Специалисты выявили новый способ обхода двухфакторной аутентификации с помощью подбора одноразовых кодов из смс. Об этом пишут «Ведомости».

По данным специалистов, злоумышленники могут использовать автоматизированных ботов, которые массово запрашивают смс-коды и одновременно пытаются подобрать одноразовый пароль для входа в аккаунт. Если атака оказывается успешной, мошенники могут получить доступ к личным данным пользователя, в том числе к платежной информации.

Новый способ выявили при анализе атаки типа смс-бомбинга. Обычно при такой схеме человеку отправляют большое количество сообщений с кодами подтверждения, однако теперь боты могут не только создавать поток смс, но и использовать его для попыток входа в учетные записи. По оценке экспертов, больше всего рискуют сервисы, где используются короткие коды подтверждения. Среди них банки, маркетплейсы, сервисы такси, доставки и каршеринга.

Для защиты специалисты рекомендуют использовать более длинные одноразовые коды, ограничивать число попыток их ввода и внедрять антибот-защиту. Также сервисам советуют по возможности переходить с смс-кодов на push-уведомления или приложения-аутентификаторы.