हैकिंग वीके, टू-फैक्टर ऑथेंटिकेशन सेव नहीं करेगा

हाल ही में, मैं इस बात से भयभीत था कि उपयोगकर्ता के पृष्ठ तक पहुंचना कितना आसान है, यह जानने के लिए कि जिस फ़ोन नंबर पर पीड़ित का पेज पंजीकृत है, केवल वही नंबर। हैकिंग की लागत ~ 1000-1500 रूबल, हैकिंग का समय ~ 30 मिनट। एकमात्र शर्त एक बेईमान मोबाइल ऑपरेटर है?

चेतावनी। नीचे वर्णित सभी सामग्रियों और विधियों को केवल शैक्षिक और प्रयोगात्मक उद्देश्यों के लिए प्रस्तुत किया गया है। हम आपको याद दिलाते हैं कि उपयोगकर्ताओं के निजी पृष्ठों को हैक करना और अवैध रूप से डेटा एकत्र करना रूसी संघ के कानून (विशेष रूप से, रूसी संघ के आपराधिक संहिता) द्वारा मुकदमा चलाया जाता है। सावधान रहें और केवल अपने या परीक्षण खातों के साथ प्रयोग करें!

चलो तुरंत व्यापार के लिए नीचे उतरो।

यदि आपने कभी भी अपने पासपोर्ट डेटा को किसी भी प्रमुख मोबाइल फोन स्टोर में छोड़ दिया है और आपका मोबाइल ऑपरेटर बहुत ईमानदार नहीं है, तो आप हैकिंग के इस तरीके के अधीन हैं। मान लें कि इन नेटवर्क के अधिकांश कर्मचारी इन ग्राहकों की गोपनीयता के बारे में बहुत चिंतित नहीं हैं और अंधेरे पर इस जानकारी का बहुत अच्छा व्यापार करते हैं। (खैर, क्या है, कार्ड पर लेनदेन की सूची प्राप्त करने की लागत केवल 2,000 रूबल है ...)। सामान्य तौर पर, यह बहुत सरल निकला - एक ऐसे व्यक्ति को खोजने के लिए जो उपयोगकर्ता के फोन नंबर के साथ आपको पासपोर्ट डेटा पंचर करेगा। मेरे मामले में, मेरे डेटा और मेरी मां और यहां तक ​​कि दादी दोनों के डेटा एक बड़े संचार सैलून के डेटाबेस में थे। इस जानकारी को प्राप्त करने की लागत केवल मूल्य टैग ~ 500-1000 रूबल में फिट होती है। शायद यह सुनसान और समस्याग्रस्त लग रहा है, लेकिन वास्तव में यह आधे घंटे से अधिक नहीं लेता है और यह संभावना नहीं है कि कोई आपके बारे में देखेगा और आपको ढूंढेगा। हर जगह भुगतान के तरीके अलग-अलग हैं, कोई केवल बिटकॉइन स्वीकार करता है, तो कोई अपने कार्ड को टेलीग्राम में दिखाने में संकोच नहीं करता है। वैसे, यह एक सामान्य घटना है जब एक हमलावर अपने (या नहीं?) कार्ड की संख्या को इंगित करने से डरता नहीं है, क्योंकि, उदाहरण के लिए, कार्ड को कार्ड से कार्ड में काफी समस्या-मुक्त स्थानांतरित किया जाता है और कार्डधारक को चार्ज करने के लिए व्यावहारिक रूप से असंभव है, जहां पैसा स्थानांतरित किया गया था। । व्यक्तिगत रूप से, इस विषय पर मेरी कोई टिप्पणी नहीं है।

इसलिए, हमें उपयोगकर्ता के पासपोर्ट का एक स्कैन मिला। नहीं, हमने उपयोगकर्ता के चेहरे के साथ फ़ोटोशॉप को नहीं लिया है, जहां वह कैमरे के सामने रखता है। हम मोबाइल ऑपरेटरों के पास जाएंगे जो ख़ुशी से पीड़ित को स्थानापन्न करेंगे। हम फर्जी VKontakte पृष्ठ को बाएं फ़ोन नंबर पर पंजीकृत करते हैं, वीपीएन को काटते हैं और पीड़ित के मोबाइल ऑपरेटर के आधिकारिक समुदाय को निम्नलिखित सामग्री का संदेश लिखते हैं:

