Hãy bảo vệ số điện thoại, nhưng cũng kiểm tra mọi đường truy cập tài khoản coi số đó là bằng chứng danh tính.
Một vụ chiếm đoạt SIM chuyển quyền kiểm soát số điện thoại của bạn sang SIM hoặc eSIM do kẻ tấn công kiểm soát. Nếu tài khoản nhắn tin chấp nhận SMS là bằng chứng đủ để đăng ký, đăng nhập hoặc khôi phục, kẻ tấn công có thể khai thác đường này.
Kết quả không giống nhau ở mọi ứng dụng nhắn tin. Khóa đăng ký bổ sung, khóa truy cập, mật khẩu hoặc bí mật khôi phục độc lập có thể thay đổi những gì kẻ tấn công làm được. Chiếm số điện thoại cũng không tự động giải mã mọi cuộc trò chuyện cũ lưu trên thiết bị của bạn.
Từ quyền kiểm soát số điện thoại đến quyền kiểm soát tài khoản
Hướng dẫn về chiếm đoạt SIM của Ủy ban Thương mại Liên bang Hoa Kỳ mô tả việc kẻ tấn công thuyết phục nhà mạng kích hoạt số của nạn nhân trên SIM khác. Tin nhắn xác minh và cuộc gọi đến khi đó có thể chuyển tới kẻ tấn công.
Điểm yếu liên quan nằm ở quyết định của hệ thống tài khoản tin cậy số đó. Dịch vụ có thể dùng số cho đăng ký ban đầu, bước xác minh bổ sung hoặc đặt lại mật khẩu. Đây là những khả năng khác nhau. Hãy xem xét tất cả, kể cả phương án dự phòng, thay vì chỉ kiểm tra màn hình đăng nhập thông thường.
Mất dịch vụ di động đột ngột hoặc thông báo kích hoạt SIM ngoài dự kiến có thể là dấu hiệu cảnh báo, dù sự cố mạng và vấn đề tài khoản thông thường cũng có thể biểu hiện tương tự. Hãy xác nhận với nhà mạng qua kênh chính thức đã biết.
Phân biệt mạo danh với truy cập tin nhắn trong quá khứ
Thiết bị mới đăng ký do kẻ tấn công kiểm soát có thể mạo danh bạn hoặc nhận liên lạc trong tương lai, tùy quy tắc của ứng dụng. Việc truy cập lịch sử cũ cần một lời giải thích bổ sung: bản sao đọc được trên máy chủ, quyền truy cập bản sao lưu mã hóa và khóa của nó, thiết bị đã liên kết hoặc bản sao cục bộ.
| Tài sản | Chỉ kiểm soát số điện thoại có nhất thiết cung cấp tài sản này không? |
|---|---|
| Mã xác minh SMS đến | Có thể, sau khi số đã được chuyển |
| Đăng ký hoặc đặt lại tài khoản | Chỉ khi dịch vụ chấp nhận đường đó mà không có yêu cầu độc lập |
| Phiên hiện có trên thiết bị | Không tự động; quy tắc quản lý phiên có vai trò quan trọng |
| Lịch sử trò chuyện E2EE cũ | Không tự động; kẻ tấn công vẫn cần bản sao có thể truy cập và các khóa cần thiết |
| Tin nhắn tương lai gửi đến danh tính mới được chấp nhận | Rủi ro phụ thuộc vào xác minh danh tính và cách tài khoản hoạt động |
Cảnh báo thay đổi khóa và việc kiểm tra độc lập danh tính của người liên hệ có thể giúp phát hiện điểm cuối mới ngoài dự kiến. Không nên bỏ qua chúng chỉ vì số điện thoại quen thuộc vẫn như cũ.
SRP đóng góp gì và không thể hứa hẹn điều gì
SRP xác thực việc biết mật khẩu mà không gửi mật khẩu đó trong trao đổi dự kiến của giao thức. Nếu đăng nhập thực sự yêu cầu mật khẩu độc lập và không có phương án SMS dự phòng bỏ qua nó, chỉ đánh cắp số điện thoại sẽ không đáp ứng yêu cầu đó.
