Whalesbook
SMS OTPs: ਡਿਜੀਟਲ ਪਛਾਣ ਦਾ ਕਮਜ਼ੋਰ ਲਿੰਕ
ਮੋਬਾਈਲ ਨੰਬਰ ਹੁਣ ਆਨਲਾਈਨ ਪਛਾਣ ਤਸਦੀਕ (Identity Verification) ਦਾ ਮੁੱਖ ਜ਼ਰੀਆ ਬਣ ਗਏ ਹਨ। ਪਰ, ਵਨ-ਟਾਈਮ ਪਾਸਵਰਡ (OTP) ਲਈ SMS ਦੀ ਵਰਤੋਂ ਨੇ ਇੱਕ ਵੱਡੀ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆ ਖੜ੍ਹੀ ਕਰ ਦਿੱਤੀ ਹੈ। ਅਪਰਾਧੀ ਇਸ ਕਮਜ਼ੋਰੀ ਦਾ ਫਾਇਦਾ ਉਠਾ ਕੇ SIM Swap Attacks ਕਰ ਰਹੇ ਹਨ। ਇਸ ਤਕਨੀਕ ਰਾਹੀਂ, ਹੈਕਰ ਪੀੜਤ ਦੇ ਫ਼ੋਨ ਨੰਬਰ ਨੂੰ ਆਪਣੇ ਕੰਟਰੋਲ ਹੇਠਲੀ SIM 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕਰਵਾ ਲੈਂਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਉਹ OTP ਕੋਡ ਪ੍ਰਾਪਤ ਕਰਕੇ ਬੈਂਕ ਖਾਤੇ, ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਅਤੇ ਹੋਰ ਅਹਿਮ ਡਿਜੀਟਲ ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਹਾਸਲ ਕਰ ਲੈਂਦੇ ਹਨ।
SIM Swap Fraud ਕਾਰਨ ਹੋ ਰਹੇ ਅਰਬਾਂ ਦੇ ਨੁਕਸਾਨ
SIM Swap Fraud ਇੱਕ ਗਲੋਬਲ ਸਮੱਸਿਆ ਬਣ ਚੁੱਕੀ ਹੈ ਅਤੇ ਇਸ ਕਾਰਨ ਭਾਰੀ ਵਿੱਤੀ ਨੁਕਸਾਨ ਹੋ ਰਿਹਾ ਹੈ। 2024 ਵਿੱਚ, ਅਮਰੀਕਾ ਦੇ FBI ਦੇ ਇੰਟਰਨੈੱਟ ਕ੍ਰਾਈਮ ਕੰਪਲੇਂਟ ਸੈਂਟਰ (IC3) ਨੇ ਸਿਰਫ਼ ਅਮਰੀਕਾ ਵਿੱਚ SIM Swapping ਕਾਰਨ ਲਗਭਗ $26 ਮਿਲੀਅਨ (ਲਗਭਗ ₹217 ਕਰੋੜ) ਦੇ ਨੁਕਸਾਨ ਦੀ ਰਿਪੋਰਟ ਦਿੱਤੀ। ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਇਹ ਅੰਕੜੇ ਹੋਰ ਵੀ ਚਿੰਤਾਜਨਕ ਹਨ: ਯੂਕੇ ਵਿੱਚ ਅਣਅਧਿਕਾਰਤ SIM Swap ਦੀਆਂ ਘਟਨਾਵਾਂ ਵਿੱਚ 1,055% ਦਾ ਜ਼ਬਰਦਸਤ ਵਾਧਾ ਦੇਖਣ ਨੂੰ ਮਿਲਿਆ ਹੈ। ਖਾਤਾ ਟੇਕਓਵਰ (Account Takeovers), ਜਿਸ ਵਿੱਚ SIM Swapping ਵੀ ਸ਼ਾਮਲ ਹੈ, ਕਾਰਨ 2023 ਵਿੱਚ ਅਮਰੀਕਾ ਨੂੰ ਲਗਭਗ $23 ਬਿਲੀਅਨ (ਲਗਭਗ ₹1920 ਕਰੋੜ) ਦਾ ਫਰਾਡ ਹੋਇਆ। ਇਹ ਹਮਲੇ ਆਸਾਨੀ ਨਾਲ ਸਕੇਲ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ ਅਤੇ ਮੌਜੂਦਾ ਸੁਰੱਖਿਆ ਪ੍ਰਣਾਲੀਆਂ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਫਾਇਦਾ ਉਠਾਉਂਦੇ ਹਨ। ਇਸ ਦਾ ਸਿੱਟਾ ਸਿੱਧੀ ਚੋਰੀ ਅਤੇ ਬੈਂਕਾਂ ਤੇ ਟੈਲੀਫੋਨ ਕੰਪਨੀਆਂ ਦੀ ਸਾਖ ਨੂੰ ਨੁਕਸਾਨ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਮੁੰਬਈ ਦੀ ਇੱਕ ਸਟੀਲ ਵਪਾਰਕ ਫਰਮ ਨੂੰ ₹7.5 ਕਰੋੜ ਦਾ ਨੁਕਸਾਨ ਹੋਇਆ ਜਦੋਂ SIM Swap ਰਾਹੀਂ ਉਨ੍ਹਾਂ ਦੇ ਕਾਰਪੋਰੇਟ ਖਾਤਿਆਂ 'ਤੇ ਕਬਜ਼ਾ ਕਰ ਲਿਆ ਗਿਆ।
SMS OTPs ਹੈਕ ਕਰਨਾ ਇੰਨਾ ਆਸਾਨ ਕਿਉਂ?
ਮੁੱਖ ਸਮੱਸਿਆ SMS OTPs ਦੀ ਬੁਨਿਆਦੀ ਕਮਜ਼ੋਰੀ ਹੈ। ਆਧੁਨਿਕ ਸੁਰੱਖਿਆ ਵਿਧੀਆਂ ਦੇ ਉਲਟ, SMS ਸੁਨੇਹੇ ਐਨਕ੍ਰਿਪਟਿਡ (Encrypted) ਨਹੀਂ ਹੁੰਦੇ ਅਤੇ ਆਸਾਨੀ ਨਾਲ ਚੋਰੀ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਇਹ SIM Swapping, SS7 ਪ੍ਰੋਟੋਕੋਲ ਦੀਆਂ ਖਾਮੀਆਂ, ਜਾਂ ਐਡਵਾਂਸਡ ਫਿਸ਼ਿੰਗ ਸਕੈਮ ਰਾਹੀਂ ਹੋ ਸਕਦਾ ਹੈ। NIST ਵਰਗੇ ਸੁਰੱਖਿਆ ਮਾਹਰ ਲੰਬੇ ਸਮੇਂ ਤੋਂ SMS OTPs ਦੀ ਵਰਤੋਂ ਮਜ਼ਬੂਤ ਪਛਾਣ ਜਾਂਚ ਲਈ ਨਾ ਕਰਨ ਦੀ ਸਲਾਹ ਦਿੰਦੇ ਆ ਰਹੇ ਹਨ ਕਿਉਂਕਿ ਇਹ ਬਹੁਤ ਕਮਜ਼ੋਰ ਹਨ। ਨਿੱਜੀ ਡਾਟਾ 'ਤੇ ਨਿਰਭਰਤਾ, ਜੋ ਆਸਾਨੀ ਨਾਲ ਚੋਰੀ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਟੈਲੀਫੋਨ ਕੰਪਨੀਆਂ ਵੱਲੋਂ ਕਮਜ਼ੋਰ ਜਾਂਚ ਪ੍ਰਕਿਰਿਆਵਾਂ ਹੈਕਰਾਂ ਲਈ ਗਾਹਕਾਂ ਦਾ ਰੂਪ ਧਾਰਨ ਕਰਨਾ ਅਤੇ ਉਨ੍ਹਾਂ ਦੇ ਫ਼ੋਨ ਨੰਬਰਾਂ 'ਤੇ ਕਬਜ਼ਾ ਕਰਨਾ ਆਸਾਨ ਬਣਾ ਦਿੰਦੀਆਂ ਹਨ।
ਸੁਰੱਖਿਆ ਅੱਪਗ੍ਰੇਡ ਵਿੱਚ ਦੇਰੀ ਕਾਰਨ ਵਧ ਰਿਹਾ ਫਰਾਡ
ਰੈਗੂਲੇਟਰ ਇਸ ਫਰਾਡ ਨੂੰ ਰੋਕਣ ਲਈ ਕੋਸ਼ਿਸ਼ਾਂ ਕਰ ਰਹੇ ਹਨ। ਭਾਰਤ ਵਿੱਚ, ਭਾਰਤ ਦੀ ਦੂਰਸੰਚਾਰ ਰੈਗੂਲੇਟਰੀ ਅਥਾਰਟੀ (TRAI) ਹੁਣ SIM Swap ਤੋਂ ਬਾਅਦ ਨੰਬਰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸੱਤ ਦਿਨਾਂ ਦੀ ਉਡੀਕ ਲਾਜ਼ਮੀ ਕਰਦੀ ਹੈ, ਤਾਂ ਜੋ ਫਰਾਡ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾ ਸਕੇ। ਅਮਰੀਕਾ ਦੀ FCC ਨੇ ਵੀ SIM ਬਦਲਣ ਵੇਲੇ ਮਜ਼ਬੂਤ ਪਛਾਣ ਤਸਦੀਕ ਲਈ ਨਵੇਂ ਨਿਯਮ ਜਾਰੀ ਕੀਤੇ ਹਨ। ਪਰ ਇਹ ਕਦਮ ਮੁੱਖ ਤੌਰ 'ਤੇ ਹਮਲਿਆਂ 'ਤੇ ਪ੍ਰਤੀਕਿਰਿਆ ਹਨ। ਬਾਜ਼ਾਰ ਫਿਸ਼ਿੰਗ-ਰੋਧਕ, ਸੁਰੱਖਿਅਤ ਪਛਾਣ ਤਸਦੀਕ ਵਿਕਲਪਾਂ ਵੱਲ ਤੇਜ਼ੀ ਨਾਲ ਅੱਗੇ ਵਧ ਰਿਹਾ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚ ਕੋਡ ਜਨਰੇਟ ਕਰਨ ਵਾਲੀਆਂ Authenticator Apps, ਫਿਜ਼ੀਕਲ ਸੁਰੱਖਿਆ ਕੀਜ਼ (FIDO2), ਅਤੇ ਫੇਸ਼ੀਅਲ ਰੈਕੋਗਨੀਸ਼ਨ ਤੇ ਸਰਵਰ-ਸਾਈਡ ਬਾਇਓਮੈਟ੍ਰਿਕਸ ਵਰਗੀਆਂ ਐਡਵਾਂਸਡ ਵਿਧੀਆਂ ਸ਼ਾਮਲ ਹਨ। ਨੈੱਟਵਰਕ ਡਾਟਾ API ਵੀ ਮਹੱਤਵਪੂਰਨ ਬਣ ਰਹੇ ਹਨ, ਜੋ ਬੈਂਕਾਂ ਨੂੰ ਇਸ ਖ਼ਤਰੇ ਨੂੰ ਰੋਕਣ ਲਈ ਰੀਅਲ-ਟਾਈਮ ਵਿੱਚ SIM Swap ਘਟਨਾਵਾਂ ਦੀ ਸਿੱਧੀ ਜਾਂਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ। ਆਸਟ੍ਰੇਲੀਆ ਅਤੇ ਯੂਕੇ ਦੇ ਰੈਗੂਲੇਟਰਾਂ ਦੁਆਰਾ ਸਵੀਕਾਰ ਕੀਤੇ ਗਏ FIDO ਸਟੈਂਡਰਡਜ਼ ਦੀ ਵਧਦੀ ਵਰਤੋਂ, ਤੁਹਾਡੀ ਡਿਵਾਈਸ ਨਾਲ ਜੁੜੀਆਂ ਸੁਰੱਖਿਅਤ ਵਿਧੀਆਂ ਵੱਲ ਇੱਕ ਵੱਡਾ ਕਦਮ ਦਰਸਾਉਂਦੀ ਹੈ।
ਸੁਰੱਖਿਆ ਅੱਜ ਦੇ ਖਤਰਿਆਂ ਨਾਲ ਕਿਉਂ ਨਹੀਂ ਤਾਲਮੇਲ ਬਿਠਾ ਸਕੀ?
SIM Swap Fraud ਦਾ ਵਿਆਪਕ ਪ੍ਰਸਾਰ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਅੱਜ ਦੇ ਖਤਰਿਆਂ ਲਈ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਵਿੱਚ ਅਸਫਲਤਾ ਮਿਲੀ ਹੈ। ਬੈਂਕਾਂ ਅਤੇ ਟੈਲੀਫੋਨ ਕੰਪਨੀਆਂ SMS OTPs ਦੀ ਵਰਤੋਂ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ਹੌਲੀਆਂ ਰਹੀਆਂ ਹਨ, ਜੋ ਕੀਮਤੀ ਆਨਲਾਈਨ ਖਾਤਿਆਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਕਾਫੀ ਨਹੀਂ ਹਨ। ਇਹ ਹਮਲੇ ਡਾਟਾ ਬਰੇਚਾਂ ਤੋਂ ਆਸਾਨੀ ਨਾਲ ਮਿਲਣ ਵਾਲੇ ਨਿੱਜੀ ਡਾਟਾ ਅਤੇ ਜਾਣਕਾਰੀ ਹਾਸਲ ਕਰਨ ਲਈ ਚਲਾਕੀ ਭਰੀਆਂ ਚਾਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਜੋ ਕਿ ਬਹੁਤ ਘੱਟ ਮਿਹਨਤ ਨਾਲ ਟੈਲੀਫੋਨ ਕੰਪਨੀ ਦੀਆਂ ਸੁਰੱਖਿਆ ਜਾਂਚਾਂ ਨੂੰ ਵੀ ਪਾਰ ਕਰ ਜਾਂਦੇ ਹਨ। ਜਦੋਂ ਕਿ ਰੈਗੂਲੇਟਰ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ, ਉਹ ਅਕਸਰ ਹਮਲਾਵਰਾਂ ਨਾਲ ਤਾਲਮੇਲ ਨਹੀਂ ਬਿਠਾ ਪਾਉਂਦੇ। ਪਛਾਣ ਤਸਦੀਕ ਲਈ ਨਿੱਜੀ ਵੇਰਵਿਆਂ ਦੀ ਵਰਤੋਂ, ਟੈਲੀਫੋਨ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰ ਪੁਆਇੰਟਾਂ ਦੇ ਨਾਲ, ਇੱਕ ਲਗਾਤਾਰ ਕਮਜ਼ੋਰ ਸਥਾਨ ਬਣਾਉਂਦੀ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ ਬਜ਼ੁਰਗ ਲੋਕ, ਜੋ ਅਕਸਰ ਨਿਸ਼ਾਨਾ ਬਣਦੇ ਹਨ, ਜ਼ਿਆਦਾ ਪੈਸਾ ਗੁਆ ਬੈਠਦੇ ਹਨ, ਜੋ ਸੁਰੱਖਿਆ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਇੱਕ ਖਾਮੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਵਿੱਤੀ ਫਰਮਾਂ ਲਈ ਲਾਗਤਾਂ ਭਾਰੀ ਹਨ, ਨਾ ਸਿਰਫ਼ ਫਰਾਡ ਕਾਰਨ, ਸਗੋਂ ਮਨੁੱਖੀ ਜਾਂਚਾਂ, ਵਾਰ-ਵਾਰ ਪਛਾਣ ਤਸਦੀਕ, ਅਤੇ ਕਮਜ਼ੋਰ SMS ਸੁਰੱਖਿਆ ਲਈ ਜੁਰਮਾਨਿਆਂ ਕਾਰਨ ਵੀ।
ਭਵਿੱਖ SMS ਤਸਦੀਕ ਤੋਂ ਪਰੇ ਹੈ
ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ SMS OTPs ਹੁਣ ਅਪ੍ਰਚਲਿਤ ਹੋ ਰਹੇ ਹਨ। SIM Swap ਹਮਲਿਆਂ ਵਿੱਚ ਤੇਜ਼ੀ ਨਾਲ ਹੋ ਰਿਹਾ ਵਾਧਾ, ਰੈਗੂਲੇਟਰੀ ਮੰਗਾਂ ਵਿੱਚ ਵਾਧਾ, ਅਤੇ ਬਿਹਤਰ ਸੁਰੱਖਿਆ ਤਕਨਾਲੋਜੀਆਂ ਇਸ ਅਸੁਰੱਖਿਅਤ ਵਿਧੀ ਤੋਂ ਦੂਰ ਜਾਣ ਲਈ ਕੰਪਨੀਆਂ ਨੂੰ ਮਜਬੂਰ ਕਰਨਗੀਆਂ। ਭਵਿੱਖ ਦੀ ਡਿਜੀਟਲ ਪਛਾਣ ਸੁਰੱਖਿਆ ਵਿੱਚ ਲੇਅਰਡ ਸਿਸਟਮ, ਜੋਖਮ ਦਾ ਮੁਲਾਂਕਣ, ਐਡਵਾਂਸਡ ਬਾਇਓਮੈਟ੍ਰਿਕਸ, FIDO ਸਟੈਂਡਰਡਜ਼, ਅਤੇ ਮਜ਼ਬੂਤ ਯਕੀਨ ਲਈ ਨੈੱਟਵਰਕ ਡਾਟਾ ਦੀ ਵਰਤੋਂ ਸ਼ਾਮਲ ਹੋਵੇਗੀ। ਜੋ ਕੰਪਨੀਆਂ ਬਦਲਾਅ ਨਹੀਂ ਕਰਨਗੀਆਂ, ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਧ ਖਤਰਨਾਕ ਆਨਲਾਈਨ ਦੁਨੀਆ ਵਿੱਚ ਭਾਰੀ ਵਿੱਤੀ ਅਤੇ ਸਾਖ ਦੇ ਜੋਖਮਾਂ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪਵੇਗਾ।