Функцията за смяна на номер във Viber позволява да се открадне чужда самоличност

Обновена на 12 юни 2018, добавено е опровержение от Viber

Преди няколко дни изпробвах новата функция на Viber „Смяна на телефонен номер“, която ви позволява да запазите стария акаунт, ако сменяте мобилния си номер. Оказа се, че тази функция може да се използва и за да откраднете чужда самоличност и да се представяте за нея в приложението.

„Смяна на телефонен номер“ се използва, за да запазите чатовете и списъците с контакти във Viber, когато сменяте телефонния си номер. Процедурата е сравнително лесна: въвеждате в приложението новия си телефонен номер и Viber вече асоциира акаунта ви с него, а не със стария номер.

Какво обаче се случва, ако вместо вашия нов номер въведете телефонния номер на съществуващ абонат?

Точно това направих аз, когато тествах „Смяна на телефонен номер“. Отворих приложението и смених моя номер (0888ХХХХХХ) с номер на съществуващ мобилен абонат(0876ХХХХХХ). Viber ми даде съобщение, че вече ме свързва с номер 0876ХХХХХХ. След това направих още една смяна и върнах моя телефонен номер, за да може Viber отново да ме асоциира с 0888ХХХХХХ. И реших, че с това казусът е приключен.

Обаче започнах да получавам във Viber съобщения и обаждания, които очевидно не бяха за мен, а за другия абонат с номер 0876ХХХХХХ. Хората от другата страна на линията си мислеха, че изпращат през Viber съобщения до абоант 0876ХХХХХХ. Но тези съобщения ги получавах аз. А абонат 0876ХХХХХХ дори нямаше инсталиран Viber на телефона си.

Оказа се, че със смяна на телефонния номер в настройките на Viber мога да се представям за друг човек и да комуникирам с неговите приятели, без те да разберат.

Направих малко проучване и ето какво мисля, че се е случило. Потребителите на Viber, които познават абонат 0876ХХХХХХ, са получили известие, че той си е сменил номера с 0888ХХХХХХ. Те са запаметили новия номер, който пък се синхронизира с Viber. Така в техните Viber акаунти моят номер (0888ХХХХХХ) излиза под името на абонат 0876ХХХХХХ.

Пак напомням, че абонат 0876ХХХХХХ въобще няма инсталиран Viber. Аз обаче имам и останалите потребители си мислят, че аз съм абоант 0876ХХХХХХ.

Защо това е опасно? Защото създава възможност за влизане в ролята на друг човек. Основна част от комуникацията във Viber е чрез текстови съобщения. Използвайки този трик, някой може да се представя за друг човек и да общува с познаните му, без да бъде разкрит.

Тази уязвимост може сравнително лесно да бъде използвана като вектор за атака. Ето теоретична постанвока как може да протече атаката.

1.Стефан няма Viber на мобилния си телефон. Аз искам да се представям за Стефан във Viber.

2.Отварям си Viber, избирам „Смяна на телефонен номер“ и въвеждам телфонния номер на Стефан.

3.Viber изпраща код за потвърждение на номера на Стефан. Разбирам какъв е кодът (трябва да имам достъп до телефона му или просто се обаждам на Стефан и го моля да ми го продиктува) и го въвеждам. Viber вече ме идентифицира с телфонния номер на Стефан.

4.Отново влизам в „Смяна на телефонен номер“ и този път въвеждам моя си телефон номер. Viber ми изпраща код за потвърждение и отново ме свързва с моя си телфонен номер, а не с този на Стефан.

5.Когато правя първата смяна, приятелите на Стефан, които използват Viber, получават известие, че си е сменил номера и запаметяват новия му номер, който всъщност е моят номер. Сега те си мислят, че Стефан използва Viber, но всъщност това съм аз.

6. Приятелите на Стефан му пишат съобщения във Viber. Познайте кой ги получава.

Тази атака е напълно реалистична, доколкото аз успях да я осъществя, макар и случайно. След като подмяната на самоличности е факт, тя може да остане незабелязана дълго време, особено ако двете страни в разговора не се виждат наживо и не общуват по друг начин (телефон, Facebook и т.н.) Жертвата няма как да разбере, защото не използва Viber и въобще няма идея какво се е случило.

Опровержение от Viber

От Viber изпратиха опровержение на горната постановка. „Сценарият, описан във вашата статия, е невъзможен и нереалистичен, доколкото не може да бъде приложен и изпълнен в рамките на функцията „Промяна на телефонния номер“ във Viber, най-вече заради процедура за верификация, част от процеса –  посочват от компанията. – С една дума, потребител, който желае да промени телефонния си номер, е длъжен да въведе 6-цифрен код, получен като SMS на устройството, което работи с този номер. Този процес на верификация гарантира, че потребителят е ползвател на номера и има достъп до телекомуникационната услуга, идентифицирана чрез новия мобилен номер, който заменя съществуващия, което прави решението на Viber напълно надеждно и сигурно. Tази методология се използва, за да се премахнат всички възможни рискове от измами с идентичност в приложението.“

„Основен приоритет на Viber е да пази личната информация, достъпна само за потребители и да предотвратява опити за кражба на самоличност, и подобни нарушения, свързани с личните данни“, коментират още от Viber.

20 коментара

  1. qwerty каза:

    Не ти ли прати „пин-код“ чрез смс за оторизация?

