون نمبر کو حملہ آور کے سم کارڈ پر منتقل کر دیتا ہے۔ شکار کے فون کا سیلولر سگنل فوری طور پر "No Service" یا "Emergency Calls Only" پر چلا جاتا ہے۔ بیشتر صارفین اسے عارضی نیٹ ورک فالٹ سمجھتے ہیں، جس سے ردعمل دینے کا انتہائی اہم 10 منٹ کا موقع ضائع ہو جاتا ہے۔
فون نمبر کنٹرول میں آتے ہی حملہ آور Gmail، Microsoft، Telegram، Binance، اور آن لائن بینکنگ پورٹلز پر پاس ورڈ ری سیٹ کی درخواستیں چلاتے ہیں۔ ہر آنے والا SMS OTP براہ راست حملہ آور کے فون پر موصول ہوتا ہے، جس سے اکاؤنٹس کا فوری اور مکمل کنٹرول مل جاتا ہے۔
- جیک ڈورسی (Twitter کے سابق CEO): اگست 2019 میں، ہیکرز نے AT&T ریٹیل آؤٹ لیٹ کے ذریعے ڈورسی کی سم تبدیل کروائی، اور ان کے چوری شدہ فون نمبر کا استعمال کرتے ہوئے Twitter کے پرانے SMS-to-tweet گیٹ وے (Cloudhopper) کے ذریعے ناگوار ٹویٹس پوسٹ کیں۔
- امریکی سیکیورٹیز اینڈ ایکسچینج کمیشن (SEC) کا X اکاؤنٹ (2024): حملہ آوروں نے SEC کے آفیشل اکاؤنٹ کے ریکوری موبائل نمبر پر غیر مجاز سم سویپ کیا، اور اسپاٹ بٹ کوائن ETFs کی منظوری کا جھوٹا اعلان کر کے عالمی مارکیٹوں میں کروڑوں ڈالر کے ٹریڈز کو زبردستی لکویڈیٹ کر دیا۔
03. طریقہ کار 2: SS7 اور سیلولر پروٹوکولز کا استحصال
جہاں سم سویپنگ انسانی فریب دہی پر انحصار کرتی ہے، وہیں Signaling System No. 7 (SS7) کی کمزوریاں عالمی ٹیلی کمیونیکیشن روٹنگ کے بنیادی نقائص سے فائدہ اٹھاتی ہیں۔
1975 میں تشکیل دیا گیا SS7 کال سیٹ اپ، نمبر ٹرانسلیشن، SMS ڈیلیوری، اور سینکڑوں بین الاقوامی آپریٹرز کے درمیان رومنگ کو سنبھالتا ہے۔ اہم بات یہ ہے کہ SS7 کو اندھے اعتماد (blind-trust) کے اصول پر بنایا گیا تھا: SS7 بیک بون سے جڑے ہر ٹیلی کام فراہم کنندہ کو قابل اعتماد اور مجاز تصور کیا جاتا ہے۔
اس عمل کے ذریعے جارحانہ انٹیلی جنس ایجنسیز یا منظم سائبر مافیا شکار کو شبہ ہوئے بغیر سرحد پار بینکنگ اور کرپٹو OTPs چرا لیتے ہیں۔ جدید LTE Diameter پروٹوکول کے نفاذ کے باوجود، پرانے SS7 کے ساتھ بیک ورڈ مطابقت اس خطرے کو بدستور قائم رکھتی ہے۔
04. طریقہ کار 3: ریئل ٹائم AiTM فشنگ (Evilginx فریم ورک)
بہت سے صارفین یہ غلط گمان رکھتے ہیں: "اگر میرا سم کارڈ تبدیل نہیں ہوا تو میرے کوڈز محفوظ ہیں۔" لیکن Evilginx 3.0، Modlishka، اور Muraena جیسے جدید Adversary-in-the-Middle (AiTM) ریورس پراکسی ٹولز کے آگے یہ مفروضہ غلط ثابت ہو جاتا ہے۔