शुभ दोपहर। हमें सभी नए फ़ोन नंबरों पर कॉल अग्रेषण सेट करने की आवश्यकता है। मेरे पास फोन की पहुंच नहीं है। मुझे इस ऑपरेशन को पूरा करने की क्या आवश्यकता है? "
तो आगे क्या है? आपको पीड़ित का फ़ोन नंबर, एक नया फ़ोन नंबर पूछा जाएगा, जहाँ आपको "फ़ोन नंबर की पहचान और कब्जे की पुष्टि करने के लिए" सभी कॉल और पासपोर्ट डेटा को अग्रेषित करने की आवश्यकता है। महान, है ना? बस 300 रूबल के लिए स्टेशन पर एक नया सिम कार्ड खरीदें, या नेटवर्क पर कहीं वर्चुअल सिम कार्ड खरीदें और भाप स्नान न करें। आप सभी जानकारी और सब कुछ देते हैं, बात टोपी में है - कॉल अग्रेषण चालू है और, सबसे आश्चर्यजनक रूप से, पीड़ित को तुरंत कनेक्शन अग्रेषण के बारे में सूचित नहीं किया जाता है।

सबसे पहले, अधिसूचना बिल्कुल नहीं आई, एक घंटा बीत गया - यह 2 बार जितना आया:



मैंने इस ऑपरेटर के दूसरे फोन नंबर पर सेवा को जोड़ने की कोशिश की - 2-3 मिनट के बाद एक अधिसूचना आती है, जो पेज तक पहुंच प्राप्त करने के लिए और कदम उठाने के लिए पर्याप्त है। इसके अलावा, यदि आप यह सब 4 बजे करते हैं, तो यह संभावना नहीं है कि पीड़ित एसएमएस ऑपरेटर से जाग जाएगा और समय पर कुछ करने का समय होगा।

सामान्य तौर पर, यह बुरा है यदि आपके पास व्यक्तिगत रूप से ऐसा ऑपरेटर है:



खैर, अगर यह:







तो, अब हम VKontakte पर जाते हैं और दरार करना शुरू करते हैं:



हम पासवर्ड को पुनर्प्राप्त करना शुरू करते हैं:



इस स्तर पर, हमारे पीड़ित को यह कहते हुए एक एसएमएस मिलता है कि कोई व्यक्ति पृष्ठ पर पासवर्ड बदलने की कोशिश कर रहा है:



लेकिन केवल अब, तो क्या? आप व्यक्तिगत रूप से 2 मिनट में क्या करने का प्रबंधन करते हैं? हमने एसएमएस अवरोधन नहीं किया है, क्योंकि कॉल फॉरवर्डिंग केवल कॉल पर काम करता है। लेकिन हमें कोई दिलचस्पी नहीं है। "कोड पुनः भेजें" पर क्लिक करें और निम्न विंडो देखें:



समझें कि हम आगे क्या करेंगे? हां, रोबोट को कॉल करने दें और ऑपरेटर इसे हमारे फोन नंबर पर रीडायरेक्ट करता है और पासवर्ड बदलने के लिए हमें कोड बताता है। तो, कॉल करें:



रोबोट हमारे बाएं फ़ोन नंबर को कॉल करता है, कोड की रिपोर्ट करता है और उसके बाद हम बस पासवर्ड लेते हैं और बदलते हैं:



पृष्ठ की सभी पहुंच प्राप्त की जाती है। सबसे अधिक संभावना है कि पीड़ित व्यक्ति जल्द ही पासवर्ड बदल देगा और फिर इस कार्रवाई को फिर से दोहराया जा सकता है और हैकर के पास केवल 2-3 मिनट का समय बचा है। लेकिन एक पृष्ठ डंप स्क्रिप्ट को चलाने में कोई समस्या नहीं है जो पत्राचार के पूरे इतिहास, सभी फ़ोटो और सब कुछ को बचाती है जो केवल कुछ सेकंड में आपका दिल चाहता है।