Как уязвимость SS7 позволяет украсть аккаунт Facebook по номеру телефона

Содержание

• Как злоумышленники могут использовать уязвимость SS7, чтобы украсть ваш Facebook
• Как происходит взлом Facebook через SS7 — пошагово
• Почему сети не закрыли SS7 и кто заинтересован в том, чтобы он оставался уязвимым
• Когда атака не сработает
• Что можно сделать: меры защиты для пользователей и операторов
• Рольовые чек-листы и план реагирования
• Факты, глоссарий и краткое резюме

Как злоумышленники могут использовать уязвимость SS7, чтобы украсть ваш Facebook

SS7 (Signalling System No. 7) — набор протоколов сигнализации, используемых операторами связи с 1975 года для установки и завершения телефонных вызовов, переадресации, SMS, биллинга и других услуг. Протокол проектировался в эпоху доверенной телекоммуникационной среды и не предусматривал современных моделей угроз и аутентификации между сетями.

Исследователи и журналисты неоднократно показывали, что SS7 можно эксплуатировать удалённо: подделывать источники сообщений, перехватывать вызовы и SMS, перенаправлять трафик. На практике это позволяет злоумышленникам получать одноразовые пароли (OTP), которые сервисы вроде Facebook отправляют по SMS для восстановления аккаунта.

Важно: для успешной атаки злоумышленнику обычно не нужен физический доступ к телефону жертвы — достаточно контролировать или подделать части маршрута в сети оператора.

Как происходит взлом Facebook через SS7 — пошаговая мини-методология

1. Сбор данных: злоумышленник получает номер телефона жертвы. Номер может быть на виду в профиле, получен через утечку или социальную инженерию.
2. Эксплуатация SS7: злоумышленник отправляет корректно сформированные SS7-запросы в сеть оператора или использует посредника (посредством уязвимой сети), чтобы заставить сеть перенаправить SMS/вызовы.
3. Инициация восстановления аккаунта: злоумышленник на Facebook нажимает «Забыли аккаунт?» и вводит номер жертвы как связанный с аккаунтом.
4. Перехват кода: одноразовый код, который Facebook отправляет по SMS, перенаправляется через скомпрометированную сеть на устройство злоумышленника или веб-интерфейс.
5. Доступ к аккаунту: имея код, злоумышленник завершает процедуру восстановления и ставит собственный пароль/контакты.

См. демонстрацию процесса (видео от исследователей): https://youtu.be/wc72mmsR6bM

Почему SS7 не закрывают полностью и кто выиграет от этого

• Архитектурная причина: SS7 — распределённый протокол, и исправление требует обновлений и согласования между тысячами операторов по всему миру. Это дорого и длительно.
• Политика и разведка: некоторые государства и спецслужбы склонны поддерживать доступ к каналам связи ради наблюдения за противниками; для них уязвимость может быть «инструментом» разведки.
• Экономика бизнеса: операторы в разных регионах имеют разный уровень инвестиций в безопасность; обновление инфраструктуры не всегда приоритет.

В медиапубликациях также упоминалось, что в прошлом эксперты оценивали реальную эффективность отслеживания или перехвата через SS7 достаточно высокой — в одной из публикаций 2014 года фигурировала оценка порядка 70% в определённых условиях — но эта цифра отражала конкретные эксперименты и не является универсальной для всех сетей.

Когда атака не сработает — контрпример и ограничения

• Если сервис не использует SMS как единственный канал восстановления (например, применяет аппаратные токены, приложения-аутентификаторы или push-уведомления с проверкой устройства), перехват SMS не даст доступа.
• Если оператор корректно фильтрует и аутентифицирует SS7-запросы или использует межсетевую защиту (SS7 firewalls), атака затруднена.
• Двухфакторная аутентификация, завязанная на независимое приложение (TOTP), остаётся устойчивой.
• Физический контроль над SIM или незаконный доступ в локальную сеть оператора также повышают требования к атакующему; в реальности многие атаки требуют либо преступной помощи изнутри, либо использования уязвимых промежуточных сетей.

Что можно сделать: меры защиты для пользователей

• Отключите получение кодов по SMS, если сервис позволяет и используйте приложения-аутентификаторы (TOTP: Google Authenticator, Authy и т.д.).
• Включите аппаратные ключи безопасности (FIDO2/WebAuthn) для критичных аккаунтов.
• Проверьте привязанные телефоны и адреса электронной почты в настройках аккаунта; удалите старые и неизвестные устройства.
• Настройте уведомления о входе с нового устройства и быстрый контактный канал (список доверенных контактов).
• По возможности используйте отдельный номер для таких аккаунтов или виртуальный номер с повышенной защитой.

