OTP-перехват через переадресацию: где ломается защита и почему SMS больше не «второй фактор»

OTP-перехват через переадресацию: где ломается защита и почему SMS больше не «второй фактор»

Алгоритм атаки выглядит следующим образом. Злоумышленник не «взламывает» код, а меняет маршрут доставки сообщения: либо через доступ к аккаунту оператора, либо через социальную инженерию, либо через перевыпуск SIM. Дальше OTP уходит не владельцу, а в контролируемый канал.

Разберем векторы социальной инженерии в этом кейсе. Цель — обойти идентификацию у оператора и включить переадресацию входящих сообщений или вызовов. Для этого используют поддельные данные, ранее утекшие персональные сведения, давление на поддержку, а иногда — компрометацию почты и кабинета абонента. Технический след злоумышленника неизбежен: смена настроек, события входа, запросы к кабинету, аномальные переходы по номерам и устройствам.

Критические признаки компрометации простые: внезапная потеря сети без явной причины, уведомления о смене SIM или переадресации, коды подтверждения, которые приходят, но не используются владельцем, и параллельная активность в сервисах, где SMS осталось единственным барьером. Если в цепочке есть банковские операции, атака часто идет не на банк, а на номер как на точку доставки доверия.

Защита строится не на «не сообщать код», а на снижении зависимости от SMS: запрет удаленного перевыпуска SIM, пароль на обслуживание у оператора, контроль доверенных каналов восстановления, проверка активных переадресаций, отказ от SMS там, где доступен FIDO2 или TOTP. Технически это скучно. Поэтому и работает.

Когда номер становится главным ключом, компрометация не выглядит как взлом — она выглядит как штатная процедура. Именно поэтому проверять нужно не только устройство, но и маршрут, по которому приходят сообщения.