L'ENORME problema dell'identità e del login da mobile - Numeri riciclati

L'utilizzo di un numero di cellulare come credenziale di identità sembra naturale nel mondo di oggi, incentrato sui dispositivi mobili e sulle app, e dovrebbe esserlo. Ma sotto la comodità si nasconde un rischio serio.

Quando i numeri di cellulare vengono utilizzati senza essere collegati in modo sicuro alla carta SIM sottostante, si creano gravi lacune nella sicurezza. Gli operatori di rete mobile (MNO) riciclano abitualmente i numeri di cellulare inattivi e li riemettono, con una nuova carta SIM, a nuovi utenti. Questo processo può avvenire rapidamente, a volte nel giro di poche settimane. 

Il rischio è che il nuovo proprietario del numero di cellulare abbia accesso a tutti i servizi online. account creati dal precedente proprietario, in cui il numero di cellulare è stato utilizzato per l'accesso. Tra gli esempi vi sono gli account dei social media, i conti bancari, le cartelle cliniche e gli account di e-commerce.

Il risultato? Acquisizioni accidentali di account, frodi e danni alla reputazione delle aziende coinvolte.

È un grosso rischio, ma c'è una soluzione semplice: collegare il numero di cellulare alla carta SIM stessa. Ma per capire perché è fondamentale, vediamo innanzitutto come avvengono i numeri riciclati e perché sono diventati una minaccia così persistente per la sicurezza.

Perché i numeri vengono riciclati

La domanda globale di numeri di cellulare continua a crescere, ma il pool di numeri disponibili è limitato. Per tenere il passo, gli MNO riciclano abitualmente i numeri inattivi. A seconda del mercato, questo può avvenire in una settimana. Un numero che una volta era collegato a un conto bancario, a un profilo di social media o a un'applicazione medica potrebbe essere inavvertitamente riassegnato a un nuovo cliente.

• Negli Stati Uniti, ogni anno vengono riciclati circa 35 milioni di numeri di telefono, a causa della limitatezza dei numeri assegnabili. 
• Nel Regno Unito, i provider di telefonia mobile riciclano i numeri in genere entro 70-180 giorni. 
• A studio di 259 numeri riciclati hanno riscontrato che 215 sono stati effettivamente riciclati e sono rimasti vulnerabili allo sfruttamento

Il rischio per la sicurezza

Quando i numeri di cellulare vengono utilizzati come identificatori digitali per gli account online, i numeri riciclati - quelli riassegnati a nuovi utenti dopo la disconnessione - possono creare seri rischi per la sicurezza e la privacy. Un nuovo proprietario può inconsapevolmente accedere agli account del precedente proprietario attraverso la reimpostazione della password, i codici di autenticazione a due fattori o i servizi collegati ancora a quel numero. Questo può portare all'acquisizione di account, all'esposizione di dati e persino a frodi finanziarie.

• Acquisizione del conto: La reimpostazione della password e i messaggi SMS 2FA vengono recapitati alla persona sbagliata.
• Dirottamento della messaggistica: Servizi come WhatsApp o Telegram possono essere rivendicati dal nuovo proprietario.
• Concatenamento delle frodi: Una volta all'interno di un account, gli aggressori possono cambiare e tentare di ottenere l'accesso a conti bancari, portafogli digitali e altri servizi collegati.

Non sono solo gli utenti a rischiare. I marchi che si affidano agli SMS OTP o al recupero dei numeri di cellulare si espongono a danni di reputazione quando i numeri riciclati aprono la porta alle frodi.

Perché l'SMS OTP peggiora le cose

SMS one-time password (OTP) sono problematici in questo contesto perché si basano sul numero di telefono piuttosto che sulla proprietà verificata della SIM o del dispositivo. Quando un numero viene riciclato o trasferito, gli SMS OTP possono essere inviati a un nuovo utente che ora controlla quel numero, consentendogli di accedere involontariamente agli account di qualcun altro. Inoltre, i messaggi SMS possono essere intercettati attraverso attacchi di SIM swap o exploit a livello di rete, rendendoli vulnerabili alle frodi. In breve, l'OTP via SMS presuppone che la persona in possesso del numero sia il legittimo proprietario dell'account, il che viene meno quando i numeri vengono riassegnati o compromessi.

Il modo migliore: Autenticazione basata su SIM

La soluzione non è abbandonare i numeri di cellulare - sono troppo importanti - ma piuttosto verificarli correttamente. 

Ogni numero di cellulare (chiamato MSISDN) è legato a una carta SIM (fisica o eSIM). Ogni carta SIM ha un identificatore fisico (l'ICCID) e un numero che viene assegnato alla SIM dall'MNO quando assegna un numero mobile a quella carta SIM e la rilascia a un utente. Questo numero è chiamato IMSI (International Mobile Subscriber Identity). È la combinazione del numero di cellulare e dell'identità della SIM che deve essere verificata quando si utilizza il cellulare come credenziale di identità.

Se il vostro metodo di verifica si limita a controllare il numero di cellulare (come fa l'SMS OTP) e non la carta SIM, rischiate che quando il numero di cellulare viene riciclato non lo sappiate e rischiate di esporre i dati dell'utente, le PII e di consentire l'accesso non autorizzato all'account.

Verificando non solo il numero di cellulare, ma anche la carta SIM, è possibile garantire che la SIM attualmente collegata a quel numero sia legittima, attiva e corrisponda all'identità digitale stabilita dell'utente. Se il numero è stato riciclato o la SIM è cambiata, il sistema è in grado di rilevare la mancata corrispondenza e di attivare un processo di nuova verifica prima di concedere l'accesso. Da legando insieme il numero, la SIM e l'identità verificata, le piattaforme possono mantenere un legame fiduciario “vivo” che si interrompe automaticamente quando il numero viene riassegnato, eliminando il rischio che i vecchi conti siano esposti ai nuovi titolari del numero.

Costruire una base di fiducia con la Mobile Identity

I numeri riciclati sono solo un esempio di come gli approcci tradizionali, come gli SMS OTP, non siano più in grado di proteggere i servizi digitali. Il futuro è nell'identità mobile deterministica e in tempo reale: verificare i numeri di cellulare in modo sicuro con l'MNO in tempo reale, legare i numeri alle SIM ed eliminare l'uomo dal modello di sicurezza. 

Questo cambiamento non solo riduce le frodi, ma offre anche un'esperienza senza attriti che gli utenti si aspettano e crea una solida base di fiducia su cui costruire un'identità online completa.

Scoprite di più su come IDlayr può aiutarvi Risolvere il rischio di numero riciclato.