這就是為什麼不應該使用文字進行雙因素身份驗證

很長一段時間以來，安全專家一直警告說，簡訊很容易被劫持——今天上午，他們展示了簡訊在實踐中的樣子。正面科技（positivetechnologies）釋出的一段演示影片（福布斯（Forbes）首次報道）顯示，透過擷取傳輸中的簡訊，入侵比特幣錢包是多麼容易。...

很長一段時間以來，安全專家一直警告說，簡訊很容易被劫持——今天上午，他們展示了簡訊在實踐中的樣子。正面科技（positivetechnologies）釋出的一段演示影片（福布斯（Forbes）首次報道）顯示，透過擷取傳輸中的簡訊，入侵比特幣錢包是多麼容易。

該組織的目標是一個Coinbase賬戶，該賬戶註冊到一個同樣受雙因素保護的Gmail賬戶。透過利用**網路中已知的缺陷，該小組能夠截獲在一段時間內傳送給該號碼的所有簡訊。這足以重置Gmail帳戶的密碼，然後控制Coinbase錢包。小組需要的只是目標比特幣使用者的姓名和電話號碼。他們是安全研究人員而不是罪犯，所以他們實際上並沒有偷任何人的比特幣，儘管這是一個簡單的步驟。

乍一看，這看起來像一個Coinbase漏洞，但真正的弱點是細胞系統本身。Positive Technologies能夠利用自己的研究工具劫持簡訊，該工具利用蜂窩網路中的弱點攔截傳輸中的簡訊。被稱為SS7網路，該網路由每個電信公司共享，用於管理電話號碼之間的通話和文字。有許多已知的SS7漏洞，雖然從理論上講，SS7網路的接入僅限於電信公司，但在犯罪市場上，劫持服務經常可用。

即使沒有第三方服務，積極技術的研究人員說，他們可能只是直接攻擊網路。”研究人員對Verge說：“直接訪問SS7網際網路絡，然後**特定的SS7訊息，而不是試圖找到一個隨時可用的SS7劫持服務，要容易得多，也要便宜得多。”。

由於比特幣交易的不可逆性，比特幣錢包是這些攻擊的熱門目標，但這種攻擊在任何其他web服務上都同樣有效。只要你透過簡訊獲得確認碼，你就很容易受到這種攻擊。另一些組織則透過侵入運營商賬戶設定來電轉駁，成功實施了不太複雜的同一駭客攻擊。

你可以採取一些具體步驟來保護自己免受這種攻擊。在某些服務上，您可以完全取消SMS雙因素和帳戶恢復的選項，一旦建立了更安全的基於應用程式的方法，您就應該這樣做。例如，谷歌將讓你在這裡和這裡管理雙因素和賬戶恢復；只需設定驗證器或恢復程式碼，然後轉到每個選項的SMS並單擊“刪除電話”。Coinbase還透過驗證器或其他一次性密碼工具提供雙因素。

儘管如此，整個行業在擺脫簡訊作為第二個因素方面進展非常緩慢，這嚴重削弱了系統的整體安全性。只要簡訊是作為一個選項包括兩個因素，我們會繼續看到這樣的攻擊。

更新時間：美國東部時間下午1:30:00:Positive Technologies的宣告更新。還增加了更多關於保護谷歌賬戶免受恢覆電話攻擊的細節。