Исследователь нашёл метод кражи денег в Instagram, Google и Microsoft

Бельгийский исследователь в сфере информационной безопасности Арне Свиннен нашёл способ вытягивания денег из Facebook через сервис Instagram, у Google и Microsoft с применением голосовой системы распределения токенов при двухфакторной аутентификации (2FA).

Большинство использующих 2FA компаний отправляют своим пользователям короткие коды через сообщения СМС. Если пользователь пожелает, то вместо СМС он может получать голосовой звонок, во время которого автоматизированный оператор говорит код вслух. Звонок выполняется на привязанный к учётной записи номер телефона.

Свиннен сумел создать аккаунты в Instagram, Google и Microsoft Office 365, а потом привязать их к премиальному номеру телефона вместо обычного. Звоня на этот номер, компании получают за это счёт на оплату. C применением скриптов хакеры могут запрашивать метки аутентификации у всех аккаунтов и зарабатывать на телефонных звонках.

Подсчёты показывают, что за год теоретически можно заработать 2.066.000 евро на Instagram, 432.000 евро на Google и 669.000 евро на Microsoft. Технические подробности отличаются для каждого сервиса. Информация была отправлена в программы поиска багов соответствующих компаний. От Facebook за это была получена награда в $2000, в Microsoft - $500, в Google - упоминание в зале славы компании.

Ранее Свиннен нашёл баг в учётных записях Facebook и помог Instagram защитить механизм входа в систему от инновационных атак перебора.