Угроза массовых атак мошенников нависла над россиянами

В начале марта в даркнете появилось предложение о продаже доступа к коммутатору одного из операторов мобильной связи (его название и страна действия не уточнялись). Подключение к нему позволяет перехватить контроль над системой сигнализации SS7, управляющей трафиком операторов мобильной связи, сообщает iz.ru со ссылкой на компанию DeviceLock, которая занимается борьбой с утечками данных.

Доступ продавался за $30 тыс. в биткоинах. С его помощью мошенники смогут перехватывать звонки и SMS всех операторов, с которыми у владельца коммутатора есть соглашение о роуминге.

Уязвимый оператор с большой вероятностью имеет договор о сотрудничестве (фактически — о роуминге) с одним или несколькими российскими провайдерами сотовых услуг, пояснила гендиректор «Смарт Лайн Инк» — производителя систем DeviceLock Олеся Ярмоленко. По ее словам, поскольку сегодня люди много путешествуют, практически у каждого оператора мобильной связи есть как минимум одно такое соглашение с провайдером любой страны.

По данным DeviceLock,

в начале апреля доступ к коммутатору с большой вероятностью попал к покупателю из стран СНГ. Именно русскоговорящие злоумышленники, специализирующиеся на атаках на онлайн-счета, проявляли наибольший интерес к этому предложению,

подчеркнула Олеся Ярмоленко. Она отметила, что благодаря активному распространению онлайн-банкинга и относительно высоким остаткам на счетах Россия всегда была наиболее желанной целью для интернет-мошенников на всем постсоветском пространстве.

— Атаки на систему сигнализации SS7 используются в первую очередь для перехвата авторизационных SMS-сообщений кредитных организаций, почтовых сервисов, а также различных электронных кошельков. С их помощью

злоумышленники затем могут войти в личный кабинет банка и воспользоваться деньгами потенциальной жертвы, — пояснила эксперт

По ее предположениям, атаке могут подвергнуться несколько сотен владельцев счетов с наибольшими остатками и подключенным онлайн-банкингом, данные о которых уже собраны или будут получены путем «пробива» клиентов. Поскольку на подготовку нападения такого типа злоумышленникам обычно нужно от двух недель до месяца, оно может быть приурочено к майским праздникам, когда большинство россиян ослабят контроль над своими счетами и другими финансовыми активами, ожидает специалист.

В «Лаборатории Касперского», а также в BI.ZONE (входит в экосистему «Сбера») известно о продаже доступа к коммутатору сотового оператора в даркнете. По словам главного эксперта «Лаборатории Касперского» Сергея Голованова,

вполне вероятно, что с помощью уязвимости у преступников появится доступ к каналам российских операторов, поскольку для обеспечения коммуникации за границей провайдерам связи необходимо сотрудничать с локальными игроками

Стандарт SS7 используется в сетях 2g/3g, и когда он разрабатывался, безопасность не ставилась во главу угла, отметили в IT-компании КРОК, добавив, что операторы обязаны обеспечивать совместимость с сетями второго и третьего поколения, поэтому SS7 остается частью используемых систем.

По сведениям Digital Security, вполне вероятно, что мошенники нацелились именно на российских граждан. В сентябре 2020 года фиксировались подобные нападения (с перехватом SMS для авторизации) на пользователей Telegram, знает аудитор информационной безопасности компании Илья Булатов. Ему также известно об атаках на банки в Германии в 2017 году и на Metro Bank в Великобритании в 2019.

— Злоумышленники обходили двухфакторную идентификацию и получали доступ к аккаунтам жертв, после чего опустошали счета.

В целом атаки на SS7 могут привести к компрометации аккаунтов в сервисах, на которых используется только авторизация по коду из SMS,

а также для обхода второго фактора подтверждения в случае, если злоумышленник обладает паролем от аккаунта жертвы. Это могут быть банки, мессенджеры и соцсети, — рассказал Илья Булатов.

Он добавил, что

для простейшей атаки злоумышленникам необходимо знать данные карты жертвы, которые периодически попадают в утечки сведений из интернет-магазинов или кредитных организаций

Риски подобных атак на россиян «Известиям» подтвердили специалисты «Лаборатории Касперского», Positive Technologies, «Инфосистем Джет» и BI.ZONE. Эксперты пояснили, что организация такого преступления дорогостоящая и трудозатратная, поэтому оно имеет смысл только в крупных масштабах. При этом

всплеск активности достаточно быстро будет замечен антифрод-системами банков, и злоумышленники будут вынуждены прекратить свою деятельность,

отметили в BI.ZONE.

Возможно, мошенники проведут не единую массовую атаку, а будут действовать аккуратнее, получая доступ к десяткам (менее вероятно — сотням) счетов в день, предположил руководитель группы исследований безопасности телекоммуникационных систем Positive Technologies Павел Новиков. Он пояснил, что такая активность будет мало заметна и, значит, позволит им оставаться в Сети гораздо дольше.

В отличие от социальной инженерии, защита от атак через перехват SMS полностью лежит на сотовых операторах,

заявил руководитель департамента аудита информационной безопасности Infosecurity a Softline company Сергей Ненахов. Он рассказал, что клиентам следует переключить двухфакторную защиту критических сервисов на push-уведомления вместо SMS. Также можно использовать специальные приложения-аутентификаторы, генерирующие одноразовые коды непосредственно на самом устройстве.

Пользователю к тому же следует установить лимиты на переводы и запрет операций за рубежом, добавили в компании «СёрчИнформ».

Представители сотовых операторов не ответили на запросы «Известий» о рисках атаки через стандарт SS7.