मोबाइल ऑपरेटर की सेवाओं तक पहुँच प्राप्त करने के माध्यम से "थोक में" अपहरण की विधि

आज, कुछ ही घंटे पहले, मैंने अपने लिए धोखाधड़ी का एक नया तरीका खोजा: मेरे मोबाइल ऑपरेटर के निजी खाते तक पहुंचने का प्रयास।

अद्यतन: फिर भी, शब्द "नया" नाम से हटा दिया गया था, आलोचना के लिए धन्यवाद। उन्होंने आलोचना के मुख्य बिंदुओं के जवाब को अंत में रखा, ताकि टिप्पणियों को पढ़ने की आवश्यकता न हो।

नेटवर्क पर एक परिचालन खोज, साथ ही साथ परिचित आईटी विशेषज्ञों के एक सर्वेक्षण से पता चला है कि किसी ने अभी तक इस पद्धति को काम में नहीं देखा है। सार्वजनिक ज्ञान की कमी, साथ ही प्राप्त पहुंच का उपयोग करने के सभी खतरों के निवासियों के लिए गैर-स्पष्टता, इसे और अधिक खतरनाक बनाती है।

चेतावनी! इस पोस्ट में संभावित खतरों और धोखाधड़ी के एक नए रूप के बारे में समुदाय को चेतावनी देने के लिए लिखा गया था। रूसी संघ के कानून के अनुसार अपने स्वयं के अलावा किसी भी खाते के साथ लेख में वर्णित कार्यों की पुनरावृत्ति जिम्मेदारी के रूप में होती है।

इस लेख का मुख्य लक्ष्य विशेषज्ञों की एक विस्तृत मंडली का परिचय देना है और बस लोगों को सेवाओं से अपहृत खातों के नए तरीके से पेश करना है जिन्हें फोन के माध्यम से अधिकृत या बहाल किया जा सकता है। अनुभवी समुदाय के बीच इस पद्धति और इसकी विविधताओं की चर्चा शुरू करने और अधिक व्यापक रूप से जानकारी प्रसारित करने के लिए भी उपयोगी होगा। इसलिए, मैं संक्षिप्त हूं और एक व्यापक विश्लेषण होने का दिखावा नहीं करता हूं; बल्कि, मैं एक विशिष्ट मामले का वर्णन करना चाहता हूं और इस उदाहरण के बड़े स्ट्रोक के संभावित बदलावों के साथ दिखाना चाहता हूं।

विधि का वर्णन

1. हैक किए गए VK खाते (किसी भी अन्य नेटवर्क या मैसेंजर की तरह) के माध्यम से, एक "पुराना दोस्त" (एक हमलावर) पीड़ित पर दस्तक देता है और "एक दुर्गम फोन की समस्या" का वर्णन करता है।
2. वह एसएमएस कोड प्राप्त करके "मुझे कहीं प्रवेश करने में मदद करने के लिए" कहता है, इसके लिए वह उसे एक कोड या "स्क्रीन" भेजने के लिए कहता है।
3. पीड़ित को एमटीएस सेवाओं के लिए एक बार की पुष्टि के लिए एक एसएमएस प्राप्त होता है।
4. पीड़ित व्यक्ति अनुरोध को पूरा करता है और इस तरह अपने निजी एमटीएस खाते तक पहुंच देता है।

वास्तविक पत्राचार का उदाहरण:



स्वाभाविक रूप से, मैंने किसी को कोड नहीं भेजा, मैंने हमलावर के समय को "फिर से भेजें, एसएमएस नहीं आता" जैसे अनुरोधों के साथ खींचा, जबकि मैंने अपने दोस्त को फोन किया और उसे तुरंत पासवर्ड बदलने और कार्रवाई करने के लिए कहा। दुर्भाग्य से, इसके माध्यम से पीड़ितों के सटीक प्रतिशत का पता लगाना संभव नहीं था, क्योंकि हैक किए गए आदमी ने वीके में जाने की योजना नहीं बनाई, लेकिन तुरंत अपना पासवर्ड बदल दिया और व्यापार में लौट आया, लेकिन मेरा सवाल था "कितने लोग पकड़े गए", जवाब "पूर्ण!" था।

खतरों और उनके कथित "डरावने" का प्रारंभिक विश्लेषण

9 निवासियों के एक संक्षिप्त सर्वेक्षण से पता चला:

