A Facebook-fiókok feltörése egy telefonszámnál alig többel lehetséges, figyelmeztetnek kutatók.

A Positive Technologies biztonsági csapata szerint, ha ismerjük a kiszemelt áldozat telefonszámát, az SS7 protokoll biztonsági hibáinak köszönhetően betörhetünk a Facebook-fiókjába.

A Forbes beszámolója szerint a távközlési alapinfrastruktúrának van egy olyan szegmense, amelyet az elmúlt fél évtizedben sebezhetőnek hagytak kihasználni.

Az SS7 egy 1975-ben kifejlesztett protokoll, amelyet világszerte arra használnak, hogy meghatározza, hogyan cserélnek információt a nyilvános kapcsolt telefonhálózat (PSTN) hálózatai egy digitális jelzőhálózaton keresztül. Az SS7-en alapuló hálózat azonban alapértelmezés szerint megbízik az azon keresztül küldött üzenetekben – függetlenül attól, hogy az üzenet honnan származik.

A biztonsági hiba a hálózatban és abban rejlik, ahogyan az SS7 kezeli ezeket a kéréseket, nem pedig a Facebook platformjának hibájában. A kibertámadóknak mindössze annyit kell tenniük, hogy követik a “Elfelejtett fiók?” eljárást a Facebook honlapján keresztül, és amikor telefonszámot vagy e-mail címet kérnek, felajánlják a legitim telefonszámot.

Miután a Facebook elküldte a fiókhoz való hozzáféréshez használt egyszeri kódot tartalmazó SMS-üzenetet, az SS7 biztonsági hibáját kihasználva ezt a kódot a támadó saját mobilkészülékére lehet átirányítani, ami hozzáférést biztosít az áldozat fiókjához.

A Positive Technologies a támadást bemutató proof-of-concept (PoC) videót bocsátott rendelkezésre, amely alább megtekinthető:

Az áldozatnak a telefonszámát össze kell kötnie a célszámlával, de mivel a biztonsági hiba a távközlési hálózatban és nem az online tartományokban található, ez a támadás bármely olyan webes szolgáltatás ellen is működik, amely ugyanezt a fiók-visszaállítási eljárást használja — például a Gmail és a Twitter.

A kétlépcsős ellenőrzés egyre fontosabbá válik, de amíg a távközlési szolgáltatások sebezhetőségét nem javítják, az e-mail helyreállítási módszerek használata lehet a legjobb megoldás — valamint a nagyon erős, összetett jelszavak használata minden olyan fő “hub” e-mail fiókhoz, amelyet más online szolgáltatások fenntartásához használnak.