روایتی کریڈینشل چوری میں فرضی جامد لاگ ان فارم استعمال ہوتے تھے۔ آج کے جارحانہ ریورس پراکسیز صارف اور اصل سرور کے درمیان زندہ واسطہ بن کر کام کرتے ہیں:
جامد پاس ورڈز چراتی ہے۔ اگر 2FA آن ہو تو ناکام ہو جاتی ہے کیونکہ حملہ آور 60 سیکنڈ کے قلیل وقت میں ختم ہونے والے OTP کوڈ کو دوبارہ استعمال نہیں کر سکتا۔
صارف اور اصل سرور کے درمیان لائیو ٹریفک کی پراکسی بناتی ہے۔ جب صارف اپنا SMS کوڈ درج کرتا ہے، تو پراکسی اسے فوری طور پر اصل سرور کو بھیج کر لاگ ان مکمل کرتی ہے اور تصدیق شدہ سیشن کوکیز اور OAuth ٹوکنز چرا لیتی ہے۔
login.example.com اور login.examp1e.com کے فرق کو پہچاننے سے قاصر رہتا ہے۔ اس کے برعکس، FIDO2/WebAuthn تصدیق کار اپنے کرپٹوگرافک سگنیچرز کو براہ راست براؤزر کے مستند URL کے ساتھ باندھ دیتے ہیں، جس سے فشنگ کا خطرہ صفر ہو جاتا ہے۔
05. طریقہ کار 4: IMSI کیچرز اور اینڈرائیڈ ٹروجنز
مقامی وائرلیس فریکوئنسی اور موبائل ڈیوائس کی سطح پر، SMS پیغامات کو مزید خطرناک رکاوٹوں کا سامنا رہتا ہے:
-
●
IMSI کیچرز (Stingrays) اور 2G فال بیک حملے: جعلی پورٹیبل سیلولر ٹاورز طاقتور بیکن سگنل نشر کرتے ہیں جو قریبی موبائل فونز کو 4G/5G سے منقطع کر کے پرانے 2G (GSM) نیٹ ورک پر جانے پر مجبور کر دیتے ہیں۔ چونکہ GSM ہینڈ سیٹ کے سامنے بیس اسٹیشن کی صداقت ثابت نہیں کرتا، حملہ آور فرسودہ A5/1 سائفرز کو توڑ کر صوتی کالز اور پلین ٹیکسٹ SMS پیغامات کو ہوا ہی میں ڈکرپٹ کر لیتے ہیں۔
-
●
اینڈرائیڈ SMS سنفر میلویئر: مختلف جعلی ایپلیکیشنز یا غیر سرکاری APKs انسٹالیشن کے وقت
android.permission.RECEIVE_SMSیاBIND_NOTIFICATION_LISTENER_SERVICEکی اجازت حاصل کر لیتے ہیں۔ ایک بار فعال ہونے کے بعد، پس منظر میں کام کرنے والے وائرس تصدیقی کوڈز آتے ہی چرا لیتے ہیں اور انہیں انکرپٹڈ ٹیلیگرام بوٹس یا ہیکر سرورز پر ریئل ٹائم میں منتقل کر دیتے ہیں۔
06. NIST SP 800-63B کی تنسیخ کی ہدایات
ان سنگین خطرات کو مدنظر رکھتے ہوئے، National Institute of Standards and Technology (NIST) نے اپنے سیکیورٹی دستاویز Special Publication 800-63B (ڈیجیٹل شناختی رہنما اصول: توثیق اور لائف سائیکل انتظام) میں SMS توثیق کے استعمال پر سخت پابندیاں عائد کی ہیں:
"PSTN سسٹمز (SMS یا صوتی کالز) کا استعمال کرتے ہوئے آؤٹ آف بینڈ (OOB) توثیق کو باضابطہ طور پر محدود (RESTRICTED) قرار دیا گیا ہے۔ SMS توثیق استعمال کرنے والے سسٹمز کو SIM Swapping، نمبر سپوفنگ، سگنلنگ انٹرسیپشن، اور ڈیوائس کلوننگ کے خطرات کو تحریری طور پر تسلیم کرنا ہوگا۔ Authenticator Assurance Level 2 (AAL2) یا اس سے اعلیٰ سطح پر کام کرنے والے اداروں کے لیے کرپٹوگرافک ملٹی فیکٹر مستند کنندگان (TOTP ایپس یا ہارڈ ویئر FIDO ٹوکنز) کا استعمال لازمی ہے۔"