• 4 मामलों में, कार्यों के इस क्रम में वे एक गंभीर खतरा नहीं देखते हैं,
• 5 तारीख को, वह चिंतित है और वे "पुराने दोस्त" की पहचान की कोशिश करने के लिए तैयार हैं।

आपके व्यक्तिगत खाते तक पहुंच प्राप्त करने की धमकी को निम्नानुसार आवाज दी गई:

1. "फोन खाते से पैसे लिखें",
2. "कनेक्टेड भुगतान सेवाओं या समाचार पत्र",
3. "वे स्वत: पूर्ण कार्ड से पैसे लिखेंगे",
4. "वे दूसरे फोन में पैसे ट्रांसफर कर सकते हैं",
5. "वे कॉल फ़ॉरवर्डिंग और धोखा दे सकते हैं,"
6. "वे एसएमएस अग्रेषण सेट कर सकते हैं और अन्य सेवाओं के खाते चुरा सकते हैं।"

पैराग्राफ 1.2 हर किसी के लिए स्पष्ट है, 3-4 लोग सर्वेक्षण किए गए औसत लोगों के लिए स्पष्ट नहीं हैं, लेकिन अधिक अनुभवी उपयोगकर्ताओं के लिए स्पष्ट हैं, लेकिन पैराग्राफ 5.6 केवल सबसे अनुभवी के लिए स्पष्ट हैं। एमटीएस व्यक्तिगत खाते में पूरे भुगतान गेटवे की उपस्थिति के बारे में केवल दो को पता था, और किसी को भी # 7 एमटीएस खाते से सीधे किसी कार्ड पर पैसा भेजने की संभावना के बारे में नहीं पता था। मुझे यह मिला, एमटीएस के व्यक्तिगत खाते की खोज करने के लिए, प्राप्त एक्सेस को संचालित करने के तरीके खोजने के लिए।

एमटीएस एलसी में चोरी की पहुंच का परीक्षण ऑपरेशन

सत्यापन के लिए, मैंने दूसरा नंबर लिया और, बहुत जल्दी, इस योजना के अनुसार, एमटीएस व्यक्तिगत खाते में प्रवेश किया और कॉल अग्रेषण सेट किया।

MTS ने पुराने पीड़ितों की संख्या को सूचित किया:

• पासवर्ड परिवर्तन
• एमटीएस सेवाओं में प्रवेश,
• एसएमएस अग्रेषण और एसएमएस प्रो सेवाओं को जोड़ने।

उसके बाद, पीड़ित का फोन शांत हो जाता है और सब कुछ नए नंबर पर चला जाता है।

एनबी: आवाज अग्रेषण सेट करने से एमटीएस से कोई सूचना नहीं मिलती है, लेकिन व्यर्थ में।

फिर, केवल नए फोन का उपयोग करके, मैं सफलतापूर्वक:

• दूसरे फ़ोन खाते का रिचार्ज कराया,
• पैसा ट्रांसफर एमटीएस खाता बनाया → बैंक कार्ड (कमीशन 4.3%, लेकिन 60 रूबल से कम नहीं),
• नेटवर्क पर खातों की एक जोड़ी तक पहुँच प्राप्त,
• एसएमएस के बजाय कॉल-ऑडियो चेक प्राप्त किया,
• स्टोर की वेबसाइट से कॉलबैक का आदेश दिया,
• इंटरनेट बैंक में प्रवेश किया और अज्ञात कार्ड में पैसे भेजे, नीचे देखें।

अपने मुख्य (लाल, हरे, पीले) इंटरनेट बैंकों तक पहुंच को बहाल करने की कोशिश कर रहा हूं, मुझे पासवर्ड जैसी अतिरिक्त जानकारी प्रदान करने और वसूली के लिए - खाता संख्या और कार्ड की आवश्यकता का सामना करना पड़ा। यह प्रक्रिया को थोड़ा जटिल करता है, या धीमा कर देता है, क्योंकि यदि पीड़ित ने कम से कम एक बार विवरण भेजा है, तो यह पत्राचार के इतिहास में खोजना आसान है, क्योंकि दूत और उसका इतिहास पहले ही चोरी हो चुका है।

