Two Russian SMS aggregation services were allegedly hacked and their data put up for sale on hacking forums

Пост Лукацкого

Тут в Даркнете прошла информация о взломе двух очень крупных в России SMS-агрегаторов и сливе 3 ТБ данных 💬 (⠘⢡⠖⡁⠇⢔⠑ ⣈⢄⡑ ⡊⠕⠋⢒⠇ ⡢ ⢘⡨⠎⠥⢤⡁ ⠒⠒⢈⡤⣂⠙ ⢨⢉ ⠋⠅⠢⡐ ⡂⠥⠑⢃⢰⢑⠕⠲⡈⡰ ⢔⠆⢰⡁⢅ ⢅⡑⠢⣄⡰⡈⡤ ⣁⡌⠢⢔ ⠙ ⣄⠇⠆⡁⠅⠪⡨) Сначала думаешь: "Да что там страшного - одноразовые коды долго не живут и ими просто не успеют воспользоваться, а ничего другого ценного в смсках и нет". Потом садишься и начинаешь моделировать угрозы. Становится чуть печальнее. Давайте посмотрим, чем грозит эта "supply chain" атака на канал, через который тысячи сервисов шлют одноразовые пароли, ссылки на сброс пароля, коды подтверждения платежей, PIN-коды и служебные уведомления 💬 1️⃣ Коды 2FA/OTP и ссылки на сброс пароля можно читать, задерживать или подменять, что приводит к массовым захватам учетных записей (почта, банки, мессенджеры, криптосервисы, соцсети). Пример масштаба: взлом Twilio в 2022 затронул 163 клиентов; вторично пострадали Signal и другие (у Signal – до 1900 аккаунтов для перерегистрации). 2️⃣ Из личного кабинета агрегатора можно слать SMS с доверенных имен/номеров (short code/альфа-ID), обходя фильтры – идеальный канал для фишинга, BEC и мошенничества. 3️⃣ Базы номеров, тексты сообщений, метаданные (кто с кем, когда) – ценны для целевого фишинга, слежки, шантажа. Пятилетней длительности компрометация Syniverse – крупнейшего роутера межоператорских SMS – показал уязвимость таких “узлов” (риск раскрытия миллиардов сообщений/метаданных). 4️⃣ Доступ к инфраструктуре A2P-провайдера может использоваться для отслеживания людей и их коммуникаций (скандал вокруг Mitto показал, что такие злоупотребления реальны). 5️⃣ Через агрегатор атакуют MFA-канал ваших админов → дальше – почта, облака, CI/CD. Компромат по пользователям (например, списки номеров пользователей Authy) упрощает целевые фишинговые/​SIM-swap кампании. В 2024 в Authy через неаутентифицированный узел подтвердили до 33 миллионов номеров пользователей. 6️⃣ Непредвиденные расходы за отправку, штрафы за утечки (GDPR/CCPA/ФЗ-152), удар по надежности и репутации. Что делать, спросите вы? А я отвечу... но попозже ⏳ ЗЫ. Вы же предусмотрели это в своей модели угроз? 🤔 #инцидент #модельугроз #утечка