SMS ile giriş doğrulaması çok riskli, alternatifi nedir?

(NLDO) - SMS kimlik doğrulaması günümüzde en zayıf güvenlik yöntemlerinden biri olarak kabul ediliyor.

Yahoo'ya göre, SMS yoluyla gönderilen tek seferlik kimlik doğrulama kodları (OTP), iki faktörlü kimlik doğrulama sürecinde ikinci bir koruma katmanı olarak hâlâ yaygın olarak kullanılıyor ve kullanıcıların bankacılık, e-posta veya sosyal ağ uygulamalarına giriş yapmasına yardımcı oluyor.

Ancak Yahoo, SMS'in kimlik avı saldırılarına karşı çok savunmasız olması nedeniyle en zayıf güvenlik yöntemlerinden biri olduğu konusunda uyarıyor.

Bloomberg Businessweek ve Lighthouse Reports tarafından yapılan son bir araştırma, daha büyük bir riski ortaya koydu: Bu OTP kodlarına üçüncü taraflar erişebilirdi. Özellikle, az bilinen İsviçre telekomünikasyon şirketi Fink Telecom Services, Haziran 2023'te iki faktörlü kimlik doğrulama kodları içeren 1 milyondan fazla mesaja erişmişti.

Fink Telecom Services, kimlik doğrulama kodlarını üreten şirketler ile son kullanıcılar arasında aracı olarak mesajların içeriğini işleme ve görüntüleme hakkına sahiptir. Endişe verici olan ise, bu şirketin kullanıcı izleme faaliyetlerine katıldığından ve kişisel hesaplara müdahale ettiğinden şüphelenilmesidir.

SMS, üçüncü şahısların erişimine açık olması nedeniyle en zayıf güvenlik yöntemlerinden biri olarak kabul edilir.

Sızdırılan OTP kodları, Google, Meta, Amazon, Tinder, Snapchat, Binance, Signal, WhatsApp ve Avrupa'daki birçok banka gibi birçok büyük şirketten geldi ve mesajlar 100'den fazla ülkedeki kullanıcılara gönderildi.

Yahoo'ya göre, SMS iki faktörlü kimlik doğrulamanın güvenli olmamasının temel nedeni, şirketlerin genellikle birden fazla operatörle yapılan büyük sözleşmeler ve ülkeler arası bağlantı için kullanılan ağ adresleri olan "küresel başlıklar" sistemi aracılığıyla daha düşük maliyetle SMS mesajları göndermek için aracılar tutmasıdır. Bu sistemin zayıf noktası, aracı şirketlerin Fink Telecom Services gibi birimlerle doğrudan değil, alt yükleniciler aracılığıyla çalışması ve bu durumun veri güvenliğini sağlamayı daha karmaşık hale getirmesidir.

Wischain Company Limited'in kurucusu Bay Pham Manh Cuong, SMS mesajları yoluyla iki faktörlü kimlik doğrulama yönteminin artık güvenli olmadığını, çünkü siber saldırganların giderek daha karmaşık hale geldiğini ve güvenlik sistemindeki güvenlik açıklarından yararlanarak erişim elde etmeyi başardıklarını açıkladı.

Kimlik avı saldırılarının en yaygın biçimlerinden biri, kullanıcıları kullanıcı adı, parola veya OTP kodları gibi hassas bilgileri vermeye kandırmak için görünüşte güvenilir mesajlar, e-postalar veya web siteleri kullanılmasıdır.

Sadece bu değil, SIM kart değiştirme de ciddi bir tehdit. Dolandırıcılar, kurbanın telefon numarasını çalarak, SMS yoluyla gönderilen doğrulama kodlarını alabilirler.

Ayrıca, özellikle Android cihazlarda, pek çok kullanıcı hala kaynağı bilinmeyen yazılımlar yükleme alışkanlığına sahip ve bu da klavye tuşlarını gizlice kaydedebilen ve böylece erişim bilgilerini çalabilen casus yazılımlara veya tuş kaydedicilere yol açıyor.

SMS kimlik doğrulaması, her 30 saniyede bir değişen rastgele kimlik doğrulama kodları üreten ve mobil şebekelerden bağımsız bir uygulama olan Google Authenticator gibi modern yöntemlerle karşılaştırıldığında hâlâ belirli bir koruma katmanı olarak kabul edilse de, SMS'in giderek zayıf yönleri ortaya çıkıyor.

Kaynak: https://nld.com.vn/xac-thuc-hai-yeu-to-qua-sms-rat-rui-ro-nen-dung-ung-dung-nao-196250621114624897.htm