Whalesbook
SMS OTPల భద్రత: డిజిటల్ ప్రపంచంలో పెద్ద చిక్కుముడి!
ఈ రోజుల్లో మొబైల్ నంబర్ అనేది ఆన్లైన్ లో మీ గుర్తింపునకు కీలకంగా మారింది. అయితే, ఈ గుర్తింపు నిర్ధారణ కోసం SMS ద్వారా OTPలను వాడటం అనేది ఒక పెద్ద సెక్యూరిటీ సమస్యగా తయారైంది. నేరస్థులు ఈ అవకాశాన్ని వాడుకుంటూ SIM Swap దాడులకు పాల్పడుతున్నారు. ఈ ట్రిక్ ద్వారా, మీ ఫోన్ నంబర్ ను తమ సిమ్ కార్డుకు రీ-డైరెక్ట్ చేసుకుని, మీ OTPలను దొంగిలించగలుగుతున్నారు. దీనితో మీ బ్యాంక్ అకౌంట్లు, క్రిప్టో వాలెట్లు, ఇతర ముఖ్యమైన డిజిటల్ సేవలకు యాక్సెస్ ను సులభంగా పొందగలుగుతున్నారు.
SIM Swap మోసాలతో మునిగిపోతున్న డబ్బు
SIM Swap మోసాలు ప్రపంచవ్యాప్తంగా తీవ్ర నష్టాలను సృష్టిస్తున్నాయి. 2024 లో, FBI యొక్క ఇంటర్నెట్ క్రైమ్ కంప్లైంట్ సెంటర్ (IC3) ప్రకారం, ఒక్క అమెరికాలోనే SIM Swapping తో దాదాపు $26 మిలియన్ల నష్టం వాటిల్లింది. ప్రపంచవ్యాప్తంగా ఈ గణాంకాలు ఇంకా ఎక్కువగా ఉన్నాయి. యూకే లో అయితే అనధికారిక SIM Swaps లో ఏకంగా 1,055% పెరుగుదల కనిపించింది. మొత్తంగా, ఖాతా టేకోవర్ (Account Takeover) మోసాలతో, SIM Swapping తో సహా, 2023 లో అమెరికాకు సుమారు $23 బిలియన్ల నష్టం కలిగింది. ఈ రకమైన దాడులు సులభంగా పెద్ద ఎత్తున చేయగలగడం, ప్రస్తుత సెక్యూరిటీ సిస్టమ్స్ లోని బలహీనతలను వాడుకోవడం వంటివి దీనికి కారణాలు. దీనివల్ల ప్రత్యక్ష దొంగతనాలతో పాటు, బ్యాంకులు, టెలికాం కంపెనీల ప్రతిష్ట కూడా దెబ్బతింటోంది. ఉదాహరణకు, ముంబైలోని ఒక స్టీల్ ట్రేడింగ్ సంస్థ SIM Swap దాడి కారణంగా తమ కార్పొరేట్ ఖాతాల నుంచి ₹7.5 కోట్ల మొత్తాన్ని కోల్పోయింది.
SMS OTPలు ఎందుకు అంత సులువుగా హ్యాక్ అవుతాయి?
SMS OTPల లో ఉన్న ప్రధాన లోపం వాటి సహజమైన బలహీనతే. ఆధునిక సెక్యూరిటీ పద్ధతులతో పోలిస్తే, SMS సందేశాలకు ఎన్క్రిప్షన్ ఉండదు, కాబట్టి వాటిని సులభంగా దొంగిలించవచ్చు. ఇది SIM Swapping ద్వారా, SS7 ప్రోటోకాల్ లోని లోపాల ద్వారా, లేదా అధునాతన ఫిషింగ్ స్కామ్ ల ద్వారా జరగవచ్చు. NIST వంటి సెక్యూరిటీ నిపుణులు కూడా SMS OTPలను బలమైన గుర్తింపు నిర్ధారణకు వాడకూడదని చాలా కాలంగా సూచిస్తున్నారు. సులభంగా దొంగిలించగలిగే పర్సనల్ డేటా, టెలికాం కంపెనీల బలహీనమైన చెక్స్ పై ఆధారపడటం వల్ల నేరగాళ్లు కస్టమర్లుగా నటించి, సులభంగా ఫోన్ నంబర్లను తమ ఆధీనంలోకి తెచ్చుకుంటున్నారు.
