黑客通過(guò)重定向他的Verizon電話號(hào)碼來(lái)劫持

今天我了解到，對(duì)于一個(gè)人來(lái)說(shuō)，打電話給提供商和改變你的SIM是相當(dāng)容易的。黑客得到了帳戶驗(yàn)證文本。

正如一系列推文中所詳述的那樣，今天早上，有人打電話給Verizon，稱他為McKesson，顯然他的社會(huì)保障號(hào)碼的最后四位數(shù)。這個(gè)人改變了他的帳戶上的注冊(cè)SIM到一個(gè)他們控制，重定向和短信到他們的手機(jī)，而不是他的。之后，他們只是在Twitter上觸發(fā)了一個(gè)密碼重置，并等待授權(quán)代碼進(jìn)來(lái)。

雖然@Deray能夠在Twitter的幫助下恢復(fù)他的帳戶（與@Jack做朋友很好），但對(duì)于正常用戶來(lái)說(shuō)，這可能不那么容易。不幸的是，即使有這樣的額外安全措施，各種類型的社會(huì)工程仍然會(huì)危及你的信息。黑客在2014年使用了類似的消息來(lái)控制開(kāi)發(fā)商Grant Blakeman的Instagram頁(yè)面，并在2012年通過(guò)重定向其AT&；T語(yǔ)音信箱訪問(wèn)了Cloudflare CEO的Gmail帳戶。當(dāng)一個(gè)黑客說(shuō)服亞馬遜放棄他的信用卡號(hào)碼的最后四位數(shù)時(shí)，有線作家Mat Honan接管了他的帳戶和設(shè)備，然后用這些信息為他的蘋(píng)果iCloud帳戶獲得了一個(gè)新密碼。

那么你還能做些什么來(lái)保護(hù)自己呢？不幸的是，許多服務(wù)仍然使用短信或電話來(lái)執(zhí)行第二位身份驗(yàn)證（使用谷歌認(rèn)證程序等應(yīng)用程序提供的一次性密碼將您的電話號(hào)碼從等式中刪除），而當(dāng)涉及到電話和電纜提供商時(shí)，它們基本上不支持雙因素。相反，默認(rèn)情況下，他們將使用SSN在電話中驗(yàn)證帳戶信息，就像在這種情況下看到的，這是非常容易被黑客發(fā)現(xiàn)的。

Buzzfeed指出了FCCCTO最近發(fā)布的一項(xiàng)建議：主要的移動(dòng)運(yùn)營(yíng)商將允許您設(shè)置自己的密碼，這是帳戶訪問(wèn)所必需的。Sprint在帳戶設(shè)置時(shí)需要一個(gè)PIN，Verizon可以設(shè)置一個(gè)四位數(shù)的計(jì)費(fèi)密碼，T-Mobile將設(shè)置一個(gè)客戶關(guān)懷密碼，AT&；T允許您通過(guò)其應(yīng)用程序設(shè)置一個(gè)密碼。您的互聯(lián)網(wǎng)服務(wù)提供商可能也有類似的選擇，但您可能也必須在那里請(qǐng)求它。

Verizon擁有Engadget的母公司Verizon Media。請(qǐng)放心，Verizon無(wú)法控制我們的覆蓋范圍。Engadget在編輯上仍然獨(dú)立。