Tutto ciò che vale la pena sapere, niente di superfluo.
Come si svolge effettivamente l'attacco
L'aggressore raccoglie innanzitutto sufficienti informazioni personali per superare un controllo di identità da parte del team di fidelizzazione, spesso tramite un dump di dati rubati o una pagina di phishing. Successivamente, contatta l'operatore telefonico dichiarando di aver smarrito o danneggiato il telefono e richiedendo la portabilità del numero o la sostituzione SIM. Una volta completata la sostituzione, il telefono della vittima perde silenziosamente il segnale e tutti SMS e le chiamate vocali vengono reindirizzati all'aggressore. Nel giro di pochi minuti seguono richieste di reimpostazione della password, OTP bancari e codici di recupero dell'account. Il primo segnale per la vittima è solitamente la notizia che il telefono ha smesso di funzionare, ma a quel punto il denaro è già stato trasferito.
Perché vale ancora la pena inviare OTP SMS
La lezione non è che OTP SMS sia inutile: raggiunge qualsiasi telefono in qualsiasi mercato senza bisogno di installare alcuna app, cosa che nessun altro sistema riesce a fare. La lezione è che autentica un numero di telefono, non una persona, e un numero può cambiare proprietario. Consideratelo come uno dei tanti fattori da considerare per qualsiasi problema irreversibile e abbinatelo a un segnale che l'attaccante non possa trasmettere insieme alla SIM.
La difesa: controlla la riga, non solo il codice
La sostituzione SIM lascia una traccia nei registri dell'operatore. Una ricerca del numero o una query HLR restituisce la data dell'ultimo cambio della SIM e se il numero è stato recentemente trasferito. Se SIM di un abbonato è stata cambiata quattro ore fa e ora sta reimpostando la password, si tratta di un'autenticazione a più fattori, non di un normale accesso. I fornitori che operano direttamente con l'operatore possono leggere queste informazioni perché gestiscono il rapporto con l'operatore stesso; un rivenditore a distanza, solitamente, non può farlo.
Cosa fare in pratica
Prima di inviare un OTP per un'azione di alto valore, verifica lo stato di cambio e porta della linea. Applica un periodo di attesa: molte banche rifiutano il ripristino della password per 24-72 ore dopo il rilevamento di un cambio di SIM. Offri l'autenticazione tramite app o codice di accesso come fattore principale per i flussi a più alto rischio e mantieni SMS come metodo di riserva, che funziona anche in caso di smarrimento del telefono. Inoltre, avvisa il cliente tramite un secondo canale, come l'e-mail, quando la SIM associata al suo account cambia.