Функцията за смяна на номер във Viber позволява да се открадне чужда самоличност

Обновена на 12 юни 2018, добавено е опровержение от Viber

Преди няколко дни изпробвах новата функция на Viber „Смяна на телефонен номер“, която ви позволява да запазите стария акаунт, ако сменяте мобилния си номер. Оказа се, че тази функция може да се използва и за да откраднете чужда самоличност и да се представяте за нея в приложението.

„Смяна на телефонен номер“ се използва, за да запазите чатовете и списъците с контакти във Viber, когато сменяте телефонния си номер. Процедурата е сравнително лесна: въвеждате в приложението новия си телефонен номер и Viber вече асоциира акаунта ви с него, а не със стария номер.

Какво обаче се случва, ако вместо вашия нов номер въведете телефонния номер на съществуващ абонат?

Точно това направих аз, когато тествах „Смяна на телефонен номер“. Отворих приложението и смених моя номер (0888ХХХХХХ) с номер на съществуващ мобилен абонат(0876ХХХХХХ). Viber ми даде съобщение, че вече ме свързва с номер 0876ХХХХХХ. След това направих още една смяна и върнах моя телефонен номер, за да може Viber отново да ме асоциира с 0888ХХХХХХ. И реших, че с това казусът е приключен.

Обаче започнах да получавам във Viber съобщения и обаждания, които очевидно не бяха за мен, а за другия абонат с номер 0876ХХХХХХ. Хората от другата страна на линията си мислеха, че изпращат през Viber съобщения до абоант 0876ХХХХХХ. Но тези съобщения ги получавах аз. А абонат 0876ХХХХХХ дори нямаше инсталиран Viber на телефона си.

Оказа се, че със смяна на телефонния номер в настройките на Viber мога да се представям за друг човек и да комуникирам с неговите приятели, без те да разберат.

Направих малко проучване и ето какво мисля, че се е случило. Потребителите на Viber, които познават абонат 0876ХХХХХХ, са получили известие, че той си е сменил номера с 0888ХХХХХХ. Те са запаметили новия номер, който пък се синхронизира с Viber. Така в техните Viber акаунти моят номер (0888ХХХХХХ) излиза под името на абонат 0876ХХХХХХ.

Пак напомням, че абонат 0876ХХХХХХ въобще няма инсталиран Viber. Аз обаче имам и останалите потребители си мислят, че аз съм абоант 0876ХХХХХХ.

Защо това е опасно? Защото създава възможност за влизане в ролята на друг човек. Основна част от комуникацията във Viber е чрез текстови съобщения. Използвайки този трик, някой може да се представя за друг човек и да общува с познаните му, без да бъде разкрит.

Тази уязвимост може сравнително лесно да бъде използвана като вектор за атака. Ето теоретична постанвока как може да протече атаката.

1.Стефан няма Viber на мобилния си телефон. Аз искам да се представям за Стефан във Viber.

2.Отварям си Viber, избирам „Смяна на телефонен номер“ и въвеждам телфонния номер на Стефан.

3.Viber изпраща код за потвърждение на номера на Стефан. Разбирам какъв е кодът (трябва да имам достъп до телефона му или просто се обаждам на Стефан и го моля да ми го продиктува) и го въвеждам. Viber вече ме идентифицира с телфонния номер на Стефан.

4.Отново влизам в „Смяна на телефонен номер“ и този път въвеждам моя си телефон номер. Viber ми изпраща код за потвърждение и отново ме свързва с моя си телфонен номер, а не с този на Стефан.

5.Когато правя първата смяна, приятелите на Стефан, които използват Viber, получават известие, че си е сменил номера и запаметяват новия му номер, който всъщност е моят номер. Сега те си мислят, че Стефан използва Viber, но всъщност това съм аз.

6. Приятелите на Стефан му пишат съобщения във Viber. Познайте кой ги получава.

Тази атака е напълно реалистична, доколкото аз успях да я осъществя, макар и случайно. След като подмяната на самоличности е факт, тя може да остане незабелязана дълго време, особено ако двете страни в разговора не се виждат наживо и не общуват по друг начин (телефон, Facebook и т.н.) Жертвата няма как да разбере, защото не използва Viber и въобще няма идея какво се е случило.

