Entonces, ¿Tiene confianza en que está a salvo de los atacantes que causan estragos en las debilidades de autenticación? Piense de nuevo o al menos considere los hallazgos de investigaciones recientes. Cinco operadores utilizaron desafíos de autenticación inseguros, inseguridad que los atacantes podrían aprovechar en intentos maliciosos de intercambio de SIM.

El intercambio de SIM es cuando el usuario intenta cambiar una SIM por otra y se comunica con el operador para que el representante contactado pueda cambiar el número del propietario a una tarjeta diferente. explicado Correo diario .

Catalin Cimpanu en ZDNet Tenía una explicación que subrayaba la vulnerabilidad de todo. "Un intercambio de SIM es cuando un atacante llama a un proveedor de telefonía móvil y engaña al personal de la compañía de telecomunicaciones para que cambie el número de teléfono de la víctima a una tarjeta SIM controlada por el atacante".

El estudio de la Universidad de Princeton es "Un estudio empírico de autenticación de operadores inalámbricos para intercambios de SIM" y fue escrito por investigadores del Departamento de Ciencias de la Computación y el Centro de Políticas de Tecnología de la Información en Princeton.

En un escenario, un atacante podría continuar y restablecer una contraseña, obtener acceso a las bandejas de entrada de correo electrónico, portales bancarios o sistemas de comercio de criptomonedas.

TechSpot informó que "Los investigadores se registraron en 50 cuentas prepagas en Verizon, AT&T, T-Mobile, Móvil de EE. UU. y Tracfone, y pasó la mayor parte de 2019 buscando formas de engañar a los operadores de centros de llamadas para que adjunten sus números de teléfono a una nueva tarjeta SIM ".

En su papel los investigadores también pintaron un panorama sombrío de los ataques de intercambio de SIM. Estos "permiten a los atacantes interceptar llamadas y mensajes, hacerse pasar por víctimas, y realizar ataques de denegación de servicio (DoS). Se han utilizado ampliamente para piratear cuentas de redes sociales, robar criptomonedas, y entrar en cuentas bancarias. Esta vulnerabilidad es grave y ampliamente conocida ".

Cinco principales operadores de EE. UU.:AT&T, T-Mobile, Tracfone, US Mobile y Verizon Wireless — se discutieron. Los investigadores querían determinar los protocolos de autenticación.

Esto es lo que los autores escribieron en su resumen:

"Descubrimos que los cinco operadores utilizaban desafíos de autenticación inseguros que los atacantes podían subvertir fácilmente. También descubrimos que los atacantes generalmente solo necesitaban apuntar a los desafíos de autenticación más vulnerables, porque el resto podría pasarse por alto ".

los Correo diario El artículo fue útil para proporcionar casos concretos:en los intentos de intercambio de SIM, muchos tuvieron éxito al decirles a los representantes que habían olvidado las respuestas a las preguntas de seguridad. También, los investigadores afirmaron que la razón por la que no podían responder preguntas sobre cosas como su fecha y lugar de nacimiento, dijo Correo diario , fue que debieron haber cometido un error al configurar la cuenta.

Escaneando el papel en sí, Es fácil ver por qué a los investigadores les preocupaba el éxito del intercambio de SIM.

"En nuestros exitosos intercambios de SIM, pudimos autenticarnos con el operador pasando como máximo un esquema de autenticación ". Con un proveedor, usando la verificación del registro de llamadas, a los investigadores se les permitió intercambiar SIM "una vez que proporcionamos dos números marcados recientemente, a pesar de que fallamos en todos los desafíos anteriores, como el PIN ".

ZDNet señaló que "el equipo de investigación redactó los nombres de los 17 servicios vulnerables de su investigación para evitar que los intercambiadores de SIM se concentren en esos sitios para futuros ataques".

(Los autores explicaron que "También evaluamos las políticas de autenticación de más de 140 servicios en línea que ofrecen autenticación basada en el teléfono para determinar cómo se enfrentan a un atacante que ha comprometido el número de teléfono de un usuario mediante un intercambio de SIM. Nuestro hallazgo clave es que 17 sitios web de diferentes industrias han implementado políticas de autenticación que permitirían a un atacante comprometer completamente una cuenta con solo un intercambio de SIM ").

¿Qué consejo dieron los autores? Expresaron una serie de recomendaciones. "Los operadores deben dejar de utilizar métodos inseguros de autenticación de clientes, ", escribieron. La eliminación gradual de métodos inseguros era parte de la solución. Otra recomendación fue" Brindar una mejor capacitación a los representantes de soporte al cliente ". Además, deberían "desarrollar medidas para educar a los clientes sobre estos cambios para reducir la fricción de la transición".

Los autores dijeron que identificaron esquemas de autenticación débiles y políticas defectuosas en cinco operadores móviles estadounidenses del mercado de prepago. "Demostramos que estas fallas permiten ataques sencillos de intercambio de SIM. Esperamos que nuestras recomendaciones sirvan como un punto de partida útil para los cambios en las políticas de la empresa con respecto a la autenticación de usuarios".

¿Qué consejo dieron los escritores que observan la tecnología? Adrian Potoroaca en TechSpot intervino:"La conclusión obvia es evitar el uso de SMS como una forma de autenticación de dos factores, y en su lugar use una aplicación de autenticación. Para aquellos de ustedes que poseen un teléfono Android, Google le permite usar su teléfono como una clave de autenticación física de dos factores, que es el método más seguro que existe ".

© 2020 Science X Network