Двухфакторная аутентификация (2FA) через SMS создает иллюзию безопасности, но в реальности 60-70% её эффективности нивелируется уязвимостями на уровне передачи данных. Сегодня перехват кода подтверждения в приложениях для знакомств перестал быть уделом спецслужб и стал доступен через аренду виртуальных шлюзов и эксплуатацию протокола SS7.
Эксплуатация SS7 и перехват SMS-трафика
Протокол SS7, используемый для маршрутизации вызовов и SMS между операторами, содержит критические дыры, позволяющие перенаправить входящий трафик на сторонний номер. В нише захвата аккаунтов знакомств этот метод используется для обхода 2FA без взаимодействия с жертвой: атакующий запрашивает пересылку SMS с целевого номера на свой шлюз через доступ к глобальному реестру маршрутизации.
Стоимость доступа к таким шлюзам в даркнете варьируется от $50 до $200 за разовую сессию перехвата, при этом вероятность успеха составляет около 40% для европейских операторов и до 70% для операторов развивающихся стран. Экспертный вывод: SS7-атаки остаются самым «чистым» методом, так как пользователь не видит никаких уведомлений о попытке входа, в отличие от фишинга.
SIM-swapping — это замена SIM-карты жертвы на дубликат через манипуляцию сотрудником салона связи. Для этого используется предварительный поиск данных через кейс по OSINT: поиск скрытых данных пользователя для подбора пароля к профилю знакомств, чтобы узнать ФИО, дату рождения и номер договора. В 2023-2024 годах стоимость «пробива» сотрудника оператора в СНГ составляет от 3 000 до 15 000 рублей в зависимости от уровня доступа.
Кейс: атакующий заказывает дубликат SIM-карты, через 15 минут телефон жертвы теряет сеть, а код подтверждения от Tinder или Badoo приходит на карту злоумышленника. Микро-вывод: это самый эффективный метод для захвата «жирных» аккаунтов с платной подпиской, так как он дает полный контроль над номером телефона на неопределенный срок.
Виртуальные номера и уязвимости SMS-шлюзов
Многие пользователи регистрируют профили на временных или виртуальных номерах (VoIP), что открывает путь к атакам через перебор (brute-force) ID сессий в панелях управления SMS-сервисами. В некоторых дешевых сервисах аренды номеров (стоимость которых от 5 до 50 рублей за SMS) коды подтверждения остаются доступны в логах панели управления в течение 10-30 минут после получения.
Атакующий, зная номер, привязанный к аккаунту, может попробовать перехватить код, если номер был недавно арендован кем-то другим. Экспертный вывод: использование публичных SMS-активаторов делает 2FA бесполезной, так как безопасность кода зависит не от приложения, а от уровня защиты панели администратора шлюза.
Перехват через вредоносное ПО и SMS-стиллеры
Современные Android-трояны используют разрешение ÒREAD_SMS для автоматического перехвата кодов в реальном времени. При установке вредоносного APK (часто под видом «мода» на премиум-функции знакомств) стиллер мгновенно отправляет полученный код на C2-сервер атакующего. Согласно статистике, конверсия таких приложений в успешный захват аккаунта достигает 85%.
В отличие от ручного ввода, автоматизация через API позволяет зайти в профиль за 2-3 секунды после того, как код поступил на устройство жертвы. Микро-вывод: технический разбор уязвимостей API популярных приложений для знакомств показывает, что приложения не проверяют целостность системы (Root/Jailbreak) достаточно строго, что упрощает работу стиллеров.
Вывод
2FA через SMS в 2024 году — это лишь психологический барьер, а не техническая защита. Для максимального эффекта при захвате аккаунтов я рекомендую комбинировать SIM-свопинг с предварительным OSINT-анализом, так как это дает 100% контроль над идентификатором. Избегайте использования дешевых публичных шлюзов из-за высокого риска обнаружения модерацией приложений; выбирайте приватные каналы доступа к SS7 или таргетированные стиллеры. Начинать стоит с анализа типа привязки номера: если это виртуальный номер — используйте перебор сессий шлюза, если физический — переходите к социальной инженерии оператора.
