骇客利用电信业者SS7协议漏洞破解双因素认证,手机用户的银行帐户遭盗领一空
2017-05-05 14:01:49 | 来源:ithome | 投稿:米娜 | 编辑:dations

原标题:骇客利用电信业者SS7协议漏洞破解双因素认证,手机用户的银行帐户遭盗领一空

示意图,与新闻事件无关。 德国媒体Süddeutsche Zeitung本周披露,有骇客开採了被电信业广泛採用的第七号发信系统(Signaling System Number 7,SS7)协定,在德国营运的西班牙电信(O2-Telefonica)证实已有部份...

示意图,与新闻事件无关。

德国媒体Süddeutsche Zeitung本周披露,有骇客开採了被电信业广泛採用的第七号发信系统(Signaling System Number 7,SS7)协定,在德国营运的西班牙电信(O2-Telefonica)证实已有部份用户的银行帐户因此被骇客盗领一空。

1975年问世的SS7为国际电信联盟(ITU)所推荐的信令系统标準,它可建立或拆除全球大多数PSTN的通话,亦支援号码可携或文字简讯等功能,也允许不同电信业者之间的业务交换,估计全球已有超过800家电信业者採用。

早在2008年就有人质疑SS7的安全性,但当时并未受到重视;德国研究人员则在2014年公开展示SS7的攻击行动,可自远端窃取手机的语音通讯、简讯、转接电话,或是追蹤手机位置;美国民主党众议院议员Ted Lieu也在去年登上美国电视节目《六十分钟》(60 Minutes),亲自示範骇客如何只知道他的电话号码就能窃听他的手机,并呼吁各界应严加防範。

然而,也许所有的警告都不如一次真实的骇客行动来得警世。根据报导,骇客在今年1月就藉由SS7的安全漏洞破解了手机用户所使用的双因素认证,拦截了银行传送给手机用户的行动交易认证码(mobile transaction authentication number,mTAN),以将手机用户帐户中的金额转出,且已有许多西班牙电信的用户受害。

此一骇客行动分为两个阶段,骇客要先以银行木马感染受害者的电脑,取得登入银行帐户的密码,并确定帐户余额,过去骇客要将金额转出时通常是要複製受害者的SIM卡,现在则可直接藉由SS7的漏洞自远端拦截银行传送到手机上的mTAN,并将余额转至骇客指定的帐户中。德国媒体或西班牙电信并未公布受害人数或损失金额。

由于SS7广受全球电信业者的支援,因此相关攻击行动的风险也是全球性的。Lieu在得知此事后旋即发表声明,表示只要受到基于文字之双因素认证保障的帐号皆曝露在风险中,他将督促国会立即举办听证会以要求电信产业及联邦通讯委员会(FCC)修补此一问题。

iThome Security

tags:骇客   业者   协定   手机用户   漏洞

上一篇  下一篇

相关:

美媒:白宫倾向于下周宣布退出巴黎气候协定 [生活]

《赫芬顿邮报》首页截图美国媒体《赫芬顿邮报》于5月3日在其网站刊登头条文章“消息人士:特朗普临近退出气候协定”。文章引用知情人士消息称,“特朗普总统或最早在下周宣布美国退出巴黎气候协定”。《赫芬顿邮报》

研究:数百款Android程式潜藏开放埠漏洞

示意图,与新闻事件无关。 密西根大学(University of Michigan)的研究团队上周公布了一份报告 ,指出Google Play上有数百款的Android程式未能妥善保护开放埠(Open Port)功能,让骇客也能利用这些被开启的传输埠

英特尔修补AMT等远端管理技术的权限扩张漏洞

示意图,与新闻事件无关。 图片来源: Intel 英特尔(Intel)于本周一(5/1)修补了旗下多款远端管理技术的权限扩张漏洞,涵盖Active Management Technology(AMT)、Intel Small Business Technology(SBT)与Inte

思科砸6.1亿美元买下体定义广域网络业者Viptela

图片来源: Viptela 网通大厂思科(Cisco)週一宣布,将以6.1亿美元(约合新台币183亿元)收购位于硅谷、以云端为基础的软体定义广域网路(SD-WAN)业者Viptela,以扩充思科的SD-WAN产品线。?思科表示,随着许多应用软体往云

骇客勒索Netflix遭拒,释出最新一季《女子监狱》报复

示意图,与新闻事件无关。 图片来源: Netflix 名为thedarkoverlord的骇客集团上周六(4/29)透过Pastebin及The Pirate Bay张贴了Netflix预计于今年6月发行的热门影集《女子监狱》(Orange Is The New Black)第五季

站长推荐: