أ حماية اكتشف الباحث قاعدة بيانات غير محمية تحكم الوصول إلى الخدمات من بعض أكبر شركات التكنولوجيا في العالم. تنتمي قاعدة البيانات إلى مشغل توجيه خدمة الرسائل القصيرة (SMS) المسؤول عن إرسال رموز المصادقة الثنائية (2FA) لمستخدمي Meta وGoogle وربما شركات التشفير.
ووجد الباحث Anurag Sen أن قاعدة بيانات YX International الخاصة بالشركة قد تم كشفها بدون كلمة مرور على الإنترنت العام. يمكن لأي شخص يعرف عنوان بروتوكول الإنترنت العام (IP) عرض البيانات.
المستخدمون المتأثرون بتسرب المصادقة الثنائية
ترسل شركة YX International رموز الأمان إلى الأشخاص الذين يقومون بتسجيل الدخول إلى الأنظمة الأساسية التابعة لـ Meta وGoogle وTikTok. وتضمن الشركة توجيه رسائل المستخدمين بسرعة عبر شبكات الهاتف المحمول في جميع أنحاء العالم. ومن بين الرسائل التي ترسلها رموز الأمان التي تشكل جزءًا من نظام المصادقة الثنائية الذي تستخدمه العديد من الشركات الكبيرة لحماية حسابات المستخدمين.
يمكن لبعض موفري الخدمة، مثل Google، إرسال رمز عبر الرسائل القصيرة SMS للتحقق من صحة المستخدم بعد إدخال كلمة المرور. تتضمن خيارات المصادقة الأخرى إنشاء رمز من تطبيق المصادقة لاستكمال كلمة المرور.
اقرأ أكثر: 15 عملية احتيال في مجال العملات المشفرة الأكثر شيوعًا يجب الانتباه إليها
على الرغم من أن المصادقة الثنائية تسعى إلى تحسين الأمان، إلا أنها ليست الحل السحري. وفقاً لذلك، تبادل التشفير تحذر Coinbase من أن المصادقة الثنائية هي الحد الأدنى من الإجراءات الأمنية، لكنها ليست مضمونة. لا يزال بإمكان المتسللين جد حل لسرقة الأموال من محافظ التشفير.
“على الرغم من أن المصادقة الثنائية تسعى إلى تحسين الأمان، إلا أنها ليست مضمونة. لا يزال بإمكان المتسللين الذين يحصلون على عوامل المصادقة الوصول غير المصرح به إلى الحسابات. تشمل الطرق الشائعة للقيام بذلك هجمات التصيد الاحتيالي وإجراءات استرداد الحساب والبرامج الضارة. وقالت Coinbase: “يمكن للقراصنة أيضًا اعتراض الرسائل النصية المستخدمة في المصادقة الثنائية”.
يستخدم المجرمون هذه الأساليب للتغلب على المصادقة الثنائية
العام الماضي، تقارير تجاوز المجرمين 2FA ظهرت على أجهزة أبل. يمكن للمتسلل الوصول إلى النظام الأساسي السحابي لشركة Apple، iCloud، واستبدال رقم هاتف المستخدم برقمه الخاص. لقد خاطر المخطط بالأموال في محفظة التشفير التطبيقات على أجهزة Apple نظرًا لأن بعض التطبيقات قد ترسل رموز مصادقة إلى أرقام الهواتف المخترقة.
يمكن للمجرمين أيضًا استخدام مقايضات بطاقة SIM سن عمليات احتيال تشفير المصادقة الثنائية. في هذا الخط من الهجوم، المجرمين إقناع مشغلي الهاتف المحمول مثل AT&T أو Verizon لنقل رقم هاتف من المالك الشرعي إلى المحتال. بعد ذلك، يحتاج المجرم فقط إلى معلومة واحدة أخرى الوصول إلى المحفظة ذاتية الحفظ التطبيق مملوك للمالك الحقيقي لرقم الهاتف.
ونظرًا للطفرة في التكنولوجيا الكمومية، قامت شركة Apple مؤخرًا بتحسين أمان أجهزتها Secure Enclave المضمنة في أجهزة iPhone. مخطط التشفير ما بعد الكم يخلق مفاتيح جديدة في كل مرة يقوم فيها ممثل خبيث بالتنازل عن ممثل قديم.
هذه الميزة يمكن أن تساعد محفظة التشفير يقوم المطورون بتحسين عملائهم أمن التشفير عن طريق تخزين المعلومات الهامة في Secure Enclave. حتى الآن، استخدم بائع واحد على الأقل Secure Enclave لمنح الوصول إلى خدماته محفظة برنامج.
اقرأ أكثر: ما هو المفتاح الخاص في التشفير؟
تواصلت BeInCrypto مع Binance، أكبر بورصة للعملات المشفرة في العالم، وCoinbase للتعليق على ما إذا كان تسرب بيانات XY International قد أثر على مستخدميها. ولم ترد أي من الشركتين حتى وقت كتابة المقالة.
موثوق به
تنصل
يتم نشر كافة المعلومات الواردة على موقعنا بحسن نية ولأغراض المعلومات العامة فقط. أي إجراء يتخذه القارئ بناءً على المعلومات الموجودة على موقعنا يكون على مسؤوليته الخاصة.