Em um ataque de SIM swap, o invasor assume o controle do número de telefone da vítima por meio da troca do chip ou de uma portabilidade não autorizada. Se o login ou a recuperação da conta depender apenas do recebimento de um SMS, esse controle poderá abrir caminho para entrar na conta. Mas o resultado não é igual em todos os mensageiros: uma senha adicional, dispositivos autorizados, bloqueio de registro e a política de recuperação podem fazer diferença.
Analise o controle do número, a tomada da conta e a leitura de mensagens antigas como três resultados distintos. Sem conhecer a arquitetura do serviço, não considere nenhum deles consequência inevitável de outro.
O que um código SMS comprova?
Um código SMS geralmente demonstra que o processo de login tem acesso ao número em questão. Isso não comprova necessariamente que a mesma pessoa de sempre controla o número. O guia da FTC sobre SIM swap explica por que um invasor que controla o número pode receber códigos de verificação.
Essa fragilidade não significa que toda autenticação multifator seja inútil. Escolher um fator mais forte, quando o serviço oferecer suporte, pode reduzir a dependência da rede telefônica. Verifique também o caminho de recuperação: se o método de login mais forte puder ser contornado por uma recuperação apenas por SMS, esse caminho continuará importante.
Que diferença o SRP faz?
SRP é um método de acordo de chaves e autenticação baseado em senha que não precisa transmitir a própria senha durante a troca normal. O servidor mantém dados chamados de verificador (verifier). Isso difere do login baseado somente em código SMS, mas o nome SRP, por si só, não determina a política de registro ou recuperação da conta.
Também não se deve presumir que o verificador seja inofensivo. A seção de segurança da RFC 5054 afirma que o roubo do verificador pode permitir um ataque de dicionário para adivinhar a senha. A força da senha, o controle das tentativas de login, os parâmetros e a correção da implementação continuam importantes. Essa RFC descreve um exemplo de SRP em TLS, não uma auditoria da implementação da Livara.
Se a conta for tomada, todos os chats poderão ser lidos?
| Situação | Pergunta decisiva |
|---|---|
| O invasor só tem o número | O login ou a recuperação apenas por SMS são permitidos? |
| O invasor entrou na conta | Um novo dispositivo recebe acesso às chaves e ao histórico anteriores? |
| O invasor envia uma nova mensagem | Os contatos veem e verificam a mudança de identidade ou dispositivo? |
| O invasor tem a frase de recuperação | Quais backups e chaves podem ser abertos com ela? |
| O invasor tem o dispositivo desbloqueado | Quais conteúdos e sessões ativas estão acessíveis? |
A criptografia de ponta a ponta protege o conteúdo das mensagens durante seu percurso; não substitui a política de login nem a confiança na identidade do contato.
Os limites da afirmação da Livara
A página de segurança da Livara descreve login com nome de usuário e SRP e recuperação separada do material de identidade. Esse projeto não deve ser transformado em uma promessa de imunidade a todo tipo de roubo de conta. Phishing, malware, senhas fracas e exposição da frase de recuperação continuam relevantes na avaliação.
O mesmo documento diz que a v7 recupera a identidade criptográfica, não o histórico de chats. O modelo de ameaças ajuda a não confundir acesso à conta, acesso às chaves e acesso físico ao dispositivo.
Medidas práticas para reduzir o risco
- Defina uma senha ou um PIN exclusivo para a conta da operadora e pergunte sobre restrições à portabilidade do número. Isso reduz o risco, mas não torna impossível uma transferência não autorizada.
- Nos serviços compatíveis, ative um fator de autenticação adequado que não use SMS e mantenha os códigos de recuperação em segurança.
- Use senhas únicas; uma senha compartilhada pode estender um incidente em um serviço a várias contas.
- Se o serviço do chip parar de funcionar de repente ou você receber uma notificação inesperada de alteração, procure a operadora por um canal oficial conhecido; nem toda interrupção significa um ataque.
- Depois de recuperar o número, confira os logins e as alterações nas contas vinculadas e revogue acessos desconhecidos conforme as instruções de cada serviço.
O melhor critério não é o nome de um método de login, mas exatamente a que um invasor consegue acesso ao controlar o número, a senha ou o dispositivo e qual barreira independente ainda permanece.