    • Questo каза:

      Прати ми, и двата пъти. При първата смяна – когато смених моя номер с чужд, SMS-ът беше изпратен на телефона на другия абонат. Обадих му се и го помолих да ми го продиктува, а после го въведох в моя Viber и приложението го прие. При втората смяна – когато смених чуждия номер с моя – Viber пак ми прати SMS, вече на моя си номер, и съответно го получих на моя телефон.

  2. qwerty каза:

    с 2 думи малко трудно ще стане да „хакнеш“ който и да е без СМС-то…. Не вярвам, че ще ми звънне непознат номер и някой ще поиска 6-те цифрички от преди малко полученото съобщение.
    поздрави за интересния сайт 🙂

    • Questo каза:

      Така е, от непознат човек трудно ще измъкнеш SMS по телефона. Но ако примерно си остави телефона някъде и ти имаш достъп до него, можеш да видиш кода и после да изтриеш SMS-а, за да не го види собственика. Има и други условия, които трябва да са изпълнени – например ако този човек вече има Viber акаунт трикът едва ли ще проработи. Все пак за мен това е слабост в приложението, която трябва да се изчисти.

  3. Емилия каза:

    Здравейте,
    интересува ме – как може човек да си е оставил телефона в къщи, да не е в града и в същото време да си влиза във вайбъра…???

    • Questo каза:

      ЗДравейте, вече и на мен ми е трудно да следя темата за онлайн статуса във Viber, но ето каква беше ситуацията преди. Viber е направен така, че винаги работи на заден план в телефона, дори и да не го използвате. Затова е възможно да се показва статус Online, дори и приложението да не е отворено. Наскоро в документацията на сайта на Viber добавиха уточнението, че ако не ползвате приложението, ще се вижда статус Last Seen. Кое от двете е вярно не мога да кажа със сигурност, за повече информация може да попитате съпорт центъра на Viber: https://support.viber.com/customer/portal/emails/new

    • Atila каза:

      Ako telefona e ostaven, i se poluchat sobshtenia ili prozvanyavane, viber dava che abonata e bil online, no tova ne e taka.

  4. Оги каза:

    Здр.имам следния въпрос смених си тел.номер със друг от един оператор са,сменям си новия номер във вайбър до тук добре.Какво става със със стария ми номер и той ли ще получава кореспонденцията и контактите ми,ако да какво трябва да направя за да ги огранича(спря)
    Мерси предварително

    • Questo каза:

      Здравейте, логиката предполага, че старият Viber акаунт се деактивира автоматично, като чат историята и контактите се прехвърлят автоматично на новия акаунт. Което би трябвало да означава, че който и да използва стария в ителефонен номер занапред, няма да вижда каквато и да е информация, свързана със стария ви аакаунт. Но все пак аз не съм служител на Viber, така че за по-пълна информация можете да се обърнете към такъв тук: https://support.viber.com/customer/portal/emails/new

  5. ГОСТ каза:

    Не разбирам. Всичко това означава ли, че телефона ми може да отговаря на един номер, а вайбъра да получава съобщения от друг номер–който съм сменил?)
    Тогава в контакт листа на приятелите ми (ако са запазили и двата номера) кой номер ще бъде активен?

    • Questo каза:

      Ако си смените номера от 0899123456 на 0898654321, приятелите ви във Viber получават известие за това. Също така приложението ги подканва да си запишат новия ви номер. Тези от тях, които го направят, вече ще ви изпращат съобщения на 0898654321. Ако междувременно се върнете към стария си номер, няма да получавате тези съобщения.

  6. 7Юлиян каза:

    Как да разбера кода ако телефона нее при мен има ли някаква друга възможност

  7. Юлиян каза:

    Как да разбера кода на Вайбър ако телефона нее при мен

    • Questo каза:

      Viber изпраща кода на телефона ви, а не примерно на имейл, като защитна мярка – за да не може друг човек да се представя за вас в приложението.

  8. Ко каза:

    Наскоро моя Viber беше следен от гаджето ми вярвате ли ,че кучето мръсно не знам как ме е прецакал защото не съм получил никакви кодове има друг начин и далеч не е това със 6 цифрения код.

  9. Ко каза:

    Никой не ме е молил за код и за каквото и да било.А знаеше какво сме си писали и майтап или с мой познат .

    • Росица каза:

      Веднага отговарям. Клонирала ти е вайбъра. Инсталира вайбър на др.устройство, напр.таблет. После пише твоя номер, пращат ти смс на теб и вайбър подканя да сканира кода от твоя тел. Просто е.

  10. Гого каза:

    Аз искам да взема на номера на моя съученичка, има ли шанс да ме разкрият?

    • Questo каза:

      Гошко, вместо да се занимаваш с глупости й поискай номера направо от нея и я заведи на кино.

  11. Калинка Малинка каза:

    На мен ми се случи същото, само , че и двете карти са мой!Така нищо че сменям картите на тел и едната всъщност е изключена , познатите ми пращат съобщения има аз нямам инсталиран вайбър на тази карта! А на всички излиза , че вайбъра ми е с два номера!Това е много нелепа ситуация и накрая го триеш, естествено!

Оставете коментар

Коментарите в този блог са публични. Ако не желаете истинското ви име да бъде публикувано, използвайте псевдоним.