Функцията за смяна на номер във Viber позволява да се открадне чужда самоличност

Преди няколко дни изпробвах новата функция на Viber „Смяна на телефонен номер“, която ви позволява да запазите стария акаунт, ако сменяте мобилния си номер. Оказа се, че тази функция може да се използва и за да откраднете чужда самоличност и да се представяте за нея в приложението.

„Смяна на телефонен номер“ се използва, за да запазите чатовете и списъците с контакти във Viber, когато сменяте телефонния си номер. Процедурата е сравнително лесна: въвеждате в приложението новия си телефонен номер и Viber вече асоциира акаунта ви с него, а не със стария номер.

Какво обаче се случва, ако вместо вашия нов номер въведете телефонния номер на съществуващ абонат?

Точно това направих аз, когато тествах „Смяна на телефонен номер“. Отворих приложението и смених моя номер (0888ХХХХХХ) с номер на съществуващ мобилен абонат(0876ХХХХХХ). Viber ми даде съобщение, че вече ме свързва с номер 0876ХХХХХХ. След това направих още една смяна и върнах моя телефонен номер, за да може Viber отново да ме асоциира с 0888ХХХХХХ. И реших, че с това казусът е приключен.

Обаче започнах да получавам във Viber съобщения и обаждания, които очевидно не бяха за мен, а за другия абонат с номер 0876ХХХХХХ. Хората от другата страна на линията си мислеха, че изпращат през Viber съобщения до абоант 0876ХХХХХХ. Но тези съобщения ги получавах аз. А абонат 0876ХХХХХХ дори нямаше инсталиран Viber на телефона си.

Оказа се, че със смяна на телефонния номер в настройките на Viber мога да се представям за друг човек и да комуникирам с неговите приятели, без те да разберат.

Направих малко проучване и ето какво мисля, че се е случило. Потребителите на Viber, които познават абонат 0876ХХХХХХ, са получили известие, че той си е сменил номера с 0888ХХХХХХ. Те са запаметили новия номер, който пък се синхронизира с Viber. Така в техните Viber акаунти моят номер (0888ХХХХХХ) излиза под името на абонат 0876ХХХХХХ.

Пак напомням, че абонат 0876ХХХХХХ въобще няма инсталиран Viber. Аз обаче имам и останалите потребители си мислят, че аз съм абоант 0876ХХХХХХ.

Защо това е опасно? Защото създава възможност за влизане в ролята на друг човек. Основна част от комуникацията във Viber е чрез текстови съобщения. Използвайки този трик, някой може да се представя за друг човек и да общува с познаните му, без да бъде разкрит.

Тази уязвимост може сравнително лесно да бъде използвана като вектор за атака. Ето теоретична постанвока как може да протече атаката.

1.Стефан няма Viber на мобилния си телефон. Аз искам да се представям за Стефан във Viber.

2.Отварям си Viber, избирам „Смяна на телефонен номер“ и въвеждам телфонния номер на Стефан.

3.Viber изпраща код за потвърждение на номера на Стефан. Разбирам какъв е кодът (трябва да имам достъп до телефона му или просто се обаждам на Стефан и го моля да ми го продиктува) и го въвеждам. Viber вече ме идентифицира с телфонния номер на Стефан.

4.Отново влизам в „Смяна на телефонен номер“ и този път въвеждам моя си телефон номер. Viber ми изпраща код за потвърждение и отново ме свързва с моя си телфонен номер, а не с този на Стефан.

5.Когато правя първата смяна, приятелите на Стефан, които използват Viber, получават известие, че си е сменил номера и запаметяват новия му номер, който всъщност е моят номер. Сега те си мислят, че Стефан използва Viber, но всъщност това съм аз.

6. Приятелите на Стефан му пишат съобщения във Viber. Познайте кой ги получава.

Тази атака е напълно реалистична, доколкото аз успях да я осъществя, макар и случайно. След като подмяната на самоличности е факт, тя може да остане незабелязана дълго време, особено ако двете страни в разговора не се виждат наживо и не общуват по друг начин (телефон, Facebook и т.н.) Жертвата няма как да разбере, защото не използва Viber и въобще няма идея какво се е случило.

Опровержение от Viber

От Viber изпратиха опровержение на горната постановка. „Сценарият, описан във вашата статия, е невъзможен и нереалистичен, доколкото не може да бъде приложен и изпълнен в рамките на функцията „Промяна на телефонния номер“ във Viber, най-вече заради процедура за верификация, част от процеса – посочват от компанията. – С една дума, потребител, който желае да промени телефонния си номер, е длъжен да въведе 6-цифрен код, получен като SMS на устройството, което работи с този номер. Този процес на верификация гарантира, че потребителят е ползвател на номера и има достъп до телекомуникационната услуга, идентифицирана чрез новия мобилен номер, който заменя съществуващия, което прави решението на Viber напълно надеждно и сигурно. Tази методология се използва, за да се премахнат всички възможни рискове от измами с идентичност в приложението.“

„Основен приоритет на Viber е да пази личната информация, достъпна само за потребители и да предотвратява опити за кражба на самоличност, и подобни нарушения, свързани с личните данни“, коментират още от Viber.