SMS como peça de segurança: conheça os principais ataques à sua empresa que podem ocorrer

Muitos sistemas e sites, com o objetivo de aumentar a segurança de seus sistemas, utilizam o SMS como um fator adicional de segurança. Porém, o que muitas vezes não fica claro é que esta prática pode trazer alguns riscos à organização, visto que a responsabilidade de parte da segurança de sua aplicação para uma empresa de telefonia, que não tem objetivo de garantir tal proteção.

Desta forma, gostaria de elucidar os principais riscos que a empresa passa a ter com este compartilhamento de segurança com uma empresa de telecomunicações. Vamos lá!

O SMS foi projetado como parte do GSM e hoje se trafega sobre o 3G que, opcionalmente, pode utilizar criptografia de fluxo do tipo (A5/1 ou A5/2), modelos fracos e vulneráveis com autenticação unilateral (também vulnerável). Os dados trafegam sobre estação móveis (MS) e estação base (BTS) – Wikipédia.

Com base nas informações apresentadas acima fica claro que, caso ocorra uma interceptação dos dados no meio do caminho, a leitura e até mesmo manipulação da informação contida no SMS pode ser feita facilmente.

Ataque antena fake

Este ataque tem por objetivo capturar os dados das vítimas através da utilização de uma antena fake, funcionando como um rogue access point. As vítimas se conectam à esta antena devido à proximidade e menor latência, calculadas pelo roteamento, fazendo com que seus dados sejam capturados pelo atacante.

Ataque utilizando meios internos dentro da operadora

Outra possibilidade é o atacante trabalhar em conjunto com um funcionário da empresa de telefonia, comumente um funcionário de callcenter, onde o mesmo altera o número da vítima para um outro SIM card, de posse do atacante, fazendo com que os dados sejam enviados para o atacante ao invés do cliente. Após o recebimento dos dados, o atacante avisaria seu cúmplice para que voltasse o número da vítima para o anterior, como se nada tivesse acontecido.

Esta técnica é um pouco mais elaborada, pois necessita de apoio interno, mas nada que engenharia social e um pequeno incentivo financeiro não possam persuadir um atendente de callcenter, devido ao seu baixo salário.

Interceptação por meio de Malware

Esta técnica de alteração do destino apresentada acima, que podemos chamar de Man-in-the-Middle (MitM), pode ser executada através de infecção do dispositivo da vítima.

Com a simples ação de um clique, seja em um e-mail, SMS de origem não conhecida ou qualquer outro método de interação com a vítima, o equipamento será infectado por um malware, permitindo ao atacante capturar os dados recebidos pela vítima.

Com base nos pontos apresentados acima, é importante esclarecer que o esforço de implementação do SMS como segundo fator de autenticação, como um meio para recuperar a senha ou outros serviços comumente utilizados é válido, porém, deve ficar claro que mesmo com este adicional de segurança ainda existirão riscos para seu ambiente.

As empresas devem estar cientes de que, quando aplicada esta proteção adicional de uso do SMS, ainda existem riscos e estes riscos não são de responsabilidade das operadoras de telefonia em caso de ataques, sejam estes através dos métodos apresentados neste artigo ou outros métodos existentes.

Espero que este artigo tenha apresentando um overview dos principais riscos existentes com a utilização do SMS como uma peça de segurança.

Artigos relacionados

• Prevenção a fraudes: como minimizar os riscos e impulsionar seus negócios ao mesmo tempo?
• Fraudes em meios de pagamentos: conheça as principais previsões para agir de forma preventiva em 2021
• Fraudes por deepfake: ameaça em meios de pagamento requer solução antifraude robusta
• Solução antifraude Dock | FICO®: a melhor proteção para cartões e contas digitais