భద్రతా అప్గ్రేడ్లు ఆలస్యం అవ్వడమే నేరాలకు ఆజ్యం పోస్తోంది
నియంత్రణ సంస్థలు (Regulators) ఈ మోసాలను అరికట్టడానికి ప్రయత్నిస్తున్నాయి. భారతదేశంలో, టెలికాం రెగ్యులేటరీ అథారిటీ ఆఫ్ ఇండియా (TRAI) ఇప్పుడు SIM Swap జరిగిన 7 రోజుల తర్వాతే నంబర్ ను బదిలీ చేయడానికి అనుమతిస్తూ, మోసాలను గుర్తించడానికి సమయం ఇస్తోంది. అమెరికా FCC కూడా SIM లను మార్చేటప్పుడు బలమైన వెరిఫికేషన్ కోసం కొత్త నిబంధనలు తెచ్చింది. కానీ ఈ చర్యలు కేవలం దాడులకు ప్రతిస్పందనగా మాత్రమే ఉన్నాయి. మార్కెట్ ప్రస్తుతం సురక్షితమైన, భద్రమైన ఐడెంటిటీ వెరిఫికేషన్ పద్ధతుల వైపు వేగంగా కదులుతోంది. వీటిలో కోడ్స్ ను జనరేట్ చేసే యాప్స్, ఫిజికల్ సెక్యూరిటీ కీస్ (FIDO2), ఫేషియల్ రికగ్నిషన్, సర్వర్-సైడ్ బయోమెట్రిక్స్ వంటి అధునాతన పద్ధతులు ఉన్నాయి. బ్యాంకులు SIM Swap ఈవెంట్స్ ను నిజ-సమయంలో (real-time) చెక్ చేసి, ఈ ముప్పును అడ్డుకోవడానికి నెట్వర్క్ డేటా APIలు కూడా ముఖ్యమవుతున్నాయి. ఆస్ట్రేలియా, యూకే వంటి దేశాలలో రెగ్యులేటర్లు ఆమోదించిన FIDO స్టాండర్డ్స్ వాడకం పెరగడం, మీ పరికరానికి జోడించబడిన సురక్షితమైన పద్ధతుల వైపు అడుగులు వేస్తున్నట్లు సూచిస్తోంది.
భద్రత ఎందుకు అంత వేగంగా మారలేదు?
SIM Swap మోసాలు విస్తృతంగా జరగడం అనేది ప్రస్తుత ముప్పులకు అనుగుణంగా భద్రతా చర్యలను అప్డేట్ చేయడంలో విఫలమవ్వడాన్ని సూచిస్తోంది. బ్యాంకులు, టెలికాం కంపెనీలు SMS OTPలను వాడటం మానడానికి చాలా ఆలస్యం చేస్తున్నాయి, ఇవి విలువైన ఆన్లైన్ ఖాతాలను రక్షించడానికి సరిపోవు. ఈ దాడులు డేటా బ్రీచ్ ల నుండి సులభంగా దొరికే పర్సనల్ డేటాను, తెలివైన ట్రిక్స్ ను వాడుకుని సమాచారాన్ని సేకరించి, టెలికాం కంపెనీల సెక్యూరిటీ చెక్స్ ను పెద్దగా కష్టపడకుండానే అధిగమిస్తున్నాయి. రెగ్యులేటర్లు రక్షణలు జోడిస్తున్నప్పటికీ, నేరగాళ్లను అధిగమించడం కష్టమవుతోంది. వెరిఫికేషన్ కోసం వ్యక్తిగత వివరాలను ఉపయోగించడం, ఫోన్ నెట్వర్క్లలోని బలహీనమైన అంశాలు నిరంతరం ఒక బలహీనమైన స్పాట్ ను సృష్టిస్తున్నాయి. ముఖ్యంగా వృద్ధులు తరచుగా లక్ష్యంగా చేసుకోబడుతున్నారు, ఎక్కువ డబ్బును కోల్పోతున్నారు. ఇది సెక్యూరిటీ డిజైన్ లో ఉన్న లోపాన్ని స్పష్టం చేస్తోంది. ఫైనాన్షియల్ సంస్థలకు ఖర్చులు చాలా ఎక్కువ, కేవలం మోసాల వల్లే కాదు, మానవ తనిఖీలు, పునరావృతమయ్యే ఐడెంటిటీ వెరిఫికేషన్లు, బలహీనమైన SMS సెక్యూరిటీకి ఫైన్ల వల్ల కూడా.
SMS వెరిఫికేషన్ కు అతీతమైన భవిష్యత్తు
SMS OTPలు వాడుకలోంచి పోతున్నాయనడం స్పష్టమవుతోంది. SIM Swap దాడుల పెరుగుదల, మరిన్ని రెగ్యులేటరీ డిమాండ్లు, మెరుగైన సెక్యూరిటీ టెక్నాలజీల రాకతో కంపెనీలు ఈ అసురక్షిత పద్ధతిని వదిలివేస్తాయి. భవిష్యత్ డిజిటల్ ఐడెంటిటీ సెక్యూరిటీ రిస్క్ అసెస్మెంట్, అడ్వాన్స్డ్ బయోమెట్రిక్స్, FIDO స్టాండర్డ్స్, నెట్వర్క్ డేటా వంటి బలమైన హామీలతో కూడిన లేయర్డ్ సిస్టమ్స్ ను ఉపయోగిస్తుంది. మారడానికి ఆలస్యం చేసే కంపెనీలు మరింత ప్రమాదకరమైన ఆన్లైన్ ప్రపంచంలో భారీ ఆర్థిక, ప్రతిష్టాత్మక నష్టాలను ఎదుర్కొంటూనే ఉంటాయి.