5 cose che non sapevate sulla sicurezza del login via SMS

L'autenticazione a due fattori (2FA) è una misura di sicurezza essenziale per qualsiasi servizio a cui si accede. Per l'autenticazione degli accessi e delle transazioni sulle app mobili, l'uso degli SMS per verificare i numeri di telefono è diventato la norma.
‍

Con questo metodo, al numero di telefono previsto dell'utente viene inviato un messaggio di testo con una OTP (one-time password); se l'utente inserisce la OTP corretta nell'app, si presume che sia il proprietario del telefono.
‍

Ma se la vostra applicazione mobile utilizza gli SMS OTP per verificare i vostri utenti, ci sono alcuni elementi essenziali di sicurezza che dovete conoscere su come funziona questo sistema dietro le quinte. Continuate a leggere...

‍

1. I messaggi SMS non sono criptati

Quando si trasmettono online informazioni sicure, come le password, i dati vengono solitamente crittografati, ossia trasformati dalla loro forma originale ("testo in chiaro") in una forma codificata ("testo cifrato") a cui possono accedere solo le parti autorizzate.
‍

Gli SMS, tuttavia, si basano sul Signalling System 7, un protocollo per la comunicazione machine-to-machine del 1975, che non è stato progettato pensando all'intervento umano. Ciò significa che chiunque sia in grado di accedere a una rete può vedere i messaggi SMS, comprese le informazioni sensibili come i codici 2FA, in chiaro.

‍

2. I messaggi SMS potrebbero non essere mai inviati‍

Gli SMSC (Centri SMS) funzionano con la tecnica "store-and-forward". Ricevono il messaggio dal mittente, lo salvano e poi tentano di inoltrarne una copia al destinatario con il massimo sforzo (per saperne di più qui).
‍

Oltre agli ovvi problemi di sicurezza quando si tratta di informazioni sensibili come i codici di reimpostazione della password, questo significa anche che in alcuni casi il messaggio non arriva mai, motivo per cui è ancora necessaria l'opzione "reinvia codice".

3. I truffatori possono falsificare l'identità della vostra azienda‍

Vi sarà capitato di ricevere all'improvviso un messaggio SMS il cui mittente è indicato come la vostra banca, l'ufficio postale o la farmacia, nonostante non abbiate salvato i dati di quella società sul vostro telefono. Questo è possibile perché la maggior parte degli operatori di rete mobile supporta l'uso di mittenti alfanumerici come origine degli SMS. Ciò ha un'origine legittima: è conveniente per un'azienda identificarsi quando invia in massa informazioni importanti agli utenti, poiché i clienti potrebbero ignorare un numero di telefono casuale.
‍

Purtroppo, come spesso accade, questa tecnologia è stata utilizzata da criminali per mascherarsi da azienda e rubare informazioni. Poiché i controlli sono pochi, è possibile ricevere un SMS che afferma di provenire da un mittente senza alcuna associazione reale. Gli aggressori si spacciano per banche e aziende, cercando di indurre gli utenti a seguire un link dannoso o a rispondere con informazioni personali o finanziarie.
‍

4. Le frodi per lo scambio di SIM aggirano completamente gli SMS 2FA‍

La buona notizia è che la probabilità che un aggressore si introduca nella rete SS7 per trovare le informazioni 2FA è piuttosto bassa. Purtroppo, però, sono in costante aumento i casi di frode con scambio di SIM, un modo più sofisticato per rubare queste informazioni.
‍

In un attacco di SIM swapping, il truffatore corromperà un dipendente della telco o utilizzerà l'ingegneria sociale per assumere l'identità dell'obiettivo, dicendo che ha perso il telefono e vuole passare a una nuova scheda SIM.
‍

Ciò significa che tutti i messaggi e le chiamate destinati al numero di telefono dell'obiettivo vengono dirottati verso l'aggressore, che poi attiva rapidamente la sicurezza basata sugli SMS per penetrare nei conti finanziari e reimpostare le password prima che la vittima possa intervenire.

‍

5. Non è più necessario utilizzare gli SMS per l'autenticazione mobile.

È chiaro che affidarsi ai codici, soprattutto attraverso un metodo poco sicuro come gli SMS, è un errore. Ma altri metodi, come l'autenticazione biometrica e hardware o il download di applicazioni esterne, non sono universali: non si può pretendere che tutti gli utenti li adottino.
‍

Per fortuna, ora esiste un metodo di autenticazione mobile che offre tutte le comodità degli SMS senza alcun problema di sicurezza o di UX.
‍

Con una soluzione IDlayr, l'unica cosa che serve all'utente è l'autorizzazione a elaborare il suo numero di telefono. È semplicissimo: l'utente inserisce solo il proprio numero di cellulare e l'app comunica istantaneamente con l'MNO (operatore di rete mobile) per verificare che il numero sia quello collegato a quella SIM. Si tratta di un'autenticazione invisibile e priva di attriti, che sembra una magia per l'utente e che può anche attenuare le frodi legate allo scambio di SIM.