黑客通過重定向他的Verizon電話號碼來劫持

今天我了解到，對于一個人來說，打電話給提供商和改變你的SIM是相當容易的。黑客得到了帳戶驗證文本。

正如一系列推文中所詳述的那樣，今天早上，有人打電話給Verizon，稱他為McKesson，顯然他的社會保障號碼的最后四位數(shù)。這個人改變了他的帳戶上的注冊SIM到一個他們控制，重定向和短信到他們的手機，而不是他的。之后，他們只是在Twitter上觸發(fā)了一個密碼重置，并等待授權(quán)代碼進來。

雖然@Deray能夠在Twitter的幫助下恢復(fù)他的帳戶（與@Jack做朋友很好），但對于正常用戶來說，這可能不那么容易。不幸的是，即使有這樣的額外安全措施，各種類型的社會工程仍然會危及你的信息。黑客在2014年使用了類似的消息來控制開發(fā)商Grant Blakeman的Instagram頁面，并在2012年通過重定向其AT&；T語音信箱訪問了Cloudflare CEO的Gmail帳戶。當一個黑客說服亞馬遜放棄他的信用卡號碼的最后四位數(shù)時，有線作家Mat Honan接管了他的帳戶和設(shè)備，然后用這些信息為他的蘋果iCloud帳戶獲得了一個新密碼。

那么你還能做些什么來保護自己呢？不幸的是，許多服務(wù)仍然使用短信或電話來執(zhí)行第二位身份驗證（使用谷歌認證程序等應(yīng)用程序提供的一次性密碼將您的電話號碼從等式中刪除），而當涉及到電話和電纜提供商時，它們基本上不支持雙因素。相反，默認情況下，他們將使用SSN在電話中驗證帳戶信息，就像在這種情況下看到的，這是非常容易被黑客發(fā)現(xiàn)的。

Buzzfeed指出了FCCCTO最近發(fā)布的一項建議：主要的移動運營商將允許您設(shè)置自己的密碼，這是帳戶訪問所必需的。Sprint在帳戶設(shè)置時需要一個PIN，Verizon可以設(shè)置一個四位數(shù)的計費密碼，T-Mobile將設(shè)置一個客戶關(guān)懷密碼，AT&；T允許您通過其應(yīng)用程序設(shè)置一個密碼。您的互聯(lián)網(wǎng)服務(wù)提供商可能也有類似的選擇，但您可能也必須在那里請求它。

Verizon擁有Engadget的母公司Verizon Media。請放心，Verizon無法控制我們的覆蓋范圍。Engadget在編輯上仍然獨立。