یورپی سیکیورٹی اداروں (ENISA) اور امریکی ادارے CISA نے بھی اس پالیسی کی توثیق کی ہے اور حساس بنیادی ڈھانچے سے SMS توثیق کو مکمل طور پر ختم کرنے پر زور دیا ہے۔
07. آرکیٹیکچر کا تقابل: SMS بمقابلہ TOTP بمقابلہ FIDO2
وقت پر مبنی یک بارگی پاس ورڈ (RFC 6238 TOTP) بنیادی طور پر SMS سے کیوں برتر ہے؟ درج ذیل جدول سیکیورٹی کی تکنیکی خصوصیات واضح کرتا ہے:
| سیکیورٹی کا پہلو | SMS توثیق | TOTP تصدیق کار (RFC 6238) | ہارڈ ویئر FIDO2 / YubiKey |
|---|---|---|---|
| ترسیل کا چینل | سیلولر ٹیلی کام نیٹ ورک | 100% مقامی کلائنٹ سائیڈ حسابی عمل | مقامی سیکیور ایلیمنٹ چپ |
| SIM Swap کے خلاف مزاحمت | صفر (فوری ہائی جیک) | محفوظ (فون نمبر سے مکمل آزاد) | محفوظ (ہارڈ ویئر الگ تھلگ) |
| SS7 سگنلنگ انٹرسیپشن | غیر محفوظ | محفوظ (صفر نیٹ ورک پیکٹس) | محفوظ (کوئی نیٹ ورک ٹرانزٹ نہیں) |
| IMSI کیچر / 2G ڈاؤن گریڈ | غیر محفوظ | محفوظ | محفوظ |
| AiTM ریورس پراکسی (Evilginx) | آسانی سے بائی پاس | معتدل (چوکس رہنے کی ضرورت) | بے مثال (اوریجن بائنڈنگ) |
| ہوائی جہاز موڈ / آف لائن استعمال | غیر دستیاب | مکمل فعال (صرف وقت درکار ہے) | مکمل فعال |
| نفاذ کی لاگت | کیریئر فیس فی SMS | مفت اور اوپن معیار | ہارڈ ویئر ٹوکن ($45 - $80) |
08. قابل عمل دفاع اور مائیگریشن کا روڈ میپ
اپنے سیلولر سگنل کے پراسرار طور پر غائب ہونے کا انتظار نہ کریں۔ آج ہی یہ عملی اقدامات مکمل کریں:
Google، Apple ID، GitHub، Binance، Kraken اور اپنے اہم ای میل پورٹلز میں لاگ ان ہوں۔ تصدیق کار ایپ (جیسے Aegis، 2FAS یا Bitwarden) یا ہارڈ ویئر سیکیورٹی کی شامل کریں۔ اگر سروس میں آپشن موجود ہو تو ریکوری کے متبادل کے طور پر SMS کو مکمل طور پر بند کر دیں۔
اپنے ٹیلی کام نیٹ ورک فراہم کنندہ سے رابطہ کر کے ایک لازمی پورٹ آؤٹ پن یا "Account Takeover Freeze" کا نفاذ کروائیں۔ مزید برآں، iOS یا Android کی ترتیبات میں آن ڈیوائس SIM PIN آن کریں تاکہ چوری شدہ سم کارڈ کسی دوسرے موبائل میں کام نہ کر سکے۔
جب بھی آپ نیا تصدیق کار ترتیب دیں، اصل 16 حروف کی Base32 خفیہ کلید کو کسی آف لائن فزیکل میڈیم (کاغذ یا انکرپٹڈ کولڈ اسٹوریج) پر محفوظ کریں اور اکاؤنٹ کے 10 سنگل یوز ایمرجنسی ریکوری کوڈز کو سنبھال کر رکھیں۔
