Мошенничество в интернет-банкинге: продолжаем использовать SMS?

18.06.13

Мобильные операторы комментируют ИТ-изданию MyBroadband вопросы того, насколько безопасна SMS-аутентификация и что будет с их бизнесом, если банки переключатся на другой метод подтверждения подлинности транзакций.

“SMS остается относительно безопасным способом проверки подлинности”, – говорят в Telkom Mobile, когда речь заходит о том, что же делает оператор чтобы удостовериться, является ли сервис коротких текстовых сообщений безопасным вторым фактором аутентификации для интернет-банкинга.

Согласно Telkom Mobile, у них есть система, которая может точно определить момент замены SIM-карты клиента.


Своп или замена SIM-карты (от англ. SIM-card swap scam) – это мошенничество, которое позволяет преступникам перехватывать SMS, выдавая себя за законного владельца мобильного номера (SIM-карты).

Как работает мошенничество с использованием SIM своп?

• Мошенники получают доступ к логину и паролю клиента, как следствие его реакции на, к примеру, фишинговое письмо.
• Как только мошенники получают номер мобильного телефона клиента и другую личную информацию, они выдают себя за него и запрашивают новую SIM-карту у оператора сотовой связи.
• Поставщик услуг сотовой связи записывает идентификатор клиента на новую SIM-карту и в процессе деактивирует старую (утерянную карту).
• На старой SIM-карте исчезает сигнал и клиент (настоящий) уже не может делать телефонные звонки или отправлять SMS сообщения.
• Код для подтверждения операции в интернет-банкинге, который банк отправляет с помощью SMS, получает мошенник, а не законный владелец счета.

У Vodacom есть базы данных, которые могут использоваться банками, чтобы просмотреть последние изменения в SIM-картах и телефонных устройствах клиентов. Однако эксперты уверяют, что отправной точкой все же является способность мошенников получить доступ к банковской информации клиента (логин и пароль в интернет-банкинг).

“Если эта информация надежно защищена, то и мошенничество таким образом невозможно”, – говорят в Vodacom.

Тем не менее, в Vodacom недавно добавили ряд функций, которые могут защитить абонентов от свопирования СИМ-карт:

• SMS-предупреждение отправляется клиенту еще до того, как процесс замены SIM-карты считается завершенным. Если замена карты является несанкционированной, клиент должен немедленно позвонить оператору мобильной связи.
• Служба поддержки авторизирует клиента путем запроса PIN или PUK кода SIM-карты, а не с помощью контрольного вопроса или уточняя личные данные: адрес прописки, последние звонки и др. (как обычно).

Интересно, стоят ли все эти усилия, как со стороны операторов, так и банков, чтобы и дальше продолжать использовать SMS в качестве второго фактора аутентификации для онлайн-банкинга?

Будет ли брелок или токен аутентификации, который связан с вашим смартфоном, достойной альтернативой SMS?

По мнению сотовых операторов, финансовые последствия для них, если банки решат отойти от SMS как основного механизма проверки подлинности, будут минимальными. В настоящее время основная часть SMS от банков связана с использованием платежных карт и с уведомлениями о платежах с или на банковский счет.

Безусловно банки уже изучают другие системы уведомлений для защиты секретной информации, например, USSD-сервис.

Банковские новости мира @ Roomian Research