Bản thân SRP không quy định chính sách số điện thoại, quy trình đặt lại hay thủ tục hỗ trợ của ứng dụng. Nó không biến mật khẩu yếu thành mạnh hoặc ngăn mã lừa đảo đọc văn bản nhập trên trang độc hại. Giá trị xác minh của máy chủ vẫn là dữ liệu nhạy cảm: mục 3.3 của RFC 5054 mô tả việc đoán mật khẩu sau khi giá trị xác minh bị đánh cắp.
Khóa truy cập và khóa bảo mật là những cách khác có thể giảm phụ thuộc vào SMS khi dịch vụ hỗ trợ. Phần giải thích về khóa truy cập của FIDO Alliance mô tả thông tin xác thực khóa công khai và khả năng chống lừa đảo. Đường khôi phục tài khoản thực tế vẫn cần được xem xét, bất kể phương thức đăng nhập thông thường là gì.
Sự tách biệt được Livara mô tả trong tài liệu
Trang bảo mật của Livara mô tả đăng nhập SRP tách biệt với bản sao lưu danh tính mã hóa. Phiên bản 7 mã hóa tài liệu danh tính trước khi tải lên bằng một khóa khôi phục riêng và khôi phục danh tính, không phải lịch sử trò chuyện. Mô hình đe dọa nêu rằng chỉ một mật khẩu bị đánh cắp không thể khôi phục các khóa mã hóa đó.
Những ranh giới này giúp phân biệt xác thực với giải mã. Chúng không đủ để hứa rằng mọi đường chiếm đoạt tài khoản đều đã được kiểm toán hoặc sự cố nhà mạng không thể gây tác động nào. Hãy kiểm tra các lựa chọn đăng nhập và khôi phục hiện tại trong ứng dụng khách; đừng suy ra hành vi chưa được tài liệu hóa từ tên giao thức.
Thiết lập khóa hậu lượng tử giải quyết vấn đề khác: các cuộc tấn công tương lai vào lưu lượng mã hóa đã bị thu giữ. Nó không ngăn nhà mạng chuyển số điện thoại hoặc ngăn tài khoản tin cậy SMS bị chặn bắt.
Giảm rủi ro trước sự cố
- Bảo vệ tài khoản nhà mạng bằng PIN hoặc mật khẩu riêng và các biện pháp kiểm soát chuyển mạng giữ số hiện có.
- Ưu tiên xác thực mạnh không dùng SMS khi được hỗ trợ và giữ an toàn các phương án khôi phục.
- Kiểm tra xem khôi phục tài khoản có âm thầm quay về số điện thoại làm phương án dự phòng không.
- Dùng mật khẩu riêng cho từng tài khoản và bảo vệ tài khoản email dùng để khôi phục.
- Tìm hiểu cách ứng dụng nhắn tin hiển thị thiết bị liên kết, thay đổi đăng ký và thay đổi khóa của người liên hệ.
Nếu bạn nghi ngờ số của mình đã bị chiếm
- Liên hệ nhà mạng ngay qua kênh đã xác minh và yêu cầu điều tra cùng khôi phục số.
- Từ thiết bị đáng tin cậy, bảo vệ các tài khoản bị ảnh hưởng và kiểm tra phiên không rõ nguồn gốc. Lấy lại số không nhất thiết chấm dứt phiên hiện có của kẻ tấn công.
- Kiểm tra thay đổi trong cài đặt khôi phục và đặt lại thông tin xác thực bị xâm phạm qua quy trình chính thức.
- Cảnh báo các liên hệ quan trọng qua kênh đáng tin cậy khác nếu có khả năng mạo danh. Xác minh lại danh tính mật mã ở những nơi đã thay đổi.
- Giữ lại thông báo và dấu thời gian liên quan để hỗ trợ hoặc báo cáo. Tuyệt đối không gửi OTP, mật khẩu hay cụm từ khôi phục cho người nhắn tin đề nghị “sửa” sự cố.
Biện pháp bảo vệ hữu ích là thiết kế tài khoản không để một yếu tố bị đánh cắp vượt qua mọi biện pháp kiểm soát còn lại, kết hợp với kế hoạch rõ ràng để khôi phục và xử lý các phiên khi có sự cố.
