СМС в системах ДБО - безопасность под угрозой!

Groove · 27.12.2017

Доброго времени суток всем.

Уж не один раз в обсуждениях использования СМС в различных системах дистанционного банковского обслуживания и их разновидностях были озвучены минусы подобного решения. В этой теме прошу высказаться всех по данному вопросу.

Начну с одного очень серьёзного минуса, о котором я задумался давно, а другой человек на практике успешно подтвердил его реальность. Суть минуса такова - система ДБО одного из крупнейших банков не идентифицирует отправителя СМС.

Сам протокол передачи СМС позволяет отправить СМС, подставив в качестве отправителя любое значение. В Интернете множество сайтов, позволяющих отправить подобные СМС с подменой номера отправителя. А теперь подумайте, что произойдёт, если с подобного сервиса отправить СМС на номер системы ДБО и подставить в качестве отправителя номер реального клиента банка, подключенного к этой системе ДБО? Правильно, система обработает эту СМС как настоящую и выполнит указанные в ней действия. И если в системе не заложено подтверждение всех операций одноразовыми кодами, то это огромная брешь в безопасности всей системы ДБО.

Тему оставляю тут, но и к пластиковым картам она имеет непосредственное отношение, ведь для них тоже зачастую предлагают некие разновидности систем ДБО, в том числе и с возможностью управления счетами/картами через СМС. Представьте, что злоумышленник может заблокировать все ваши карты, отправив поддельную СМС. Каково?

27.12.2017	#1
Groove Местный Регистрация: 28.07.2014 Адрес: Москва Сообщений: 119	СМС в системах ДБО - безопасность под угрозой! Доброго времени суток всем. Уж не один раз в обсуждениях использования СМС в различных системах дистанционного банковского обслуживания и их разновидностях были озвучены минусы подобного решения. В этой теме прошу высказаться всех по данному вопросу. Начну с одного очень серьёзного минуса, о котором я задумался давно, а другой человек на практике успешно подтвердил его реальность. Суть минуса такова - система ДБО одного из крупнейших банков не идентифицирует отправителя СМС. Сам протокол передачи СМС позволяет отправить СМС, подставив в качестве отправителя любое значение. В Интернете множество сайтов, позволяющих отправить подобные СМС с подменой номера отправителя. А теперь подумайте, что произойдёт, если с подобного сервиса отправить СМС на номер системы ДБО и подставить в качестве отправителя номер реального клиента банка, подключенного к этой системе ДБО? Правильно, система обработает эту СМС как настоящую и выполнит указанные в ней действия. И если в системе не заложено подтверждение всех операций одноразовыми кодами, то это огромная брешь в безопасности всей системы ДБО. Тему оставляю тут, но и к пластиковым картам она имеет непосредственное отношение, ведь для них тоже зачастую предлагают некие разновидности систем ДБО, в том числе и с возможностью управления счетами/картами через СМС. Представьте, что злоумышленник может заблокировать все ваши карты, отправив поддельную СМС. Каково?