Страшилка про угон аккаунтов через кабинет сотового оператора
Несколько дней назад на "Хабре" проскочила статья с громким названием "Новый способ угона аккаунтов «оптом» через получение доступа к сервисам оператора сотовой связи". Мне на нее прислали ссылку и спросили, что я думаю по данному поводу - в смысле, опасаться или нет.
Пошел читать статью. Краткое изложение.
Один страшный злодей получает доступ к некоему аккаунту - ну, например, во "Вконтактике". И тут же начинает рассылать френдам этого аккаунта СТРАШНОЕ - скриншот из статьи.
То есть предполагается, что вы свой номер мобильника открыли всем френдам. Этого делать крайне не рекомендуется - именно из-за возможности "увода" аккаунта соцсети, - но многие делают, да.
Вам на телефон приходит следующая SMS.
Ну то есть очевидно, что "френд" пытается войти в ваш личный кабнет. По мнению автора статьи, вы являетесь законченным кретином и сообщаете "френду" этот код.
Дальше автор рисует прелестную апокалиптическую картину о том, что страшный злодей вошел в ваш кабинет, тут же настроил переадресацию SMS на свой номер, сменил пароль, после чего ваша жизнь не будет стоить и ломаного гроша, потому что он сначала сольет все деньги со счета, затем получит доступ ко всем вашим мессенджерам, там прочитает тайную переписку, где вы сообщаете всем и каждому ваши логины-пароли к банковским аккаунтам, после чего зайдет в ваши бансковские аккаунты и сольет все бабки оттуда.
Потом, разумеется, уведет вашу жену, купит на ваше имя квартиру в ипотеку, оформит кредит на "Ламборгини" и продаст вашу почку богатому арабу. Ой, нет, это я уже все придумал, но выше - именно так изложено в статье. Автор даже пишет, что он, имитируя ситуацию, сумел получить доступ к "чужому" банковскому счету и сделать перевод, цитирую:
Попытавшись восстановить доступы к основным своим (красный, зеленый, желтый) интернет-банкам, я столкнулся с необходимостью указывать дополнительные сведения вроде паролей, а для восстановления — номеров счетов и карт. Это немного усложняет процесс, точнее замедляет, так как, если жертва хотя бы раз отправляла реквизиты, то и это несложно найти в истории переписок, ведь мессенджер и его историю уже угнали.
Так что, в один из банков я тоже удачно вошел и отправил перевод Card2Card. Суммы были небольшие, вопросов у банка не возникло, однако ранее на крупных суммах, ничего сложнее персональных данных у меня никогда и не спрашивали.
Ну, ОК, давайте разберемся.
Вообще сам факт того, что какой-то "френд" попросит вас прочитать ему SMS, пришедшую на ваш телефон - это уже какой-то абсурд. С какого бодуна вы должны кому-то диктовать ВАШ код? Ну, хорошо, вы сильно заняты, "френд" хорошо знакомый, вы сильно пьяный и код продиктовали.
Дальше при его заходе в ваш личный кабинет вам приходит вот такое сообщение.
Единственная возможная ваша реакция - немедленный звонок по указанному номеру и ваш аккаунт блокируется для разбирательства.
Ну, хорошо, допустим, злодей - человек хитрый и не делает сразу вход, а подло ждет ночи, чтобы вы SMS прочитали только утром.
Зашел он в ваш аккаунт. Что он теперь может сделать? На самом деле только одно - обчистить ваш счет телефона. Например, перевести сумму на свой номер. Да или просто на свою карту.
А как же, спросите вы, установка переадресации SMS с целью похищения всего на свете?
Отвечаю. Да, переадресацию вы можете установить в вашем личном кабинете и при этом не потребуются подтверждающие SMS.
Однако! Эта переадресация работает только с обычными SMS, отправленными с длинных номеров. SMS с коротких номеров, а их как раз используют банки, мессенджеры и так далее - не переадресуются. Я это все в свое время выяснил, когда пытался переадресовывать банковские SMS на свой испанский номер. Ну и на всякий случай вчера еще проверил - такие SMS приходят только на оригинальный номер.
Так что все остальное - просто буйные фантазии автора статьи. Ни к каким мессенджерам так доступ не получить и уж тем более не получить доступ к банковским аккаунтам, тем более что там еще, извините, надо знать логин и пароль. А предположение автора о том, что вы эти логины-пароли в открытом виде пересылаете через ваши мессенджеры - ну, знаете, тут уже вы получаетесь не просто идиотом, а каким-то законченным кретином.
Но, как мы выяснили, даже в случае вашего законченного кретинизма, фиг кто таким образом получит доступ к вашему банковскому аккаунту.
Так что это все - просто банальная страшилка, не подкрепленная никакими доказательствами. Просто фантазии. Ну и замечу, что даже из этой достаточно дурацкой статьи не следует, что аккаунты угоняют "оптом", так что на черта это еще вынесено в название - непонятно совершенно.
Пошел почитать комменты - подумал, что уж на "Хабре" народ грамотный, объяснит товарищу, что не надо всякую шнягу писать. Ан нет, обсуждают только, что за подобное никого не ловят и не сажают. Цирк на льду.