Опровержение от Viber

От Viber изпратиха опровержение на горната постановка. „Сценарият, описан във вашата статия, е невъзможен и нереалистичен, доколкото не може да бъде приложен и изпълнен в рамките на функцията „Промяна на телефонния номер“ във Viber, най-вече заради процедура за верификация, част от процеса –  посочват от компанията. – С една дума, потребител, който желае да промени телефонния си номер, е длъжен да въведе 6-цифрен код, получен като SMS на устройството, което работи с този номер. Този процес на верификация гарантира, че потребителят е ползвател на номера и има достъп до телекомуникационната услуга, идентифицирана чрез новия мобилен номер, който заменя съществуващия, което прави решението на Viber напълно надеждно и сигурно. Tази методология се използва, за да се премахнат всички възможни рискове от измами с идентичност в приложението.“

„Основен приоритет на Viber е да пази личната информация, достъпна само за потребители и да предотвратява опити за кражба на самоличност, и подобни нарушения, свързани с личните данни“, коментират още от Viber.

43 коментара

  1. qwerty каза:

    Не ти ли прати „пин-код“ чрез смс за оторизация?

    • Questo каза:

      Прати ми, и двата пъти. При първата смяна – когато смених моя номер с чужд, SMS-ът беше изпратен на телефона на другия абонат. Обадих му се и го помолих да ми го продиктува, а после го въведох в моя Viber и приложението го прие. При втората смяна – когато смених чуждия номер с моя – Viber пак ми прати SMS, вече на моя си номер, и съответно го получих на моя телефон.

  2. qwerty каза:

    с 2 думи малко трудно ще стане да „хакнеш“ който и да е без СМС-то…. Не вярвам, че ще ми звънне непознат номер и някой ще поиска 6-те цифрички от преди малко полученото съобщение.
    поздрави за интересния сайт 🙂

    • Questo каза:

      Така е, от непознат човек трудно ще измъкнеш SMS по телефона. Но ако примерно си остави телефона някъде и ти имаш достъп до него, можеш да видиш кода и после да изтриеш SMS-а, за да не го види собственика. Има и други условия, които трябва да са изпълнени – например ако този човек вече има Viber акаунт трикът едва ли ще проработи. Все пак за мен това е слабост в приложението, която трябва да се изчисти.

  3. Емилия каза:

    Здравейте,
    интересува ме – как може човек да си е оставил телефона в къщи, да не е в града и в същото време да си влиза във вайбъра…???

    • Questo каза:

      ЗДравейте, вече и на мен ми е трудно да следя темата за онлайн статуса във Viber, но ето каква беше ситуацията преди. Viber е направен така, че винаги работи на заден план в телефона, дори и да не го използвате. Затова е възможно да се показва статус Online, дори и приложението да не е отворено. Наскоро в документацията на сайта на Viber добавиха уточнението, че ако не ползвате приложението, ще се вижда статус Last Seen. Кое от двете е вярно не мога да кажа със сигурност, за повече информация може да попитате съпорт центъра на Viber: https://support.viber.com/customer/portal/emails/new

    • Atila каза:

      Ako telefona e ostaven, i se poluchat sobshtenia ili prozvanyavane, viber dava che abonata e bil online, no tova ne e taka.

    • pav каза:

      От настолна версия на вайбер може

  4. Оги каза:

    Здр.имам следния въпрос смених си тел.номер със друг от един оператор са,сменям си новия номер във вайбър до тук добре.Какво става със със стария ми номер и той ли ще получава кореспонденцията и контактите ми,ако да какво трябва да направя за да ги огранича(спря)
    Мерси предварително

    • Questo каза:

      Здравейте, логиката предполага, че старият Viber акаунт се деактивира автоматично, като чат историята и контактите се прехвърлят автоматично на новия акаунт. Което би трябвало да означава, че който и да използва стария в ителефонен номер занапред, няма да вижда каквато и да е информация, свързана със стария ви аакаунт. Но все пак аз не съм служител на Viber, така че за по-пълна информация можете да се обърнете към такъв тук: https://support.viber.com/customer/portal/emails/new

  5. ГОСТ каза:

    Не разбирам. Всичко това означава ли, че телефона ми може да отговаря на един номер, а вайбъра да получава съобщения от друг номер–който съм сменил?)
    Тогава в контакт листа на приятелите ми (ако са запазили и двата номера) кой номер ще бъде активен?