Важно: SMS удобны, но устаревшая модель защиты. По возможности переходите на независимые методы подтверждения.

Меры защиты для операторов и провайдеров услуг

• Внедрить фильтрацию и аутентификацию SS7-запросов (SS7 Firewall), мониторинг аномалий и сигнатур атак.
• Ограничить доверительные взаимоотношения межоператорского обмена: использовать строгие договоры и TLS/IPsec для межсетевого трафика, где это возможно.
• Аудит и разделение ролей: минимизировать число сотрудников с доступом к критичной коммутирующей логике.
• Внедрять современную сигнализацию (SIP / Diameter / 4G/5G–ориентированные протоколы) с безопасностью на уровне сессий.
• Производить совместные упражнения и обмен информацией об инцидентах между операторами.

Рольовые чек-листы — кто что делает

Пользователь:

• Включил приложение-аутентификатор или аппаратный ключ.
• Проверил контактную информацию в аккаунте.
• Включил уведомления о входе.

IT/безопасность компании:

• Проводит мониторинг подозрительных попыток восстановления аккаунтов.
• Требует MFA с офлайн-генерацией кодов для критичных сервисов.

Оператор мобильной связи:

• Внедрил SS7 Firewall и мониторинг аномалий.
• Имеет процедуру расследования и уведомления пострадавших абонентов.

План реагирования на инцидент (короткий runbook)

1. Идентификация: подтвердить факт компрометации аккаунта и временные метки.
2. Изоляция: заблокировать сессии и восстановить контроль через резервные каналы.
3. Устранение: сбросить пароли, отозвать привязки SIM/устройств, включить MFA.
4. Расследование: собрать SS7-логи, запросить у оператора трассировку и сопоставить события.
5. Уведомление: оповестить пострадавшего, при необходимости регуляторов и правоохранительные органы.
6. Обратные меры: обновить правила фильтрации SS7, провести постмортем.

Риск-матрица и рекомендации по смягчению последствий

• Низкий риск: утилиты, где отсутствует персональная или финансовая информация. Меры: стандартная MFA.
• Средний риск: почта, соцсети, где возможен доступ к личным данным. Меры: приложения-аутентификаторы, аппаратные ключи.
• Высокий риск: банковские сервисы, корпоративные VPN. Меры: многофакторная аутентификация с физическими токенами, процессы восстановления с идентификацией личности.

Юридические и приватные аспекты (GDPR и локальные нормы)

Если атаке подверглись персональные данные граждан ЕС, это может подпадать под GDPR как утечка персональных данных, требующая уведомления контролирующих органов и субъектов данных при наличии риска прав и свобод. Операторы и сервисы обязаны документировать инциденты и принимать технические и организационные меры для минимизации риска.

Факто-бокс

• SS7 разработан в 1975 году и широко используется операторами по всему миру.
• Уязвимости SS7 позволяют перехватывать SMS и перенаправлять вызовы при наличии доступа к сети.
• Сервисы, полагающиеся только на SMS для восстановления пароля, находятся в группе повышенного риска.

Краткий глоссарий — 1 строка на термин

SS7 — старый набор протоколов сигнализации в телефонных сетях.
OTP — одноразовый пароль, отправляемый для подтверждения (обычно по SMS).
TOTP — алгоритм для генерации временных одноразовых кодов (приложения-аутентификаторы).
SS7 Firewall — устройство/ПО для фильтрации и защиты от злоупотреблений SS7.

Критерии приёмки для безопасного восстановления аккаунта

• Процесс восстановления не отправляет OTP только по SMS без дополнительной аутентификации.
• Отключение SMS как единственного фактора доступно для пользователя.
• Есть поддержка аппаратных ключей и TOTP.

Итог и рекомендации

Уязвимость SS7 — это не гипотетическая угроза, а практическая проблема, которая уже использовалась в реальных атаках. Для обычных пользователей главное — отказаться от SMS как единственного второго фактора, включить приложение-аутентификатор или аппаратный ключ и следить за подозрительной активностью в аккаунтах. Операторы связи и регуляторы должны ускорить внедрение межсетевых гарантий безопасности и просвещать клиентов о рисках.

Важно: если ваш аккаунт уже взломан — сразу сообщите в службу поддержки сервиса, смените пароли и проинформируйте своего мобильного оператора о возможной компрометации маршрутизации сообщений.

Также читают: Эта хакерская утилита использует уязвимость SS7, чтобы отслеживать звонки и местоположение каждого мобильного телефона