Функцията за смяна на номер във Viber позволява да се открадне чужда самоличност

Click here to read this article in English.

Преди няколко дни изпробвах новата функция на Viber „Смяна на телефонен номер“, която ви позволява да запазите стария акаунт, ако сменяте мобилния си номер. Оказа се, че тази функция може да се използва и за да откраднете чужда самоличност и да се представяте за нея в приложението.

„Смяна на телефонен номер“ се използва, за да запазите чатовете и списъците с контакти във Viber, когато сменяте телефонния си номер. Процедурата е сравнително лесна: въвеждате в приложението новия си телефонен номер и Viber вече асоциира акаунта ви с него, а не със стария номер.

Какво обаче се случва, ако вместо вашия нов номер въведете телефонния номер на съществуващ абонат?

Точно това направих аз, когато тествах „Смяна на телефонен номер“. Отворих приложението и смених моя номер (0888ХХХХХХ) с номер на съществуващ мобилен абонат(0876ХХХХХХ). Viber ми даде съобщение, че вече ме свързва с номер 0876ХХХХХХ. След това направих още една смяна и върнах моя телефонен номер, за да може Viber отново да ме асоциира с 0888ХХХХХХ. И реших, че с това казусът е приключен.

Обаче започнах да получавам във Viber съобщения и обаждания, които очевидно не бяха за мен, а за другия абонат с номер 0876ХХХХХХ. Хората от другата страна на линията си мислеха, че изпращат през Viber съобщения до абоант 0876ХХХХХХ. Но тези съобщения ги получавах аз. А абонат 0876ХХХХХХ дори нямаше инсталиран Viber на телефона си.

Оказа се, че със смяна на телефонния номер в настройките на Viber мога да се представям за друг човек и да комуникирам с неговите приятели, без те да разберат.

Направих малко проучване и ето какво мисля, че се е случило. Потребителите на Viber, които познават абонат 0876ХХХХХХ, са получили известие, че той си е сменил номера с 0888ХХХХХХ. Те са запаметили новия номер, който пък се синхронизира с Viber. Така в техните Viber акаунти моят номер (0888ХХХХХХ) излиза под името на абонат 0876ХХХХХХ.

Пак напомням, че абонат 0876ХХХХХХ въобще няма инсталиран Viber. Аз обаче имам и останалите потребители си мислят, че аз съм абоант 0876ХХХХХХ.

Защо това е опасно? Защото създава възможност за влизане в ролята на друг човек. Основна част от комуникацията във Viber е чрез текстови съобщения. Използвайки този трик, някой може да се представя за друг човек и да общува с познаните му, без да бъде разкрит.

Тази уязвимост може сравнително лесно да бъде използвана като вектор за атака. Ето теоретична постанвока как може да протече атаката.

1.Стефан няма Viber на мобилния си телефон. Аз искам да се представям за Стефан във Viber.

2.Отварям си Viber, избирам „Смяна на телефонен номер“ и въвеждам телфонния номер на Стефан.

3.Viber изпраща код за потвърждение на номера на Стефан. Разбирам какъв е кодът (трябва да имам достъп до телефона му или просто се обаждам на Стефан и го моля да ми го продиктува) и го въвеждам. Viber вече ме идентифицира с телфонния номер на Стефан.

4.Отново влизам в „Смяна на телефонен номер“ и този път въвеждам моя си телефон номер. Viber ми изпраща код за потвърждение и отново ме свързва с моя си телфонен номер, а не с този на Стефан.

5.Когато правя първата смяна, приятелите на Стефан, които използват Viber, получават известие, че си е сменил номера и запаметяват новия му номер, който всъщност е моят номер. Сега те си мислят, че Стефан използва Viber, но всъщност това съм аз.

6. Приятелите на Стефан му пишат съобщения във Viber. Познайте кой ги получава.

Тази атака е напълно реалистична, доколкото аз успях да я осъществя, макар и случайно. След като подмяната на самоличности е факт, тя може да остане незабелязана дълго време, особено ако двете страни в разговора не се виждат наживо и не общуват по друг начин (телефон, Facebook и т.н.) Жертвата няма как да разбере, защото не използва Viber и въобще няма идея какво се е случило.

4 коментара

  1. qwerty каза:

    Не ти ли прати „пин-код“ чрез смс за оторизация?

    • Questo каза:

      Прати ми, и двата пъти. При първата смяна – когато смених моя номер с чужд, SMS-ът беше изпратен на телефона на другия абонат. Обадих му се и го помолих да ми го продиктува, а после го въведох в моя Viber и приложението го прие. При втората смяна – когато смених чуждия номер с моя – Viber пак ми прати SMS, вече на моя си номер, и съответно го получих на моя телефон.

  2. qwerty каза:

    с 2 думи малко трудно ще стане да „хакнеш“ който и да е без СМС-то…. Не вярвам, че ще ми звънне непознат номер и някой ще поиска 6-те цифрички от преди малко полученото съобщение.
    поздрави за интересния сайт 🙂

    • Questo каза:

      Така е, от непознат човек трудно ще измъкнеш SMS по телефона. Но ако примерно си остави телефона някъде и ти имаш достъп до него, можеш да видиш кода и после да изтриеш SMS-а, за да не го види собственика. Има и други условия, които трябва да са изпълнени – например ако този човек вече има Viber акаунт трикът едва ли ще проработи. Все пак за мен това е слабост в приложението, която трябва да се изчисти.

Оставете коментар