Специалисты лаборатории кибербезопасности Servicepipe выявили новую схему компрометации аккаунтов, которая позволяет злоумышленникам обходить двухфакторную защиту с помощью автоматизированного подбора SMS-кодов. Под угрозой — банковские приложения, маркетплейсы и сервисы доставки, сообщает РИА VladNews со ссылкой на «Ведомости».
Новая атака была обнаружена в ходе анализа отражённого смс-бомбинга. Боты не просто многократно запрашивают отправку сообщений с кодами подтверждения, но и параллельно перебирают возможные комбинации OTP-паролей для авторизации в сервисе.
Особенность метода в том, что он автоматизирован: система пытается войти в аккаунт одновременно с тем, как пользователь получает шквал уведомлений. В случае успеха злоумышленники получают доступ к чувствительным персональным данным, включая платёжную информацию.
В группе риска — любые платформы, использующие короткие смс-коды подтверждения: банки, агрегаторы такси, каршеринг, сервисы доставки и маркетплейсы. Эксперты подчёркивают: чем короче код, тем проще его подобрать брутфорсом.
Рекомендации специалистов:
-
увеличить длину одноразовых кодов (минимум 6–8 символов);
-
внедрить строгие лимиты на количество попыток ввода (например, 3–5 неудачных попыток с блокировкой);
-
добавить антибот-защиту (капча, анализ поведения пользователя);
-
по возможности полностью отказаться от SMS в пользу push-уведомлений или TOTP-приложений.
