Хабрахабр

Взлом вк, двухфакторная аутентификация не спасет

Недавно я ужаснулся от того, как просто можно получить доступ к странице пользователя, зная только номер телефона, на который зарегистрирована страница жертвы. Стоимость взлома ~1000-1500 рублей, время взлома ~30 минут. Единственное условие — недобросовестный оператор мобильной связи?

Все материалы и методы, изложенные ниже, представлены исключительно в ознакомительных и экспериментаторских целях. Предупреждение. Будьте осторожны и экспериментируйте только со своими или тестовыми аккаунтами! Напоминаем, что взлом персональных страниц пользователей и сбор данных незаконным путём преследуется законодательством РФ (в частности УК РФ).

Приступим сразу к делу.

Скажем так, большинство сотрудников данных сетей не сильно беспокоятся о конфеденциальности данных покупателей и очень здорово торгуют этой информацией в даркнете. Если вы когда-нибудь оставляли свои паспортные данные в каких-нибудь крупных салонах сотовой связи и ваш мобильный оператор не очень добросовестный, то вы подвержены данному способу взлома. Вобщем, это оказалось очень просто — найти человека, который пробьет вам паспортные данные по номеру телефона пользователя. (Да что уж там, получить список транзакций по карте стоит всего лишь 2000 рублей...). Стоимость получения данной информации как раз укладывается в ценник ~500-1000 рублей. В моем случае в базе данных крупного салона связи оказались как мои данные, так и данные моей мамы и даже бабушки. Способы оплаты везде разные, кто-то принимает только биткоины, кто-то не стесняется указать свою карту в телеграме. Возможно это выглядит достаточно муторно и проблемно, но по факту это занимает не более получаса и вряд ли вас кто-то будет после искать и найдет. Лично у меня нет комментариев по данному поводу. К слову сказать, достаточно часто встречающееся явление, когда злоумышленник не боится указывать номер своей (или не своей?) карты, ибо, например, деньги с карты на карту уводят досточно беспроблемно и после предъявить обвинение держателю карты, куда были переведены деньги, практически невозможно.

Нет, фотошопить фотографию с лицом пользователя, где он держит его перед камерой, мы не будем. Итак, мы получили скан паспорта пользователя. Регистрируем фейковую страницу ВКонтакте на левый номер телефона, врубаем VPN и пишем в официальное сообщество оператора мобильной связи жертвы сообщение примерно следующего содержания: Мы пойдем к мобильным операторам, которые с радостью подставят жертву.

Нам требуется установить переадресацию всех звонков на новый номер телефона. «Добрый день. Что от меня нужно для совершения данной операции?»
И что же дальше? Доступа к самому телефону не имею. Здорово, не правда ли? У вас спросят номер телефона жертвы, новый номер телефона, куда требуется переадресовать все звонки и паспортные данные для «подтверждения вашей личности и владения номером телефона». Сообщаете всю информацию и все, дело в шляпе — переадресация включена и, что самое удивительное, — жертва не мгновенно оказывается уведомленной о подключении переадресации. Достаточно просто купить новую симку на вокзале за 300 рублей, либо купить виртуальную симкарту где-нибудь в сети и не париться.

Сначала уведомление вообще не пришло, прошел час — пришло целых 2 раза:

К тому же, если проделывать это все в 4 часа утра, то вряд ли жертва проснется от смс оператора и успеет что либо сделать вовремя. Попробовал подключить услугу на другом номере телефона данного оператора — уведомление приходит спустя 2-3 минуты, что достаточно для совершения дальнейших действий по получению доступа к странице.

Вообщем плохо, если лично у вас такой оператор:

Хорошо, если такой:

Итак, теперь идем ВКонтакте и начинаем взламывать:

Начинаем восстанавливать пароль:

На данном этапе наша жертва получает смс о том, что кто-то пытается сменить пароль на странице:

Что вот лично вы успетеете сделать за 2 минуты? Но только вот, что с того? переадресация работает только на звонки. Смс мы не перехватим, т.к. Нажимаем «Выслать код повторно» и видим следующее окно: Но нам это и не интересно.

Ага, пусть робот сделает звонок и оператор переадресует его на на наш номер телефона и сообщит нам код для смены пароля. Поняли, что мы дальше сделаем? Итак, звоним:

Робот звонит на наш левый номер телефона, сообщает код и после мы просто берем и меняем пароль:

Скорее всего паникующая жертва скоро сменит пароль и тогда данное действие можно будет повторить снова и у хакера есть всего лишь 2-3 минуты в запасе. Все, доступ к странице получен. Но нет никаких проблем запустить скрипт дампа страницы, который сохранит всю историю переписок, все фотографии и все, что только душе угодно за пару секунд.

Показать больше

Похожие публикации

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»