Hlavní navigace

Jedna přijatá SMS zajistí útočníkovi přístup (nejen) ke všem vašim e-mailům

5. 9. 2019

Sdílet

SMS telefon

Konfigurační SMS zprávy (též OMA CP messages) zná každý uživatel chytrého telefonu. Obvykle je zasílá operátor aby uživateli usnadnil nastavení přístupu k datovým službám. Pokud takovou zprávu neodešle váš operátor, ale zneužije ji kyberzločinec, pravděpodobně vás nečeká nic dobrého.

Tyto zprávy totiž umožňují i mnoho jiných nastavení, včetně domovské stránky prohlížeče, oblíbených odkazů, nastavení připojení pomocí proxy. Zejména posledně jmenované nastavení představuje riziko, protože útočníkovi umožňuje přesměrovat veškerý váš datový provoz přes zařízení pod jeho kontrolou, což mu umožní „číst“ veškerou vaši komunikaci, která není šifrovaná.

I pokud komunikace šifrována je, získává útočník alespoň cenná metadata o spojení. Obrana? Pokud dorazí konfigurační zpráva kterou nečekáte, neaplikujte nastavení v ní uvedená. Leda po potvrzení legitimity této zprávy (ověříte na callcentru operátora).

(Zdroj: The Hacker News)

Tato zprávička byla zaslána čtenářem serveru Root.cz pomocí formuláře Přidat zprávičku. Děkujeme!

Našli jste v článku chybu?
  • Aktualita je stará, nové názory již nelze přidávat.
  • 5. 9. 2019 21:16

    Ondřej Novák

    Že to doposud nikoho nenapadlo? A přitom chytré SMS jsou s námi docela dlouho a já už tehdy si říkal, jak je to asi zabezpečené a jestli mohu poslat takovou SMS někomu jinému. Obecně jsem se domníval, že taková SMS neprojde přes SMS centrum operátora

  • 6. 9. 2019 8:17

    Trupik

    Taky jsem netušil že se dá poslat konfigurační SMS i odjinud než od operátora...

    A nejde v telefonu někde nastavit aby tyhle konfigurační zprávy ignoroval?

  • 9. 9. 2019 16:15

    Jaroslav Kodet
    Zlatý podporovatel

    Pravděpodobně by bylo možno "nějak" zařídit aby OMA CP zprávy byly blokovány, ale globální zákaz by znemožnil i jejich legitimní použití. Ochrana by musela být ve stylu "ignoruj OMA CP pokud skutečně nepřišla od mého operátora". To ovšem nepokryje technicky pokročilého útočníka, který má k dispozici vlastní mobilní vysílač. Takový útočník se totiž může úspěšně vydávat za kohokoli.

  • 9. 9. 2019 16:03

    Jaroslav Kodet
    Zlatý podporovatel

    Možná napadlo, jen se o úspěšných útocích nikde nepsalo. Naprosto chápu operátory i výrobce, že takovouto kompromitaci usilovně tajili. Důvod je naprosto stejný jako proč banky tají jakékoli prolomení systému platebních karet, a raději poškozené štědře odškodní.
    Využití této zranitelnosti není úplně triviální, ale podle popisu postupu v odkazovaném článku by to mohl zvládnout i nezletilec.

Byl pro vás článek přínosný?

Autor zprávičky