בעיית אבטחה בפרטנר - החלפת סים בלי זיהוי הלקוח

[yuvk]

הסיפור בקצרה:

 

אתמול ניסיתי לחתוך את הסים מהטלפון של אשתי. זהו סים בן מעל ל-15, לא בטוח בדיוק. נולד כ-סים (גדול) בנוקיה ישן כלשהו. לפני כמה שנים חתכתי אותו (עם חותך סימים) ל-מיקרו-סים. אתמול ניסיתי לחתוך אותו לננו-סים (לכבוד שדרוג הטלפון, שדרש זאת). הסים לא שרד את החיתוך והטלפון לא זיהה אותו.

 

שלחתי את אשתי בבושת פנים לפרטנר להחליף סים.

לזכותם יאמר שהם החליפו את הסים ללא תשלום ואפילו התקינו אותו במכשיר. א-ב-ל הם בשום שלב לא ביקשו שום תעודה או פרט הזדהות למעט מספר הטלפון עצמו. כלומר, כל מתחזה יכול ללכת למרכז שירות של חברת הסלולר ולקבל סים שישויך למספר שלכם. ברגע שעשו זאת, כל אפליקציה שמשתמשת בזיהוי על ידי SMS, בידיהם.

 

ממליץ לכם להוסיף סיסמה לשם two steps authentication בווצאפ ובכל אפליקציה רגישה שיש לכם.

 

[sperial]

הסים הישן עצמו מזוהה חד חד ערכית לפי המסר המוטבע עליו.

 

דרך אגב, יש לי עוד שני סימים פעילים מלפני קרוב ל-20 שנה. מהסוג שכתוב עליהם simple או SIM+. כמובן שאלה סימים דור שני, לא מתאימים לדור שלישי ומעלה.

עריכה אחרונה ב-2 לספטמבר, 2020 על ידי sperial

[Michaelr]

קרה לי אותו הדבר בהוט מובייל לאחר שאבד לי הסים עמוק בתוך הספה בסלון.

הגעתי לסניף בלי הסים הקודם וכל מה שביקשו זה מספר הטלפון, אפילו לא שאלו לשמי. שאלתי אם צריך ת"ז והבחור פשוט התעלם מהשאלה. יצאתי משם תוך 40 שניות מהכניסה...

לאחר המקרה כיביתי בכל החשבונות שלי שחזור סיסמה ו2FA בעזרת SMS והעברתי הכל לאפליקציית Authenticator. בנוסף, היכן שהתאפשר (גוגל ופייסבוק) הדפסתי רשימת backup codes שאני שומר בארנק למקרה שלא תיהיה לי גישה לאפליקציה. 

[yuvk]

לפני 58 דקות, sperial כתב:

הסים הישן עצמו מזוהה חד חד ערכית לפי המסר המוטבע עליו.

 

רק שהסים הישן נמצא אצלי, והנציג לא ראה ולא ביקש אותו.

 

[arik100]

נשמע לי ממש מוזר...

 

[חולגי]

 אם זו פעולה שעולה למנוי בתוספת כספית (?) - איני מתפלא. לפחות יש מניע.

אם פעולה חינמית - באמת מוזר.

[sperial]

כאשר החלפתי את כל הסימים במשפחה לנאנו, לפני כשנתיים, זה היה חינם. אבל עד כמה שזכור לי התבקשתי להציג תעודה מזהה. 

[קאררה]

פרצת אבטחה רצינית מאוד. יש אפילו fraud מפורסם בשם Sim Swap שפורצים שמנסים לגנוב חשבון שעובר דרך 2 step authentication שכולל מספר טלפון הולכים עם תעודה מזהה מזוייפת למפעיל הסלולרי ומנפיקים כרטיס סים חדש עם הטלפון של ה״מטרה״ ואז משתמשים בו כדי לפרוץ לחשבון. נראה שחברת הסלולר פשוט השאירה את הדלת פתוחה בהתנהלות שלה.

 

[sperial]

הסכנה היא באתרים שאינם מאפשרים זיהוי כפול, למשל אלה של חברות האשראי. 

 

בהחלט סיבה לפנות למשרד התקשורת ולתכניות הצרכנות בטלויזיה.

[Transporter]

לפני 6 שעות, sperial כתב:

הסכנה היא באתרים שאינם מאפשרים זיהוי כפול, למשל אלה של חברות האשראי. 

 

בהחלט סיבה לפנות למשרד התקשורת ולתכניות הצרכנות בטלויזיה.

 

חברות אשראי כן מבקשות זיהוי כפול

לפחות כאל

לפני 13 שעות, Michaelr כתב:

קרה לי אותו הדבר בהוט מובייל לאחר שאבד לי הסים עמוק בתוך הספה בסלון.

הגעתי לסניף בלי הסים הקודם וכל מה שביקשו זה מספר הטלפון, אפילו לא שאלו לשמי. שאלתי אם צריך ת"ז והבחור פשוט התעלם מהשאלה. יצאתי משם תוך 40 שניות מהכניסה...

לאחר המקרה כיביתי בכל החשבונות שלי שחזור סיסמה ו2FA בעזרת SMS והעברתי הכל לאפליקציית Authenticator. בנוסף, היכן שהתאפשר (גוגל ופייסבוק) הדפסתי רשימת backup codes שאני שומר בארנק למקרה שלא תיהיה לי גישה לאפליקציה. 

 

מה היתרון של אפליקציית authenticator?

[sperial]

אני נכנס לאתר של כאל על ידי מס' ת"ז, 4 ספרות של כא ו-SMS. כיוון ששני הראשונים אינם סודייים מדובר באימות בודד על ידי SMS.

[yuvk]

קיבלתי SMS מפרטנר להשתתף בסקר שביעות רצון על השירות לאחר הביקור בסניף. מילאתי ביקורת עניינית בנושא.

[Michaelr]

לפני 8 שעות, Transporter כתב:

מה היתרון של אפליקציית authenticator?

 

באתרים תומכים (גוגל, פייסבוק פייפל...) ניתן לקבל מפתח סודי בצורת קוד QR שנשמר במכשיר שלך ובסרברים שלהם. יש אלגוריתם כלשהו שמייצר קוד סודי חדש כל 30 שניות (להבנתי ע"י שילוב המפתח הסודי והזמן העכשווי). הדרך היחידה לגשת לקוד הסודי הזה היא מהאפליקציה במכשיר הספציפי שאיתו קראת את קוד הQR.

המכשיר שלך מאובטח בטביעת אצבע כך שזאת שיטת 2FA נוחה ובטוחה.

 

הבעיה העיקרית היא אתרי הבנקים וחברות האשראי, למרות החשיבות העצומה הם פחות מאובטחים מפייסבוק🙄

כל מה שצריך על מנת לשנות סיסמה בחשבון לאומי הוא שם המשתמש וגישה לSMSים של הלקוח (שאותה משיגים בגניבת סים קלילה כמתואר בשרשור), זוהי פרצה ענקית. 

 

[yuvk]

בשבוע שעבר הלכתי להחליף סים של סלקום לנאנו - סים. השירות ניתן על ידי "דינמיקה" (לוגו של סלקום) ולנציגת השירות היתה חולצה של סלקום. ביקרתי בסניף נתניה.

 

גם פה התבקשתי לומר מספר טלפון, לאשר ששמי הפרטי יובל, ו...זהו. הסים החדש הוכנס למכשיר חדש. אף אחד לא ביקש תעודה, אמצעי זיהוי או את הסים הישן.