    • Questo каза:

      Ако си смените номера от 0899123456 на 0898654321, приятелите ви във Viber получават известие за това. Също така приложението ги подканва да си запишат новия ви номер. Тези от тях, които го направят, вече ще ви изпращат съобщения на 0898654321. Ако междувременно се върнете към стария си номер, няма да получавате тези съобщения.

  6. 7Юлиян каза:

    Как да разбера кода ако телефона нее при мен има ли някаква друга възможност

  7. Юлиян каза:

    Как да разбера кода на Вайбър ако телефона нее при мен

    • Questo каза:

      Viber изпраща кода на телефона ви, а не примерно на имейл, като защитна мярка – за да не може друг човек да се представя за вас в приложението.

  8. Ко каза:

    Наскоро моя Viber беше следен от гаджето ми вярвате ли ,че кучето мръсно не знам как ме е прецакал защото не съм получил никакви кодове има друг начин и далеч не е това със 6 цифрения код.

  9. Ко каза:

    Никой не ме е молил за код и за каквото и да било.А знаеше какво сме си писали и майтап или с мой познат .

    • Росица каза:

      Веднага отговарям. Клонирала ти е вайбъра. Инсталира вайбър на др.устройство, напр.таблет. После пише твоя номер, пращат ти смс на теб и вайбър подканя да сканира кода от твоя тел. Просто е.

  10. Гого каза:

    Аз искам да взема на номера на моя съученичка, има ли шанс да ме разкрият?

    • Questo каза:

      Гошко, вместо да се занимаваш с глупости й поискай номера направо от нея и я заведи на кино.

  11. Калинка Малинка каза:

    На мен ми се случи същото, само , че и двете карти са мой!Така нищо че сменям картите на тел и едната всъщност е изключена , познатите ми пращат съобщения има аз нямам инсталиран вайбър на тази карта! А на всички излиза , че вайбъра ми е с два номера!Това е много нелепа ситуация и накрая го триеш, естествено!

  12. ГОСТ каза:

    Сменяйки номера във вайбър, означава ли, че сменям и номера на телефона? Или иначе казано, номера на вайбър и номера на телефона свързани ли са или независими?

  13. АЗ каза:

    Сменяйки номера във вайбър, означава ли, че сменям и номера на телефона? Или иначе казано, номера на вайбър и номера на телефона свързани ли са или независими?

    • Questo каза:

      Не, номерът на телефона е свързан с вашата СИМ карта. Както е описано и в статията, възможно е да смените номера си във Viber, без реално дасте сменили телефонния си номер

  14. ИВАН каза:

    Ако непрекъснато сменям номера на вайбър от един номер на друг, винаги ли ще получавам код за достъп. Имам впредвид, че имам две карти и искам да променям вайбър и с двата номера.

  15. Цвтанка Петкова Дамянова каза:

    Да да

  16. Mariana каза:

    Как да се върна към стария си номер след скато съм го сменила във опцията Change your number???

  17. Данчо каза:

    Здравейте! Аз хванах съвсем друг „номер“ или фалш във Вайбър. Имам тел. номер на приятелка, също и нейния вайбър акаунт излиза активен, но когато звънна на номера с гласова услуга от оператора, ми дава, че такъв номер не съществъва. Което значи ,че номера не е активен ,а Вайбър работи, защото пращам и получавам съобщение през Вайбър. Което за мен значи ,че е възможно да се регистрира акаунт във Вайбър, след това СИМ картата излиза от употреба, ако не се презареди( при предплатени или чужди номера), но Вайбър остава. Това също е огромен пропуск в прехвалената система за верификация на Вайбър.

    • Questo каза:

      Да, и аз установих, че Viber работи прекрасно и без СИМ карта. Не знам защо са допуснали такова нещо, защото създава предпоставки за злоупотреба.

  18. Елена каза:

    Здравейте, и аз имам същия проблем и въпреки, че се връщам към стария си номер, отново съобщенията се препращат на другия!
    Как да се оттърва от този проблем? И как на двата телефона да си идват съобщения на номера, който си е бил?

    • Questo каза:

      Предполагам, че абонатите са запаметили „новия“ номер (който вече не ползвате, ако сте се върнали към стария) и Viber ги препраща към него. Съобщете на абонатите, че пак сте със стария номер, за да го сменят в указателите си. Това би могло да реши проблема.

