Whalesbook
डिजिटल ओळखीतील 'कमकुवत दुवा': SMS OTP
आजकाल ऑनलाईन ओळख पटवण्यासाठी मोबाईल नंबर हा सर्वात महत्त्वाचा आधार बनला आहे. मात्र, केवळ SMS द्वारे पाठवल्या जाणाऱ्या वन-टाइम पासवर्ड (OTP) द्वारे ओळख पडताळणे, ही एक मोठी सुरक्षा समस्या बनली आहे. सायबर गुन्हेगार याचा फायदा घेऊन 'SIM Swap Scam' सारखे हल्ले करत आहेत. या युक्त्यांमध्ये, ते पीडित व्यक्तीचा मोबाईल नंबर स्वतःच्या SIM कार्डवर ट्रान्सफर करतात. यामुळे, त्या नंबरवर येणारे सर्व OTP थेट गुन्हेगारांपर्यंत पोहोचतात. या OTPs चा वापर करून ते बँक खाती, क्रिप्टोकरन्सी वॉलेट्स आणि इतर महत्त्वाच्या डिजिटल सेवांमध्ये प्रवेश मिळवू शकतात.
SIM Swap फ्रॉडमुळे होणारे प्रचंड आर्थिक नुकसान
SIM Swap फसवणूक ही जगभरातील एक गंभीर समस्या बनली असून, यामुळे मोठे आर्थिक नुकसान होत आहे. 2024 मध्ये, FBI च्या इंटरनेट क्राईम कंप्लेंट सेंटर (IC3) नुसार, केवळ अमेरिकेत SIM स्वॅपिंगमुळे जवळपास $26 मिलियन (सुमारे ₹216 कोटी) चे नुकसान झाले. जगभरातील आकडे याहून अधिक चिंताजनक आहेत. युनायटेड किंगडममध्ये (UK) अनधिकृत SIM स्वॅपच्या घटनांमध्ये तब्बल 1,055% ची वाढ दिसून आली आहे. 2023 मध्ये, अमेरिकेत SIM स्वॅपिंगसह खात्यांवर ताबा मिळवण्याच्या (Account Takeover) एकूण फसवणुकीमुळे सुमारे $23 बिलियन (सुमारे ₹1914 कोटी) चा फटका बसला. हे आकडे दाखवतात की हा हल्ला किती सहजपणे वाढवता येतो आणि सध्याच्या सुरक्षा प्रणालींमधील त्रुटींचा गैरफायदा कसा घेतला जातो. मुंबईतील एका स्टील ट्रेडिंग कंपनीला SIM Swap मुळे त्यांच्या कॉर्पोरेट खात्यांवर ताबा मिळवल्यानंतर ₹7.5 कोटी गमवावे लागले होते.
SMS OTP इतके असुरक्षित का आहेत?
यामागचे मुख्य कारण म्हणजे SMS OTP मध्ये असलेली मूळ असुरक्षितता. आधुनिक सुरक्षा पद्धतींप्रमाणे SMS मेसेजेस एन्क्रिप्टेड (Encrypted) नसतात आणि ते सहजपणे चोरले जाऊ शकतात. हे SIM स्वॅपिंगद्वारे, SS7 प्रोटोकॉलमधील त्रुटींचा फायदा घेऊन किंवा फिशिंग (Phishing) सारख्या अत्याधुनिक स्कॅम्सद्वारे होऊ शकते. NIST सारखे सुरक्षा तज्ञ अनेक वर्षांपासून SMS OTPs चा वापर मजबूत ओळख पडताळणीसाठी न करण्याचा सल्ला देत आहेत, कारण ते अत्यंत असुरक्षित आहेत. लोकांकडून सहजपणे मिळणारी वैयक्तिक माहिती आणि मोबाईल कंपन्यांकडून केली जाणारी कमकुवत पडताळणी यामुळे गुन्हेगारांना ग्राहक बनून त्यांच्या फोन नंबरवर ताबा मिळवणे सोपे जाते.
सुरक्षा उपायांमध्ये संथगतीमुळे वाढतोय धोका
नियामक या फसवणुकीला आळा घालण्याचा प्रयत्न करत आहेत. भारतात, ट्राय (TRAI) ने SIM स्वॅपनंतर नंबर ट्रान्सफर होण्यापूर्वी सात दिवसांची प्रतीक्षा बंधनकारक केली आहे, जेणेकरून फसवणूक ओळखता येईल. अमेरिकेतील FCC ने देखील SIM बदलताना अधिक मजबूत पडताळणीसाठी नवीन नियम लागू केले आहेत. मात्र, हे नियम केवळ हल्ल्यांना प्रतिसाद म्हणून येत आहेत. मार्केट वेगाने अधिक सुरक्षित ओळख पडताळणी पर्यायांकडे वळत आहे, जे फिशिंगला प्रतिकार करू शकतील. यामध्ये कोड जनरेट करणारे ॲप्स, फिजिकल सिक्युरिटी कीज (FIDO2) आणि फेशियल रेकग्निशन (Facial Recognition) व सर्व्हर-साइड बायोमेट्रिक्स (Biometrics) सारख्या प्रगत पद्धतींचा समावेश आहे. नेटवर्क डेटा API देखील महत्त्वाचे ठरत आहेत, ज्यामुळे बँकांना रिअल-टाइममध्ये SIM Swap च्या घटना तपासता येतील आणि हा धोका वेळीच रोखता येईल. ऑस्ट्रेलिया आणि यूकेमधील नियामकांनी स्वीकारलेल्या FIDO मानकांचा वाढता वापर सुरक्षित उपायांकडे वाटचाल दर्शवतो.
सुरक्षेमध्ये जुन्या पद्धतीच का टिकून आहेत?
SIM Swap फसवणुकीच्या वाढत्या घटना हे दर्शवतात की आजच्या धोक्यांना तोंड देण्यासाठी सुरक्षा उपायांमध्ये वेळेनुसार बदल झालेला नाही. बँका आणि मोबाईल कंपन्या SMS OTPs वापरणे थांबवण्यात संथ आहेत, जे मौल्यवान ऑनलाइन खात्यांचे संरक्षण करण्यासाठी पुरेसे नाहीत. या हल्ल्यांमध्ये डेटा ब्रीचमधून सहजपणे मिळवलेली वैयक्तिक माहिती आणि स्मार्ट ट्रिक्स वापरल्या जातात, ज्याद्वारे फोन कंपन्यांच्या सुरक्षा तपासण्यांना सहजपणे बायपास केले जाते. नियामक संरक्षण देत असले तरी, हल्लेखोरांच्या वेगाशी ते जुळवून घेऊ शकत नाहीत. पडताळणीसाठी वैयक्तिक तपशिलांचा वापर आणि फोन नेटवर्कमधील कमकुवत दुवे यामुळे सतत एक धोका निर्माण होतो. विशेषतः वृद्ध लोक या फसवणुकीचे लक्ष्य बनतात आणि जास्त पैसे गमावतात, जी सुरक्षा डिझाइनमधील एक मोठी त्रुटी दर्शवते. वित्तीय कंपन्यांसाठी या हल्ल्यांमुळे केवळ फसवणुकीचेच नाही, तर मानवी तपासणी, वारंवार ओळख पडताळणी आणि कमकुवत SMS सुरक्षेसाठी लागणारा अतिरिक्त खर्चही वाढला आहे.
SMS पडताळणीच्या पलीकडे भविष्याची गरज
हे स्पष्ट आहे की SMS OTPs आता कालबाह्य होत आहेत. SIM Swap हल्ल्यांमध्ये होणारी वेगाने वाढ, नियामकांच्या वाढत्या मागण्या आणि चांगल्या सुरक्षा तंत्रज्ञानामुळे कंपन्या या असुरक्षित पद्धतींपासून दूर जातील. भविष्यातील डिजिटल ओळख सुरक्षा ही जोखीम मूल्यांकन (Risk Assessment), प्रगत बायोमेट्रिक्स, FIDO मानके आणि मजबूत हमीसाठी नेटवर्क डेटा वापरणाऱ्या बहुस्तरीय प्रणालींवर (Layered Systems) आधारित असेल. जे कंपन्या या बदलांना स्वीकारणार नाहीत, त्यांना अधिक धोकादायक ऑनलाइन जगात मोठे आर्थिक आणि प्रतिष्ठेचे धोके पत्करावे लागतील.