Защо ползването на 2FA чрез SMS е рисково

Тъй като блогът се напълни с други неща (ревюта на инвестиционни посредници и т.н.) систематизирах по-интересните неща за законодателите тук: За читателите от Министерството на финансите и за законодателите.

Интересуваш се от данъците при получаване на доход от инвестиции? Виж тази страница.
Забелязах, че връзката към статията (намираща се в дясната страна на блога) не е много видима и затова слагам още една връзка тук.

Защо ползването на 2FA чрез SMS е рисково

Никога не ползвайте SMS за 2FA, ако е достъпен по-надежден метод (генериран офлайн код с Google Authenticator или подобно приложение).

Измамник може да отиде в мобилния оператор с фалшива лична карта и да поиска втора SIM карта, където ще получава всички SMS-и, които и вие и няма как да разберете, защото телефонът ви ще работи нормално. Също така може да отговаря на обаждания вместо вас.

А може да поиска анулиране на вашата SIM карта и да си вземе нова с вашия номер. В резултат ще останете и без достъпа до телефонния си номер, докато не отидете при мобилния оператор да се разберете.

Алтернативи на Google Authenticator са GAuth (ползвайте го офлайн, след като го свалите, а не директно от сайта, за всеки случай) и мениджърите на пароли като KeePassXC. Тези алтернативи може да ги ползвате на офлайн компютър, ако се притеснявате да се доверите на телефона си.

Според мен съвременните смартфони са една идея по-рискови от добре защитено PC. Особено ако попаднете на такъв с предварително инсталиран malware.

Israeli spyware used to target phones of journalists and activists, investigation finds

От какво не ви пази хардуерният портфейл

Коментари

eazysnatch9 ноември 2021 г. в 5:42
Човек който се занимава близо 20г. в сферата на ИТ и комуникации бих казал ,че плана е добър ,но изпълнението да се източат пари е много много малко 3%.
Атакера трябва:
- да има достъп до онлайн банкирането ( тоест да ви знае user / pass ) тук също може да имате 2FA ( Ако говорим само за аксес към онлайн банкирането ,а не за плащане )
- да направи фалшива лична карта ( копие на вашата )
- да изглежда като вас
Ако случайно кажем ,че успее да излъже оператора с фалшивата лична карта 2рата карта се заплаща и тече като услуга тоест може би до 30 дни ще разберете.

След като целият този ефърт се случи и атакера успее да мине всичките тези звена може и да се опита да ви източи сметката ,но това с източването идва следващият механизъм на банката която ще спре всичко съмнително.

Придобиването на достъп и източването са две различни неща. Сега започваме плана как да се източат парите...
ОтговорИзтриване
Отговори

Добавяне на коментар

Публикуване на коментар

Нищо в блога не следва да се разглежда като препоръка да се инвестира в акции и борсово търгувани фондове (инвестиращи в акции) вместо да се инвестира в нещо друго.

Информацията цели да послужи за взимане на информирано решение как да се инвестира така, че проблемите и разходите да са минимални (след като вече сте взели решение да инвестирате на пазара на акции).

Има и други инвестиции извън пазарите на акции и извън финансовите инструменти.

Тоест, нищо от написаното не е препоръка да се инвестира във финансови инструменти - акции, опции, фючърси, договори за разлика и т.н.

Тъй като често пиша за акции и други финансови инструменти някой може да остане с грешното впечатление, че препоръчвам да се инвестира в тях.

Има вероятност четенето на данни, включително и безполезни, да ви направи по-склонни да инвестирате и по-уверени. Това е известен бъг в мозъците на хората, пише го в книгите по поведенчески финанси.

Финансовите услуги и червената лента

Търсене в този блог