בקצרה: אימות דו-שלבי דרך SMS נחשב לברירת מחדל בטוחה, אבל הקוד שמגיע כהודעת טקסט הוא בדיוק הרכיב שתוקף מנוסה משיג בקלות. אפליקציית מזהים או מפתח פיזי סוגרים את הפער שה-SMS משאיר פתוח.
ההנחה הרווחת פשוטה: ברגע שהפעלתם קוד חד-פעמי שמגיע בהודעה לטלפון, החשבון נעול. הסיסמה כבר לא מספיקה, צריך גם את הטלפון שלכם, וזה מרגיש כמו קיר. הבעיה שהקיר הזה עשוי מאותו חומר שהתוקפים למדו לעקוף כבר לפני שנים. הקוד שמגיע ב-SMS עובר דרך רשת סלולרית שמעולם לא תוכננה לאבטח סודות, וגורם אנושי בחברת הסלולר יכול להעביר את המספר שלכם לכרטיס אחר תוך דקות.
קראו גם: הסיסמה החזקה שלכם כבר דלפה, ואתם עדיין סומכים עליה · המייל מהבנק נראה אמיתי לחלוטין: איך לזהות פישינג לפני שלוחצים · הנגשה דיגיטלית: ספרים דיגיטליים מעניקים הזדמנויות קריאה חדשות לכולם
המנגנון עצמו תקין. השכבה השנייה אמורה לחסום גם סיסמה שדלפה בדליפה גדולה. מה שלא תקין הוא הבחירה בערוץ החלש ביותר להעברת הקוד. כשמעבירים את אותו קוד לאפליקציה ייעודית או למפתח חומרה, המנגנון שומר על ההבטחה שלו.
למה דווקא ה-SMS הוא החוליה החלשה
שתי מתקפות מוכרות הופכות את הקוד ב-SMS לבעייתי. הראשונה נקראת SIM swap: התוקף אוסף פרטים עליכם, מתקשר לחברת הסלולר ומשכנע נציג שאיבד את הכרטיס, ומקבל כרטיס SIM חדש עם המספר שלכם. מהרגע הזה כל קוד אימות נוחת אצלו. המתקפה השנייה מנצלת חולשות בפרוטוקול SS7, תשתית ישנה שדרכה עוברות הודעות בין רשתות סלולר, ומאפשרת ליירט הודעות בלי לגעת בטלפון שלכם בכלל.
שתי המתקפות לא דורשות את הסיסמה מראש. הן משלימות אותה. תוקף שכבר אוחז בסיסמה גנובה צריך רק את הקוד, וה-SMS מגיש לו אותו.
איפה כל שיטה עומדת
אפליקציית מזהים כמו Authy או Google Authenticator מחוללת את הקוד על המכשיר עצמו, בלי לשלוח דבר ברשת הסלולרית. גם אם מישהו משתלט על המספר, הקוד נשאר אצלכם. מפתח חומרה מוסיף שכבה שגם פישינג לא חוצה, כי המפתח מאמת מול הדומיין האמיתי ומסרב לחתום מול אתר מזויף.
מה עושים כשאין ברירה מלבד SMS
לא כל שירות תומך באפליקציית מזהים או במפתח חומרה. בנקים מסוימים, וגם חנויות שמוכרות ספרים דיגיטליים וקורסים, נותנים רק SMS. במקרים כאלה כדאי לצמצם את שטח הפגיעה:
- בקשו מחברת הסלולר קוד PIN או מילת מעבר להעברת מספר, מה שחוסם ניסיון SIM swap טלפוני.
- אל תשתמשו במספר הטלפון הראשי לאימות של חשבונות רגישים, אלא במספר נפרד.
- הגדירו אפליקציית מזהים לכל שירות שמאפשר זאת, ושמרו את ה-SMS רק כגיבוי אחרון.
- שמרו את קודי השחזור החד-פעמיים במקום לא מקוון, לא בתיבת המייל.
- בדקו פעם ברבעון אילו מכשירים וחשבונות מקושרים לזיהוי שלכם.
המושג המלא, על גרסאותיו השונות, מתועד בהרחבה בערך אימות דו-שלבי.
הצעד המעשי הבא
פתחו עכשיו את הגדרות האבטחה בחשבון המייל הראשי שלכם. אם האימות מוגדר על SMS, התקינו אפליקציית מזהים, סרקו את קוד ה-QR שהשירות מציג, והחליפו את שיטת ברירת המחדל. שמרו את קודי השחזור מחוץ למחשב. אחרי שהמייל מאובטח, חזרו על אותו תהליך בכל חשבון שמחזיק כרטיס אשראי או גישה לכספים.