09. اکثر پوچھے گئے سوالات (FAQ)
سوال 1: کیا بالکل کوئی سیکیورٹی نہ ہونے کے مقابلے میں SMS 2FA اب بھی بہتر نہیں ہے؟ ▼
کمزور اور دہرائے گئے پاس ورڈز تلاش کرنے والے خودکار بوٹ حملوں کے خلاف SMS 2FA معمولی تحفظ فراہم کرتا ہے۔ لیکن اس کا بنیادی تضاد یہ ہے کہ سروسز آپ کے فون نمبر کو ایک ماسٹر ریکوری کلید تصور کرتی ہیں۔ اگر کوئی ہدف بنا کر آپ کی سم بدل لیتا ہے تو SMS سیکیورٹی بننے کے بجائے آپ کے ہر اکاؤنٹ کو ری سیٹ کرنے کا ہتھیار بن جاتا ہے۔
سوال 2: کیا eSIM کے استعمال سے مجھے SIM Swapping سے تحفظ ملتا ہے؟ ▼
نہیں۔ eSIM فزیکل سم کارڈ کی چوری سے تو بچاتی ہے لیکن سوشل انجینئرنگ سے نہیں۔ ہیکرز جو کسٹمر کیئر کو بے وقوف بناتے ہیں وہ باآسانی ایک نیا الیکٹرانک eSIM QR کوڈ حاصل کر لیتے ہیں اور سیکنڈوں میں انٹرنیٹ کے ذریعے آپ کا نمبر اپنے ہینڈ سیٹ پر منتقل کر لیتے ہیں۔
سوال 3: روایتی بینک اب بھی SMS تصدیق کا تقاضا کیوں کرتے ہیں؟ ▼
عوامی رویوں اور کسٹمر سپورٹ کے اخراجات کی وجہ سے۔ کروڑوں غیر تکنیکی صارفین کو تصدیق کار ایپس پر منتقل کرنا کال سینٹرز پر ناقابل برداشت دباؤ ڈال سکتا ہے۔ بینک اس کے بجائے سالانہ کروڑوں ڈالر کے فراڈ کا نقصان خود برداشت کرتے ہیں اور پس پردہ فراڈ ڈیٹیکشن ماڈلز پر انحصار کرتے ہیں۔
سوال 4: اگر میرے اسمارٹ فون پر "No Service" لکھا آئے تو مجھے فوری کیا کرنا چاہیے؟ ▼
اسے فوری طور پر ہنگامی سیکیورٹی خطرہ سمجھیں۔ فوراً Wi-Fi سے جڑیں، کسی دوسرے فون سے اپنے سیلولر کیریئر کو کال کریں اور معلوم کریں کہ آیا آپ کا نمبر پورٹ آؤٹ ہوا ہے۔ اس دوران کمپیوٹر سے اپنے کرپٹو والٹس کو عارضی طور پر فریز کریں اور اہم ای میل اکاؤنٹس کے پاس ورڈز فوراً تبدیل کریں۔
سوال 5: کیا میری سم چرا لینے والا ہیکر میرے TOTP تصدیق کار کوڈز تک رسائی پا سکتا ہے؟ ▼
ہرگز نہیں۔ تصدیق کار ایپس کوڈز بنانے کے لیے ایک انکرپٹڈ کلید استعمال کرتی ہیں جو ڈیوائس کے محفوظ ہارڈ ویئر اسٹوریج میں رکھی ہوتی ہے۔ سیلولر نیٹ ورک کو اس کلید تک کوئی رسائی نہیں ہوتی۔ یہاں تک کہ اگر ہیکر آپ کے موبائل نمبر کا مکمل مالک بھی بن جائے، تب بھی وہ آپ کے TOTP کوڈز حاصل نہیں کر سکتا۔
براہ راست اپنے براؤزر میں محفوظ TOTP کوڈز تیار کریں
سیلولر سگنل چوری ہونے کے خطرات کو خیرباد کہیں۔ 2FA-Tool براؤزر سینڈ باکس میں RFC 6238 کوڈز بنانے کے لیے جدید W3C Web Crypto API کا استعمال کرتا ہے، جس سے آپ کی چابیاں مکمل نجی اور آف لائن رہتی ہیں۔