Программист показал, как легко можно взломать аккаунт ВК. Всё зависит от вашего оператора связи

Программист показал, как легко можно взломать аккаунт ВК

Пользователь Habr нашёл способ взломать аккаунт «ВКонтакте», даже если он защищён двухфакторной аутентификацией. Всё, что ему для этого понадобилось, — номер телефона жертвы и его принадлежность к одному определённому оператору связи. Из-за лазеек в политике безопасности компании непосредственный взлом аккаунта занял у программиста всего несколько минут.

Уже несколько лет во «ВКонтакте» доступна функция двухфакторной аутентификации, которая была введена разработчиками, чтобы ещё больше обезопасить страницы пользователей и пабликов от злоумышленников. Её суть в том, что после ввода логина и пароля вас просят ввести ещё и код, отправленный на ваш номер мобильного телефона или сгенерированный в специальном приложении на смартфоне.

Казалось бы, обойти такую систему защиты должно быть очень и очень сложно, но пользователь Habr программист Даниил Андреев доказал обратное. Он произвёл тестовый взлом аккаунта во «ВКонтакте», зная только номер телефона его владельца. Так как каждая купленная официально сим-карта привязывается к паспорту, у мобильных операторов есть данные их клиентов и, как утверждает Андреев, они часто перестают быть конфиденциальными.

Даниил попробовал найти по номеру телефона паспортные данные себя и своих близких в даркнете и обнаружил, что это даже слишком просто.

В моём случае в базе данных крупного салона связи оказались как мои данные, так и данные моей мамы и даже бабушки. Стоимость получения данной информации как раз укладывается в ценник ~500-1000 рублей. Возможно, это выглядит достаточно муторно и проблемно, но по факту это занимает не более получаса, и вряд ли вас кто-то будет после искать и найдёт.

После этого Андреев создал фейковый аккаунт во «Вконтакте», написал с него в официальное сообщество нескольких мобильных операторов, попросив их настроить переадресацию с номера жертвы взлома на принадлежащую ему сим-карту. Всё, что от него потребовал один из операторов, — прежний номер телефона, ФИО его владельца и его паспортные данные. Как раз всю ту информацию, что и оказалась в распоряжении Андреева благодаря даркнету.

Конечно, жертва получит уведомление о переадресации на свой номер телефона, но, как показал опыт Даниила, это может произойти как спустя несколько минут, так и спустя целый час. Но даже за несколько минут хакер уже может получить нужную ему информацию, а если он будет взламывать аккаунт в  четыре часа утра, то его хозяин не сразу отреагирует на пришедшее ему эсэмэс.

Как только Андреев подключил себе услугу переадресации, он приступил непосредственно к взлому аккаунта и попытался сменить пароль. Чтобы подтвердить это действие, «ВКонтакте» выслал эсэмэс с кодом. Оно приходит на телефон жертвы, так как переадресация работает только на звонки, но опять же если делать всё быстро, хозяин взломанного аккаунта не успеет предпринять никаких действий по защите своих данных.

Так как кода Андреев так и не получил, он просит «ВКонтакте» выслать ему ещё одно эсэмэс, и после этого сайт предлагает ему позвонить. Этого как раз пользователю и надо. Робот звонит на номер телефона взломщика, сообщает ему код, с помощью которого хакер меняет пароль. Даже если жертва быстро сменит пароль, Даниил мог бы либо попробовать взломать профиль ещё раз, либо сохранить все её данные к себе на компьютер.

Нет никаких проблем запустить скрипт дампа страницы, который сохранит всю историю переписок, все фотографии и всё, что только душе угодно, за пару секунд.

Единственное, что может помешать претворению описанного плана в жизнь, — отказ оператора настроить переадресацию через чат во «ВКонтакте», и такие операторы были. По правилам одних, переадресация может настраиваться только через сам телефон, другие писали, что переадресацию можно настроить, либо позвонив в колл-центр, либо в личном кабинете. А один оператор и вовсе согласился подключить переадресацию, только если человек лично придёт в салон.

Но куда же без недобросовестных.

Один из пользователей предположил, что оператор, логотип которого Даниил замазал, — «Билайн», и обратился за комментарием в их службу поддержки. Судя по скриншоту пользователя, «Билайн» действительно может установить переадресацию, если клиент просто предоставит паспортные данные даже через чат «ВКонтакте», а чтобы этого не случилось, можно прийти лично в салон и установить универсальный пароль.

Пользователи Habr часто находят уязвимости в системах безопасности различных компаний и сервисов и частенько таким образом помогают людям защитить свои личные данные. Так, совсем необязательно проходить авторизацию через «ВКонтакте», когда вы хотите посмотреть видео на Pornhub. Medialeaks рассказывал о нескольких простых способах остаться анонимным, когда смотрите любимые ролики на сайте.

