Tudo o que vale a pena saber, nada do que não vale.
Como o ataque é executado na prática
O atacante primeiro recolhe informações pessoais suficientes para passar pela verificação de identidade da equipa de retenção — geralmente a partir de uma fuga de dados ou de uma página de phishing. Em seguida, ele entra em contacto com a operadora alegando ter perdido ou danificado o aparelho e solicita a portabilidade ou a troca SIM. Assim que a troca é concluída, o telefone da vítima perde o sinal silenciosamente e todos os SMS e chamadas de voz são encaminhados para o atacante. Redefinições de palavra-passe, OTP bancários e códigos de recuperação de conta são enviados em questão de minutos. O primeiro sinal que a vítima percebe geralmente é que o seu telefone parou de funcionar, momento em que o dinheiro já foi transferido.
Porque ainda vale a pena enviar SMS OTP ?
A lição não é que SMS OTP seja inútil — ele alcança qualquer aparelho em qualquer mercado, mesmo sem nenhuma aplicação instalada, algo que nenhum outro método faz. A lição é que ele autentica um número de telefone, não uma pessoa, e um número pode ser transferido. Trate-o como um fator entre vários para qualquer autenticação irreversível e combine-o com um sinal que o atacante não possa transferir junto com o SIM.
A defesa: verifique a linha, não apenas o código.
A troca de SIM deixa um rasto nos registos da operadora. Uma consulta de número ou consulta HLR devolve a data da última troca do SIM e se o número foi portado recentemente. Se o SIM de um assinante foi trocado há quatro horas e ele está a redefinir a sua palavra-passe, trata-se de um processo de autenticação de dois fatores, não de um login normal. Fornecedores que atuam diretamente com a operadora podem ler essas informações porque mantêm o relacionamento com a operadora; um revendedor, mesmo que esteja a vários pontos de contacto de distância, geralmente não consegue.
O que fazer na prática
Antes de enviar um OTP para uma ação de alto valor, verifique o status de portabilidade e troca de linha. Aplique um período de espera — muitos bancos recusam a redefinição de palavra-passe por 24 a 72 horas após a deteção de uma troca de linha. Ofereça autenticação por aplicação ou chave de acesso como principal método para os fluxos de maior risco e mantenha SMS como alternativa que ainda funciona quando o cliente perde o telemóvel. Além disso, alerte o cliente por um segundo canal, como e-mail, quando o SIM vinculado à conta for alterado.