भेद्यता Tele2: टेलीग्राम और किवी वॉलेट उपयोगकर्ता खतरे में हैं

नहीं, बहुत पहले मैं Tele2 ऑपरेटर की एक अप्रिय विशेषता के साथ आया था, जिसके साथ आप टेलीग्राम संदेशों के इतिहास को चुरा सकते हैं, एक कीवी वॉलेट तक पहुंच प्राप्त कर सकते हैं, आदि। मैं एक आरक्षण करूंगा कि विधि में कई शर्तें हैं और यह एक विशिष्ट व्यक्ति के लिए काम नहीं कर सकती है, लेकिन फिर भी, एक वास्तविक खतरा है।

किसी भी ऑपरेटर के लिए, मालिक द्वारा पासपोर्ट की प्रस्तुति के बाद कार्यालय में सिम कार्ड की वसूली होती है। हालाँकि, Tele2 के प्रतिनिधि अपने ग्राहकों से मिलने जाते हैं और आपको बिना पासपोर्ट के वसूली करने की अनुमति देते हैं। आपको बस अपना नाम, मालिक का पासपोर्ट विवरण और अपनी जेब में एक डुप्लीकेट सिम कार्ड देना होगा। अब स्थिति थोड़ी जटिल है (आपको व्यक्तिगत रूप से ऑपरेटर के प्रतिनिधि के पास जाने की आवश्यकता है), और इससे पहले कि आप सिम कार्ड का "सिम कार्ड" खरीद सकें और ग्राहक सेवा को कॉल करके इस डिस्क पर नंबर स्विच कर सकें। लेकिन, सामान्य तौर पर, स्थिति नहीं बदली है - मालिक को बहाल करने की आवश्यकता नहीं है, लेकिन केवल उसके डेटा की आवश्यकता है।

इस प्रकार, आप पूरी तरह से अपरिचित व्यक्ति से एक फोन नंबर "चोरी" कर सकते हैं, बस उसका पासपोर्ट विवरण जान सकते हैं, जो अब प्राप्त करने के लिए एक विशेष समस्या नहीं है। उदाहरण के लिए, कई ने रजिस्ट्रार R01.RU से हाल ही में लीक के बारे में सुना है। लेकिन रजिस्ट्रार सभी पासपोर्ट डेटा (पासपोर्ट स्कैन सहित) और अपने ग्राहकों के फोन नंबर संग्रहीत करता है। उन डेटाबेस के बारे में मत भूलना जो मेट्रो पर बेचते हैं या इंटरनेट पर सर्फ करते हैं। यही है, हम ऐसे किसी डेटाबेस से कोई भी टेली 2 फोन नंबर लेते हैं, पासपोर्ट डेटा लेते हैं और सिम कार्ड को पुनर्स्थापित करने के लिए जाते हैं। मूल सिम कार्ड को उसी समय ब्लॉक कर दिया जाएगा, और जबकि मालिक यह समझता है और समझता है कि क्या मामला है, आप जल्दी से सभी आवश्यक डेटा को मर्ज कर सकते हैं।

यह "भेद्यता" उन सभी सेवाओं को प्रभावित करती है जो एक लॉगिन के रूप में फोन नंबर का उपयोग करते हैं। उदाहरण के लिए, टेलीग्राम मैसेंजर। हमारे पास एक सिम कार्ड है, इसे फोन में डालें, मैसेंजर लॉन्च करें, पीड़ित के फोन नंबर दर्ज करें और टेलीग्राम हमें एक एसएमएस भेजता है। हम सफलतापूर्वक एसएमएस प्राप्त करते हैं, टेलीग्राम में कोड दर्ज करते हैं और सभी पुराने संदेश स्वचालित रूप से लोड होते हैं। एक ही विधि काम करेगी, उदाहरण के लिए, एक किवी वॉलेट के लिए - यदि खाते पर पैसा था, तो उन्हें उसी तरह से खाते से निकाला जा सकता है जैसे फोन नंबर द्वारा पासवर्ड रीसेट करना।

न केवल टेलीग्राम और किवी वॉलेट खतरे में हैं, बल्कि ऐसी अन्य सेवाएँ भी हैं जो केवल फ़ोन नंबर द्वारा प्राधिकरण का उपयोग करती हैं। हां, आप "फोन को निचोड़" सकते हैं और सभी आवश्यक जानकारी डाउनलोड कर सकते हैं, लेकिन हम ऐसे मामलों पर विचार नहीं करेंगे। परिणामस्वरूप, एक दिन, आपका फोन यह कहेगा कि यह ऑपरेटर के नेटवर्क में पंजीकृत नहीं है, और इस बीच, आपके सभी संदेश, धन, आदि चोरी हो जाएंगे।

हम कह सकते हैं कि कोई भी सिस्टम जो मोबाइल फोन से बंधा होता है, वह इस भेद्यता के प्रति संवेदनशील होता है। हालांकि, मेरी राय में, यह ऐसा नहीं है: लॉगिन को जानना, उदाहरण के लिए, स्काइप या यांडेक्स पर, इस लॉगिन से जुड़े फोन नंबर का निर्धारण करना सशर्त रूप से यथार्थवादी या बहुत समस्याग्रस्त नहीं है (अच्छी तरह से, उन मामलों को छोड़कर, जब मालिक इसे प्रदर्शन पर रखते हैं) । क्यूवी और टेलीग्राम के मामले में, लॉगिन सिर्फ फोन नंबर है, इसलिए आपको कुछ और जानने की जरूरत नहीं है।

मेरी राय में, टेली 2 ऑपरेटर को कार्यालय में व्यक्तिगत रूप से मालिक की उपस्थिति के बिना सिम कार्ड को पुनर्प्राप्त करने के अभ्यास को पूरी तरह से बाहर करना चाहिए। इस बीच, ऑपरेटर ने ऐसा नहीं किया है, मोबाइल प्राधिकरण का उपयोग करने वाली सभी सेवाओं को उन उपयोगकर्ताओं के लिए अतिरिक्त सुरक्षा तंत्र पेश करना चाहिए जो Tele2 ग्राहक हैं।

UPD : यह पता चलता है कि इस तरह की भेद्यता से बचाव के लिए एक सरल तंत्र है: हर नए पासवर्ड रिकवरी अनुरोध (Qiwi के मामले में) या Telegram में प्राधिकरण के साथ HLR अनुरोध करें। जवाब में IMSI (इंटरनेशनल मोबाइल सब्सक्राइबर आइडेंटिटी) - सिम कार्ड की संख्या होगी। यदि अंतिम अनुरोध के बाद से यह संख्या बदल गई है, तो आपको अलार्म बजने की आवश्यकता है।