इसलिए, मैंने भी सफलतापूर्वक बैंकों में से एक में प्रवेश किया और कार्डकांकार्ड ट्रांसफर भेजा। मात्राएँ छोटी थीं, बैंक के पास कोई सवाल नहीं था, लेकिन पहले बड़ी मात्रा में, व्यक्तिगत डेटा से अधिक जटिल कुछ भी नहीं था, मुझे कभी नहीं पूछा गया था।

इस प्रकार, मैं वित्तीय नुकसान के जोखिम को बहुत अधिक मानता हूं। मूर्त रूप में एक प्रमुख वित्तीय नुकसान, हालांकि, मेरे मामले में, पत्राचार में विवरण के लिए एक आसान खोज द्वारा कार्य की सुविधा थी, लेकिन मुझे लगता है कि मैं केवल एक ही नहीं हूं।

मैं आपको और आपके प्रियजनों को सतर्कता की कामना के साथ "संपादक को अपना पत्र" समाप्त कर दूंगा।

अपडेट 14.02.19 - टिप्पणियों में प्रश्नों और आलोचनाओं के उत्तर

सबसे अधिक बार, टिप्पणीकारों की टिप्पणी शीर्षक पर थी:
यहाँ नया तरीका कहाँ है? - पहले वाक्य में मैंने उचित ठहराया, लेकिन पर्याप्त नहीं, अधिक सही शब्द "व्यापक नहीं" या "थोड़ा ज्ञात" होगा, हालांकि, मैंने आमतौर पर इस शब्द को हटा दिया। नवीनता, रिश्तेदार, पैसे के लिए सीधे अनुरोध में नहीं है, लेकिन एक "गैर-वित्तीय प्रकृति" के अनुरोध में जिसका वित्तीय नुकसान के साथ सीधा संबंध नहीं है। यह एक उद्देश्यपूर्ण दुर्लभता है - वे अक्सर एक ऋण के लिए बेवकूफी से पूछते हैं, लेकिन मैं वास्तव में वास्तविक आंकड़ों से परिचित होऊंगा। खब्रोवित्स के बारे में अपनी समझ के लिए धन्यवाद जिन्होंने नीचे दिए गए टिप्पणियों में बिल्कुल वैसा ही जवाब दिया।

और ऐसी चोरी का थोक क्या है? - वास्तव में, मैंने समझाया नहीं, दोष देने के लिए, मैं खुद को सही कर रहा हूं। "थोक", उद्धरण चिह्नों में, इसका मतलब है कि एक ही फोन एक साथ कई सेवाओं पर दो-कारक प्रमाणीकरण का "दूसरा कारक" हो सकता है, और इस तरह की पहुंच प्राप्त करने से एक साथ कई खातों के लिए नियंत्रण का नुकसान हो सकता है, साथ ही साथ अन्य नुकसान भी हो सकते हैं। मैं एक बेहतर शब्द के साथ नहीं आ सकता, लेकिन मुद्दा यह है कि एक कुंजी एक स्पष्ट दरवाजा नहीं खोल सकती है, लेकिन कई, और यह ज्ञात नहीं है कि कौन से हैं।

एक और लोकप्रिय आक्रोश मकसद:
साधारण सामाजिक इंजीनियरिंग! यह एक ढोंग पर क्यों है? - यह है, लेकिन केवल सामाजिक इंजीनियरिंग एक बहुत व्यापक शब्द है जो विशेष रूप से कुछ भी नहीं कहता है। हालांकि, यह सिस्टम बनाना संभव है ताकि साधारण उपयोगकर्ता धोखाधड़ी की योजनाएं काम न करें और धोखाधड़ी योजनाएं सभी अलग-अलग हों, और किसी भी आईटी विशेषज्ञ या सुरक्षा गार्ड को अवैध रूप से सक्षम पुनर्निर्देशों के अस्तित्व की संभावना के बारे में पता होना चाहिए। इसलिए, हब पर

उदाहरण:
- ऑटो कॉल से कैप्चा या कोड सुनने की क्षमता को तेज करें?
- एसएमएस की पुष्टि के लिए प्रवेश द्वार पर एक डिजिटल नंबर छोड़ दिया?
हम मानते हैं कि हम सिस्टम में "लाश" दे सकते हैं। यह हमेशा स्पष्ट नहीं होता है। शायद इस तरह की पहुंच बहाल करने के बाद अधिकारों को सीमित करना आवश्यक है या पहुंच को बहाल करते समय स्पष्ट प्रश्न पूछना।

