OTP-перехват через переадресацию: где рвется цепочка доверия

OTP-перехват через переадресацию: где рвется цепочка доверия

Разберем векторы социальной инженерии в этом кейсе. Алгоритм атаки выглядит следующим образом: злоумышленник не «ломает» OTP, а смещает точку доставки кода — через переадресацию SMS, дублирование номера, SIM-swap или доступ к облачной синхронизации сообщений.

Ключевой слой здесь не криптография, а операторская и пользовательская логика. Если код приходит на номер, который уже контролируется не владельцем, проверка подмены проходит тихо: сервис видит валидный OTP, а жертва — только потерю доступа. Технический след злоумышленника неизбежен: изменение маршрута сообщений, новые точки входа в аккаунты, пересечения по IP, устройствам и времени сессий.

Что обычно упускают:
— доверие к номеру как к единственному фактору;
— отсутствие запрета на перенос SIM и переадресацию;
— слабый контроль резервных каналов восстановления;
— одинаковые пароли на почте, мессенджере и банковском кабинете.

Проверка защиты строится не вокруг «сложности кода», а вокруг контроля маршрута доставки: PIN у оператора, запрет удаленных изменений, отдельная почта для восстановления, аппаратный фактор вместо SMS. Если номер — это ключ, значит он должен быть защищен как ключ, а не как расходник.