  19. Ивана каза:

    Как да върна вайбър отначало без да го деинсталирам

  20. Андре каза:

    Искам вайбъра да ми остане на стария телефон без карта и да го имам и на новия с картата как да стане

  21. Христо каза:

    Здравейте как мога да вляза в чужд профил на вайбър след като нямам достъп до телефоният номер

    • Questo каза:

      Това е блог за информационна сигурност, не за шпиониране. Тук няма да получите отговор на този въпрос.

      • Бат Зоро каза:

        Имам Вайбър на телефона,искам да го копирам на настолния ми компютър,какво трябва да направя? Да Ви предупредя че съм на възраст жена,и съм на вие с техниките особено тия. Все пак по моето време/младините ми/ имаше само стационарни телефони,и то беше лукс! Вайбъра на телефона ми го инсталира дъщеря ми,но в момента е във Франция и няма скоро да се прибира.Та Ви моля най сърдечно да ми обясните по-подробно, как мога да го дублирам Вайбъра на компютъра ми?
        Благодаря ви от сърце!!!

  22. Лили каза:

    Здравейте, излезе ми съобщение:“абоната…е пак във вайбър“, същия този човек твърди, че ми е изтрил телефона от списъка с абонати, как да разбирам това?

    • Questo каза:

      Ако неговият телефонен номер е още във вашия списък, тогава ще го виждате, когато се появи на линия.

  23. адреан каза:

    Има ли опция, когато си сменяш номера и не искаш това да се види от някой да го блокираш докато си смениш номера,а вайбър разпрати съобщения до абонатите ти, за това ти действие. И след като отблокираш абоната, дали пак ще получи известие за сменения ти номер?

  24. adrean каза:

    Има ли опция, когато си сменяш номера и не искаш това да се види от някой да го блокираш докато си смениш номера,а вайбър разпрати съобщения до абонатите ти, за това ти действие. И след като отблокираш абоната, дали пак ще получи известие за сменения ти номер?

  25. ВР каза:

    Здравейте, при мен проблема е такъв. Повече от две години не използвам тел.номер.Той беше на предплатена карта. На този номер имах вайбър. Сега , мои контакти отново са ми писали чрез вайбър на този стар номер.Аз получавам писмата защото не съм направила смяна на тел.номер. Използвам апарата със служебна сим карта и не искам да включвам служебния си номер към вайбър. Предполагам обаче че стария ми тел. номер вече е даден от оператора на друг човек. Опасявам се , че и той вижда кореспонденцията ми. Как мога да премахна този номер от вайбъра.

    • Questo каза:

      Здравейте, едва сега прочитам коментара ви.

      Първо да уточня, че не съм представител на Viber и не мога да гарантирам, че ви давам тчна информация. Споделям това, което знам от безкрайно прехвърляне на сайта на Viber. За по-точна информация се обърнете към разработчика на приложението.

      Ако разбирам правилно ситуацията е следната:
      1. Преди време сте имали предплатена карта и Viber акаунт, вързан към тел. номер на тази карта.
      2. Сега използвате друг телефонен номер, но Viber още си стои на телефонния апарат и е вързан към стария телефонен номер.
      3. Притеснява ви, че старията тел. номер може да се ползва от друг човек и той да получи достъп до вашия Viber акаунт.

      По принцип Viber работи на принципа „само едно първично устройство“. Смартфонът винаги е първично устройство, той е основният „преносител на вашия акаунт“. Ако някой има СИМ карта със стария ви номер и реши да си инсталира Viber, това би трябвало автоматично да деактивира вашия Viber акаунт. Това е описано в правилата на Viber по следния начин: Setting up Viber on a new phone will close your account on the old device, and no one will be able to access the chats stored in there. ИЗточник: https://support.viber.com/customer/en/portal/articles/2914872-protecting-your-privacy-on-viber

      Иначе казано: ако някой си инсталира Viber, използвайки стария ви тел. номер, вие просто ще изгубите вашия Viber акаунт. Новият собственик няма да може да прочете съобщенията ви.

      Ако ви е любопитно, можете да проверите на колко устройства е инсталиран вашия Viber акаунт. Ето как става това: https://questona.com/na-koi-ustroistva-e-instaliran-viber/

Отговор на qwerty

Коментарите в този блог са публични. Ако не желаете истинското ви име да бъде публикувано, използвайте псевдоним.