Как работает гибридная атака  

В ее основе комбинация двух известных механизма: прежде всего, SMS-бомбинга, то есть массовой рассылки множества SMS на номер жертвы, давно известный. Раньше его целью было увеличить расходы сервиса (который платит за каждое сообщение). А теперь было замечено, что массированный SMS-бомбинг используется не как самоцель, а как прикрытие для параллельного брутфорса OTP-кодов (автоматизированного перебора возможных кодов подтверждения на странице входа). SMS-бомбинг, заваливающий телефон жертвы сообщениями, маскирует попытки входа в аккаунт.

Оба эти метода давно известны по-отдельности, а вот их сочетание - вроде бы свежий тренд. Это компрометирует массово используемую схему авторизации по номеру телефона и SMS-коду, создавая фундаментальные риски безопасности пользовательских данных. Вообще-то брутфорс легко парируется ограничением на число попыток ввода кода и длинным таймаутом, но, оказывается не все сервисы ставят такие ограничители, тем более, что их наличие само по себе может быть проблемой для атакуемого пользователя.  

В теории, методом гибридной атаки можно войти и в личные кабинеты пользователей некоторых банков, утверждают специалисты. Всюду, где бизнес-модель нацелена на простоту и скорость обслуживания, как в каршеринге, агрегаторах такси, доставках еды, маркетплейсах. Архитектуры таких сервисов не была рассчитана на то, что злоумышленник пытается автоматизированно инициировать вход и автоматизированно вытащить код. Особенно рискованны способы, где используют 4-значные коды (ведь это всего 10 тысяч комбинаций от 0000 до 9999).  

Перехват SMS  

Другой вид атаки, куда более сложный, но и более эффективный - если скомпрометирован канал получения SMS. Представим, что у злоумышленников есть способ перехватывать SMS-сообщения, приходящие на телефон «на лету», например, за счет использования уязвимостей SS7 или вредоносного ПО, которые установлено на телефон пользователя (в эпоху «бесплатных VPN» обзавестись таким несложно). В этом случае бот просканирует входящие сообщения в реальном времени, извлечет токен, передаст злоумышленнику, который автоматизированно авторизуется в сервисе раньше вас.  

Что предлагают в качестве защиты  

Минимальная мера - увеличить длину кода хотя бы до 8 цифр (100 млн комбинаций) или использовать буквенно-цифровые варианты - тогда даже 6-значная комбинация даст гораздо больше вариантов.  

Обязательны ограничения на число попыток ввода и отслеживание аномальной активности. Однако простое блокирование после нескольких ошибок может стать инструментом для DoS-атаки (злоумышленник может намеренно постоянно вводить неверные коды, чтобы заблокировать вам доступ). Разумнее внедрять гибкие механизмы: капчу, переход на другой фактор (например, запрос пароля) - как сейчас сделано в некоторых банках, когда после неудачного скана отпечатка предлагается ввести PIN-код.

Более надежные решения  

Самый надёжный путь - отказ от аутентификации только по OTP. Хорошим вариантом считается связка «пароль + OTP» (именно это - двухфакторность в ее классическом смысле).  

Отказ от номера телефона как идентификатора  

Предложение отказа от использования номера телефона как идентификатора прозвучало вскользь, его автор - председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров.

Что можно использовать вместо?  

ТОТР-приложения, генерирующие коды офлайн, на устройстве – предлагает автор идеи. Например, тот же Google Authenticator. TOTP действительно считаются экспертами более безопасными, чем SMS, поскольку код не передаётся по эфиру. Microsoft, например, с 30 сентября 2025 года поэтапно отказывается от SMS и голосовых вызовов как методов 2FA в Microsoft Entra, заменяя их на более устойчивые к фишингу методы. Я не до конца верю в их абсолютную безопасность, но факт остаётся фактом - по статистике утечек SMS-канал гораздо уязвимее.  

Другой совет – использовать разные номера телефонов для критичных банковских и менее критичных сервисов доставки – простое, не самое удобное для пользователя предложение, особенно на фоне растущих ограничений на количество номеров и на немалые расходы на их аренду у операторов.  

Мобильная цифровая подпись (например, «Госключ») - надёжный криптографический метод. Однако остается вопрос массового внедрения: не все пользователи готовы будут установить на смартфон государственное приложение.

Push-уведомления - более безопасны, чем SMS, но зависят от доступа к интернету и от сервисов Google FCM / Apple APNS. В условиях российских реалий это может создавать проблемы с доставкой, плюс не всем нравится полагаться на иностранные платформы.  

Итого  

Изящного и надёжного решения пробелмы «на раз-два-три» нет. Но законодательный запрет использования 4-значных OTP-кодов для аутентификации в сервисах выглядит разумной мерой – это снизило бы риски использования самых массовых сервисов. Что скажут в #Минцифры ?

--

✓ подписаться на tg-канал
✓ Бойко про телеком в VK 

--

теги: информационная безопасность кибербезопасность аутентификация авторизация мнения

--