我的天！黑客擊敗了雙因子驗證技術，大肆竊取銀行賬戶資金！

O2公司證實了確有此事：網上竊賊使用了盜取的雙因子驗證（2FA）簡訊代碼。

多年來，專家們一直在敲警鐘：提防信令系統7（SS7）協議在安全方面的重大錯誤，而SS7協議是全球許多蜂窩網路彼此進行通信所使用的那種神奇的「粘合劑」。

這些漏洞有可能被人濫用，比如說將人們的電話呼叫和文本簡訊重定向至不法分子的設備。現在，我們已經看到了首例騙子利用設計缺陷，將受害者的現金裝入到自己腰包的例子。

德國的O2-Telefonica電信公司已向《南德意志報》（Süddeutsche Zeitung）證實，不法分子利用一種分兩個階段的攻擊，這個攻擊正是鑽了SS7的空子，竊取了其一些客戶的銀行賬戶資金。

換句話說，竊賊鑽了SS7的空子，截獲了發送給網上銀行客戶的雙因子驗證碼，讓竊賊得以將賬戶洗劫一空。據多位消息靈通人士聲稱，竊取事件發生在過去的幾個月。

2014年，研究人員證明了SS7存在根本上的缺陷，詳見https://www.theregister.co.uk/2014/12/26/ss7_attacks/。上世紀80年代，多家電信公司開發出了這種協議，讓蜂窩網路和一些固話網路可以相互連接、交換數據。如果有人可以進入到電信公司的內部網路（比如黑客或腐敗的員工），就可以通過SS7，訪問世界上其他任何運營商的後端系統，進而跟蹤手機的位置，閱讀或重定向文本消息，甚至監聽通話內容。

在這個案例中，攻擊者鑽了一些德國銀行使用的採用雙因子驗證技術的交易驗證碼系統的空子。網上銀行客戶需要獲得發送到其手機上的驗證碼，之後才可以在銀行賬戶之間轉賬。

這伙黑客首先通過垃圾郵件將惡意軟體發送到受害者的計算機，然後偷偷收集銀行賬戶存款餘額、登錄信息、賬戶密碼，另外還有手機號碼。然後，他們掏錢購買了一家非法電信提供商的服務，經過一番設置，將受害者的手機號碼重定向至實際上由攻擊者控制的手機。

接下來，通常在受害者熟睡的三更半夜，攻擊者登錄進入到他們的網上銀行賬戶，將裡面的資金轉移出去。交易號碼發送後，它們實際上被發送給了犯罪分子，然後他們可以完成交易。

雖然安全專家們一直在警告，提醒大家防範這種攻擊，政客們一直日益對此大聲疾呼，但是電信公司一直遲遲沒有動作，沒有認真及時地處理這個問題。一種普遍的看法是，需要電信公司才能完成攻擊；現在的問題是，什麼樣的卑鄙公司會任由自己被人以這種方式所利用。

這年頭，幾乎誰都可以操辦起一家電信公司，或者花錢購買一家電信公司的後端服務。據美國通信行業監管機構聯邦通信委員會（FCC）的通信安全、可靠性和互操作性委員會聲稱，雪上加霜的是，Diameter協議這種提議用於5G網路上的SS7替代方案同樣存在著安全漏洞。

但願這第一例公開證實的攻擊會讓有關方加大工作力度，儘快解決SS7存在的問題，至少在歐洲是這樣（德國電信公司在歐洲處於領導地位）。至於美國，可能在發生一連串的SS7攻擊之後，美國電信公司才會幡然醒悟、加快行動起來。

雲頭條編譯、未經授權謝絕轉載

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！