RESUMO EXECUTIVO
- Pesquisa revela que links de autenticação enviados por SMS expõem dados pessoais.
- Mais de 700 serviços estão envolvidos, colocando a privacidade de milhões em risco.
- Ataques podem ser realizados facilmente, permitindo acesso não autorizado a contas.
- Mensagens SMS são enviadas sem criptografia, aumentando a vulnerabilidade.
- Provedores devem revisar práticas de autenticação para proteger usuários.
O QUE MUDA PARA ISPs
- Necessidade de implementar métodos de autenticação mais seguros.
- Revisão das práticas de segurança em serviços que utilizam SMS para autenticação.
- Potencial aumento de custos com medidas de segurança e treinamento de pessoal.
- Importância de educar usuários sobre os riscos associados ao uso de SMS para autenticação.
CONTEXTO TÉCNICO
A pesquisa identificou que mais de 700 endpoints enviam links de autenticação via SMS para mais de 175 serviços, expondo dados críticos dos usuários. Os pesquisadores descobriram que muitos desses links são facilmente enumeráveis, permitindo que atacantes acessem contas de outros usuários apenas modificando o token de segurança. A falta de criptografia nas mensagens SMS agrava o problema, com dados sensíveis, como números de segurança social e informações bancárias, sendo acessíveis por qualquer um que possua o link.
Além disso, a pesquisa coletou 322 milhões de URLs únicas de SMS, revelando que 125 serviços permitiam a enumeração em massa de URLs válidos, facilitando o acesso não autorizado a informações pessoais. Apesar da gravidade das descobertas, a prática continua a ser comum devido à percepção de menor fricção para os usuários e à falta de revisão de segurança por parte dos provedores.
CONCLUSÃO
As vulnerabilidades associadas ao uso de links de autenticação enviados por SMS representam um risco significativo para a segurança dos usuários. Provedores de internet e serviços devem urgentemente revisar suas práticas de autenticação e implementar soluções mais robustas para proteger a privacidade e os dados de seus clientes.
Fontes: Millions of people imperiled through sign-in links sent by SMS