Перехват SMS через SS7: как устроена угроза и как защититься

SMS-код подтверждения часто воспринимается как надёжный второй фактор входа. Однако его безопасность зависит не только от телефона пользователя, но и от инфраструктуры мобильных операторов. Уязвимости в сигнальной системе SS7 позволяют злоумышленникам вмешиваться в маршрутизацию сообщений, получать сведения о местоположении абонента и создавать условия для обхода SMS-аутентификации.

Практический перехват кода подтверждения через SS7-атаку связан с незаконным доступом к телекоммуникационным сетям и чужим аккаунтам. Поэтому разбирать пошаговые методы такой атаки, инструменты и команды небезопасно. Гораздо полезнее понять принцип угрозы, её признаки и способы заменить уязвимый канал подтверждения более защищёнными механизмами.

Что такое SS7 и почему система уязвима

SS7, или Signaling System No. 7, — набор протоколов, который используется операторами для управления телефонными вызовами, SMS, роумингом и другими сетевыми функциями. Система создавалась в период, когда телекоммуникационные компании в основном доверяли друг другу, а доступ к сигнальной инфраструктуре считался ограниченным.

Современная SS7-сеть объединяет множество операторов и сервисных посредников. Если злоумышленник получает нелегальный доступ к одному из узлов или использует скомпрометированную телекоммуникационную организацию, он может отправлять сигнальные запросы, которые выглядят допустимыми для других участников сети. Именно слабая модель доверия стала основой для атак на переадресацию SMS и определение местоположения абонента.

Как перехватывают коды подтверждения

Вместо атаки на сам смартфон преступник пытается воздействовать на сеть оператора. Целью может быть изменение маршрута входящих SMS, временное перенаправление сообщений или получение сетевой информации, помогающей связать номер с нужным абонентом. Пользователь при этом иногда продолжает видеть обычный уровень сигнала и может не заметить вмешательство.

SS7-атака обычно становится частью более широкой схемы. Злоумышленник заранее узнаёт номер телефона, адрес электронной почты или логин жертвы, инициирует восстановление доступа к сервису, а затем рассчитывает получить одноразовый пароль через уязвимый канал. Сам по себе перехват SMS не всегда даёт доступ: сервис может использовать дополнительные проверки, привязку устройства, подтверждение в приложении или анализ подозрительной активности.

Почему SMS-аутентификация считается слабее

Одноразовый код в SMS защищает учётную запись только до тех пор, пока номер и канал доставки находятся под контролем владельца. На этот процесс влияют настройки оператора, состояние сигнальной сети, перенос номера, замена SIM-карты и действия службы поддержки. Поэтому наличие SMS-кода не означает абсолютную защиту аккаунта.

Риск особенно высок для электронной почты, банковских кабинетов, криптовалютных сервисов и административных панелей. Если один номер используется для восстановления сразу нескольких учётных записей, успешная атака на мобильную связь может запустить цепочку захватов. Дополнительную опасность создают фишинг, утечка персональных данных и повторное использование одного пароля.

Признаки возможного вмешательства

Прямые признаки SS7-компрометации могут отсутствовать. Телефон иногда не показывает уведомлений, а сообщения исчезают ещё до доставки на устройство. Тем не менее внезапная потеря регистрации в сети, необъяснимые проблемы со звонками и SMS, уведомления о входе с неизвестного устройства или неожиданные запросы на восстановление пароля требуют немедленной проверки.

Следует обращать внимание и на косвенные события: сообщения оператора об изменении услуг, уведомления о переносе номера, неизвестные переадресации, смену контактных данных в профиле и блокировку SIM без понятной причины. Отсутствие связи само по себе не доказывает SS7-атаку, поскольку причиной могут быть технические работы или неисправность, но игнорировать такие симптомы нельзя.

Как снизить зависимость от SMS-кодов

Самая эффективная мера — заменить SMS на приложение-аутентификатор, аппаратный ключ безопасности или вход с подтверждением в уже доверенном устройстве. Коды, генерируемые приложением, не проходят через мобильную сеть, а аппаратные ключи дополнительно защищают от фишинговых страниц благодаря проверке домена.

Важно разделять каналы восстановления доступа. Номер телефона не должен быть единственным способом сброса пароля для критически важных сервисов. Резервные коды следует хранить в защищённом менеджере паролей или в другом недоступном для посторонних месте, а уведомления о входе и изменении настроек — включить на всех аккаунтах, где такая функция доступна.

Практические меры защиты аккаунтов

• Подключите многофакторную аутентификацию через приложение или физический ключ вместо SMS.
• Установите уникальные длинные пароли и храните их в менеджере паролей.
• Включите уведомления о входах, смене пароля, добавлении устройств и изменении номера.
• Уточните у оператора запрет удалённого переноса номера и дополнительные процедуры идентификации.
• Регулярно проверяйте активные сессии, резервные адреса и способы восстановления доступа.

Что делать при подозрении на перехват

Сначала нужно связаться с мобильным оператором по официальному номеру, указанному на его сайте или в договоре. Попросите проверить операции с SIM-картой, переадресацию, перенос номера, подключённые услуги и обращения в службу поддержки. Если связь пропала внезапно, важно сообщить, что проблема может быть связана с несанкционированными действиями вокруг номера.

Затем следует изменить пароли критически важных аккаунтов с устройства и сети, которым можно доверять. В приоритет нужно поставить электронную почту, банковские сервисы, хранилища данных и учётные записи, связанные с восстановлением других профилей. SMS-подтверждение лучше временно отключить как основной фактор, отозвать неизвестные сессии и удалить незнакомые устройства.

Если были попытки перевести деньги, изменить реквизиты или получить доступ к персональным данным, необходимо сохранить уведомления, время событий, переписку с оператором и журнал входов. Эти сведения пригодятся банку, владельцу сервиса и правоохранительным органам. При подозрении на компрометацию корпоративного номера дополнительно уведомляют администратора безопасности, поскольку последствия могут затронуть рабочую почту, VPN и внутренние системы.