- क्या हम एसएमएस या डायलर के माध्यम से कोई गोपनीय जानकारी भेज रहे हैं?
हमलावरों के लिए इसका खुलासा करने का जोखिम है या, उदाहरण के लिए, "इवान इवानोविच के लिए फेडरल लॉ 152 के अनुसार जवाब दें कि आपके पास इस तरह के और इतने सारे रूबल के लिए ऋण ऋण है।"

- क्या कर्मचारी को शिकायत है कि उन्हें कॉर्पोरेट पोर्टल से एसएमएस प्राप्त नहीं होता है?
हम उसे नरक में नहीं भेजते हैं, लेकिन हम स्थिति की जांच करेंगे, शायद उसके एसएमएस संदेश "बाईं ओर" चले गए।

इसके अलावा, यदि कम से कम एक दर्जन लोग एक बार फिर से फार्म के नियमों के अपने सर्कल के साथ बात करते हैं: "कोई भी स्थानांतरण या कोड, केवल व्यक्तिगत फ़ॉइनिंग के बाद, भले ही यह पैसे के बारे में नहीं है," तो मैंने कुछ भी नहीं लिखा।

Habr.com/en/post/436774/#comment_19638396 और tcapb1 for habr.com/en/post/436774/#comment_19637462 के लिए ट्रुब्लास्ट के लिए विशेष धन्यवाद, जिसमें उन्होंने मेरे विचारों को समझा और विकसित किया, संभावित खतरों और विकल्पों को लाया।

अंत में, मैं "मेरे अनुमानों के अनुसार, इस तरह की विश्वसनीयता वाले लोगों के पास लंबे समय तक चोरी करने के लिए कुछ भी नहीं है" जैसी टिप्पणियों का जवाब जोड़ देंगे।

सही है, आमतौर पर चोरी करने के लिए कुछ भी नहीं है, और यह एक और महत्वपूर्ण विशेषता है कि सूचना प्रणाली, सुरक्षा प्रोटोकॉल और प्राधिकरण नीतियों को ध्यान में रखना चाहिए। तथ्य यह है कि बहुत से लोग अच्छे बनने की कोशिश करते हैं, दयालु हैं, एक दूसरे की मदद करते हैं, अपना पैसा खो देते हैं, लेकिन वे उद्यमों में काम करते हैं। यदि किसी के पास एक कंप्यूटर बग है, और आपको तत्काल एक पत्र भेजने की आवश्यकता है - वे मुझे इस तथ्य के बावजूद जाने देंगे कि उनके पास पूरी तरह से अलग स्तर पर पहुंच है।

औसत आईटी विशेषज्ञ फिर भी पागल नहीं है, इसमें उच्च स्तर की अमूर्त सोच है, तर्कशक्ति की श्रृंखलाओं का शीघ्रता से निर्माण करने और संभावनाओं का आकलन करने में सक्षम है, और धोखे की विभिन्न योजनाओं के बारे में सुना है। और औसत व्यक्ति पूरी तरह से अलग है, उसे अपने और अपने दोस्त की मदद करने के लिए अपने काम के मुद्दों को आसान और तेजी से हल करने की आवश्यकता है, और फिर वह आपकी मदद करेगा। कुछ लोडर, इलेक्ट्रीशियन, कूरियर, मैनेजर, जो लोग सुरक्षा सुरक्षा मुद्दों के साथ निरंतर संपर्क से नहीं जुड़े हैं, उनके पास बहुत संवेदनशील डेटा, महंगे उत्पादों तक पहुंच हो सकती है और यह बिल्कुल भी समझ में नहीं आता कि वे क्या उल्लंघन कर सकते हैं, जोखिम के स्तर और संभावित नुकसान की कीमत। और यहां तक ​​कि अगर वे लाखों के नुकसान के लिए दोषी हैं, तो उनके पास सामान्य रूप से उनसे लेने के लिए कुछ भी नहीं है। इसलिए, मेरा मानना ​​है कि यह आईटी लोग हैं, जिन्हें प्रत्येक इवान इवानिच की सभी संभावित कमजोरियों को ध्यान में रखना और उन्हें उद्यमों की सूचना प्रणालियों के डिजाइन और रखरखाव के साथ-साथ दोस्तों को किसी तरह शिक्षित करने में ध्यान में रखना है।