Номер сменился, аккаунт остался. Как чужая SIM-карта может дать доступ к вашим сервисам

Сентябрь, отпускной сезон позади и это хороший повод вспомнить, куда делась та туристическая симка, которую вы покупали на отдыхе, и не висит ли она до сих пор в каком-нибудь сервисе такси или приложении доставки. Ведь заброшенные номера через пару месяцев могут достаться совершенно незнакомому человеку вместе с доступом к вашему аккаунту и это одна из недооценённых дыр в безопасности.

Кто пишет: проект о кибер-безопасности Cyberbeaver.

Почему номер вообще может переходить к другому человеку

Операторы связи не хранят неактивные номера вечно, свободных комбинаций физически не хватает на всех абонентов, поэтому номера возвращаются в оборот. В США закон обязывает оператора выждать всего 45–90 дней после отключения номера, прежде чем выдать его новому абоненту. В Великобритании этот срок больше — от 3 месяцев до года, в зависимости от оператора. В Европе карантин обычно укладывается в 3–12 месяцев по решению оператора, а, например, в Беларуси МТС блокирует номер примерно через 6 месяцев неактивности и могут отдать новому абоненту уже вскоре после этого. Наверняка и у вас в Telegram часто появляются пуши, что старые знакомые вдруг зарегистрировались в мессенджере.

Проблема в том, что множество сервисов (мессенджеры, такси, банковские приложения и т. д.) используют номер телефона не просто как контакт, а как основной идентификатор владельца аккаунта. SMS с кодом воспринимается системой как достаточное доказательство: «код пришёл на этот номер и значит, это тот же человек». Но после переработки номера это уже не так.

Что показало исследование

Наиболее подробно эту угрозу разобрали в 2021 году исследователи Принстонского университета Кевин Ли и Арвинд Нараянан (Security and Privacy Risks of Number Recycling at Mobile Carriers in the United States — https://recyclednumbers.cs.princeton.edu/assets/recycled-numbers-05-03-2021.pdf). Они проверили 259 номеров, доступных для новых абонентов у двух крупных операторов США, и получили тревожные цифры:

171 из 259 номеров (66%) всё ещё были привязаны к чьим-то действующим аккаунтам на популярных сайтах, то есть теоретически их можно было захватить через восстановление доступа по SMS.
100 из 259 номеров засветились в утечках учётных данных, а значит, с их помощью можно обойти двухфакторную аутентификацию, построенную на SMS.
Большинство доступных номеров также находились через сервисы поиска людей (people search), что дополнительно раскрывало личные данные прежних владельцев.

Как это работает?

Самый показательный публичный случай произошёл с пользователем WhatsApp: сразу после активации новой сим-карты на его телефон посыпались чужие личные и групповые чаты на итальянском языке, а аватар в мессенджере автоматически заменился на фотографию предыдущего владельца номера (The Register, 2023).

Meta (владелец WhatsApp и Facebook) признала, что если номер всё ещё привязан к чужому аккаунту, новый владелец номера технически может инициировать сброс пароля и получить доступ к этому аккаунту. Однако компания не стала считать это уязвимостью и сослались на то, что она не контролирует политику операторов связи по переработке номеров.

То же самое происходит с сервисами такси, доставкой еды и банковскими приложениями. Если в аккаунте, привязанном к номеру, осталась сохраненной карта, то получив доступ к чужому, уже настроенному аккаунту, он может просто заказать такси или еду и оплата спишется с сохранённой в нём карты.

С другим случаем к нам в Кібер-Бабёр обратились за консультацией. В этом кейсе оказался скомпрометирован Bolt-аккаунт — он был зарегистрирован на грузинскую сим-карту, доступ к которой был давно утерян. К аккаунту была привязана банковская карта и обратившийся увидел списание с карты за заказ еды в Грузии через сервис Bolt. Когда он открыл приложение, к которому у него всё ещё оказался доступ, отвязать карту или изменить данные не удалось, так как сим-карта, на которую приходил код, была передана другому человеку. Этот человек залогинился в Bolt, система восприняла его как существующий аккаунт и приняв код из SMS дала доступ. Самое удивительное в этой истории то, что поддержка решить вопрос не смогла и посоветовала закрыть аккаунт, пока есть доступ к приложению. Банковскую карту пришлось перевыпускать для безопасности.

Что стоит проверить сейчас

Три шага, которые снижают риск:

Пройдитесь по ключевым сервисам: банк, почта, мессенджеры, такси, доставка, соцсети. Проверьте,актуальные ли там номера и есть ли у каждого из них способ входа и восстановления доступа, не завязанный только на SMS (резервная почта, отдельный пароль, приложение-аутентификатор).
При смене номера отвязывайте его вручную от каждого сервиса, где он использовался для входа или двухфакторной аутентификации. Сделать это нужно до того, как номер станет неактивным, а не после.
В сервисах с привязанной картой (такси, доставка, подписки) отвязывайте карту заранее, а не полагайтесь на то, что сервис сам заблокирует доступ при смене владельца номера. Если проблема уже случилась, то не стоит ждить, пока служба поддержки сервиса разберётся с конфликтом номеров. Быстрее и надёжнее сразу заблокировать карту через банк.

Потратьте 5 минут и проверьте сейчас, где у вас ещё висит номер, которым вы не пользуетесь, и отвяжите его. Иначе потом уже разбираться придётся со списанием с карты и перепиской с поддержкой.

Мнение автора может не совпадать с позицией редакции.