Читайте на Medialeaks Личный опыт. Чему учить ребенка, чтобы воспитать счастливого взрослого

А причины опасаться за свои личные данные при пользовании Pornhub действительно есть. Согласно официальным заявлениям компании, она не передаёт данные третьим лицам, но в правдивости этих слов можно засомневаться, учитывая особые отношения Pornhub с «ВКонтакте» и Роскомнадзором.

Дочь приготовила маску для лица по рецепту мамы и окунулась в Хеллоуин. Побочный эффект превратил её в тыкву Дочь приготовила маску для лица по рецепту мамы и окунулась в Хеллоуин. Побочный эффект превратил её в тыкву Говорят, что каждый третий любит песню "Кадиллак". Старый мем получил новую жизнь в сети Говорят, что каждый третий любит песню "Кадиллак". Старый мем получил новую жизнь в сети Мальчики пошли гулять и начали карьеру сыщиков. Их находка раскрыла дело, остававшееся тайной три года Парень так много ел, что потерял сознание. Но именно это заставило его сбросить 120 кг и превратиться в атлета Парень так много ел, что потерял сознание. Но именно это заставило его сбросить 120 кг и превратиться в атлета Личный опыт. Как вырастить из ребенка человека, который сам умеет платить налоги? Личный опыт. Как вырастить из ребенка человека, который сам умеет платить налоги? To be or not to be: как учить ребенка английскому с пользой, а не ради галочки? Четырёхлетка довёл маму до слёз, но не шалостью. Он нашёл путь к сердцу женщины, и взрослым стоит поучиться Тест. Всё пробовал, всё знаю! Как мне расширить сексуальные горизонты? Тест. Всё пробовал, всё знаю! Как мне расширить сексуальные горизонты? Мужчина сделал пирсинг, а дальше — как в тумане. Очнулся он уже не человеком, и люди копят монеты для Ведьмака Мужчина сделал пирсинг, а дальше — как в тумане. Очнулся он уже не человеком, и люди копят монеты для Ведьмака Над семилеткой издевались в школе, но не сломили. Его вендетта заставит совесть обидчиков отомстить им сполна Над семилеткой издевались в школе, но не сломили. Его вендетта заставит совесть обидчиков отомстить им сполна Женщина сделала селфи и тут же пожалела об этом. На снимке был призрак, которого ей описали много лет назад Женщина сделала селфи и тут же пожалела об этом. На снимке был призрак, которого ей описали много лет назад Журналистка переживала за больную знакомую, но совершила ошибку. Правда о женщине оказалась похлеще диагноза Племянница не расслышала вопрос дяди на барбекю и переборщила с откровениями. Горячее гриля был лишь её секрет Племянница не расслышала вопрос дяди на барбекю и переборщила с откровениями. Горячее гриля был лишь её секрет Хабиб Нурмагомедов объявил об уходе из UFC, но фанаты не спешат огорчаться. Они уже нашли ему новое призвание Хабиб Нурмагомедов объявил об уходе из UFC, но фанаты не спешат огорчаться. Они уже нашли ему новое призвание Женщина живёт в 60-х годах, но у неё нет машины времени. Оказаться в прошлом ей помог стиль (и много денег) Жена не глядя подписала бумаги, которые дал муж. Стало плохо, когда она поняла, от чего так легко отказалась Жена не глядя подписала бумаги, которые дал муж. Стало плохо, когда она поняла, от чего так легко отказалась Мама думала, что ребёнок устаёт из-за спортивных секций, а зря. Визит к врачу открыл мучительную правду о сыне Мама думала, что ребёнок устаёт из-за спортивных секций, а зря. Визит к врачу открыл мучительную правду о сыне Пара начала играть в поиск тайников, но вряд ли продолжит. Первое же задание привело их к заброшке с призраком Посетительница выставки раскрыла тайну пропавшей картины. Работы её автора напомнили ей кое-что в доме соседей Люди услышали пение на дереве, но это были не птицы. Зато вопли оказались знакомы всем фанатам «Звёздных войн» Люди услышали пение на дереве, но это были не птицы. Зато вопли оказались знакомы всем фанатам «Звёздных войн» Папа назвал сына именем героя кино — весело, но ошибся. Его Энакин тоже перешёл на тёмную сторону Папа назвал сына именем героя кино — весело, но ошибся. Его Энакин тоже перешёл на тёмную сторону Близняшки хотели отличаться друг от друга и сделали разные тату. Но обе слишком увлеклись, и стало только хуже Близняшки хотели отличаться друг от друга и сделали разные тату. Но обе слишком увлеклись, и стало только хуже Что будет, если жить по гороскопу. Женщина испытала на себе и доказала: лучше довериться звёздам, чем планам Что будет, если жить по гороскопу. Женщина испытала на себе и доказала: лучше довериться звёздам, чем планам Модель изменил 75 процентов своего тела, но не ради красоты. Его идеал — нежить, и он уже без четверти зомби