Vdori v račun od lanskega poletja vse pogostejši, kako se zaščititi?

Eden od bralcev, recimo mu Tone (pravo ime hranimo v uredništvu) nam je zaupal, da se je na medmrežju pojavil njegov Telegram račun, čeprav ga sam ni nikoli kreiral.

Telegram je ena bolj razširjenih aplikacij za hipno sporočanje in spada v isto kategorijo aplikacij, kot so Viber, WhatsApp in Messenger. Ustanovila sta ga ruska brata Nikolaj in Pavel Durov. Račun na Telegram platformi je vezan na telefonsko številko. Postopek registracije računa poteka tako, da uporabnik v aplikaciji vnese svojo telefonsko številko, Telegram pa v naslednjem koraku na to številko pošlje SMS-sporočilo z enkratno kodo, s katero uporabnik verificira svojo številko. Če SMS-sporočilo ni bilo dostavljeno, lahko uporabnik sproži način pošiljanje verifikacijske kode preko telefonskega klica. Uporabnik Telegram računa ne more registrirati brez poznavanja te enkratne kode.

Profimedia

"Dobil sem potrditveno kodo na telefon, a sem mislil, da gre za napako," nam je dejal bralec. Kmalu zatem ga je prijateljica obvestil, da se je njegova telefonska številka pojavila na Telegramu. "Tone se je pravkar pridružil Telegramu," je pisalo v angleščini. Čez teden dni je ta prijateljica opazila, da je na domnevno njegovem profilu fotografija azijskega dekleta. Takoj mu je bilo jasno, da gre za prevaro, a sam ni vedel, kaj lahko naredi, saj aplikacije Telegram sploh ne pozna. Poiskali smo odgovore.

Povečano število prevar od sredine 2024

Tovrstne prevare so nam potrdili na Nacionalnem odzivnem centru za kibernetsko varnost SI-CERT, kjer so dejali, da povečan obseg tovrstnih prevar zaznavajo od sredine leta 2024. "Na SI-CERT smo od sredine leta 2024 prejeli več prijav uporabnikov, ki so ugotovili, da je nekdo registriral račun na Telegram omrežju z njihovo številko, pri čemer te registracije niso opravili sami. Uporabniki v času registracije niso prejeli nobenega SMS-sporočila s strani Telegrama, razen v redkih primerih, pri katerih pa enkratne kode niso nikomur sporočili," pravijo na SI-CERT-u.

"Ker postopka registracije ni možno zaključiti brez poznavanja verifikacijske kode, na SI-CERT ugotavljamo, da na prenosni poti med zalednim sistemom Telegrama in telefonom uporabnika prihaja do prestrezanja vsebine SMS-sporočil ali telefonskih klicev ali pa da imajo storilci neposredni dostop do zalednega sistema Telegrama. Hkrati smo zabeležili tudi več primerov prevzemov obstoječih Telegram računov slovenskih uporabnikov, ki so se zgodili na način, da so napadalci poskusili registrirati Telegram račun na telefonsko številko, ki je že bila registrirana," so še dodali na SI-CERT-u.

Napadalci na prevzetih Telegram računih vedno nastavijo dodatno 2FA geslo, prav tako pa nastavijo nekaj podatkov v profilu, npr. ime, uporabniško ime, kratek opis (bio) ter profilno fotografijo. Ti podatki izgledajo izbrani povsem naključno, brez nekega vzorca, in ne vsebujejo osebnih podatkov dejanskih uporabnikov telefonskih številk, še ugotavljajo na SI-CERT-u. 

Profimedia

V večini primerov ti računi nato ostanejo neaktivni dalj časa, običajno vsaj mesec dni, v nekaterih primerih pa so ti računi kmalu po kreiranju izbrisani, včasih že v manj kot enem dnevu, dodajajo slovenski strokovnjaki za kibernetsko varnost. "Zabeležili smo tudi primere, ko se je vzorec kreiranja računa po nekaj mesecih od izbrisa računa ponovil. V primerih, ko pride do prevzema že obstoječega računa, pa po trenutno znanih informacijah napadalci poleg že navedenih aktivnosti izbrišejo vse obstoječe kontakte in pogovore. V nobenem od do sedaj obravnavnih primerov ni prišlo do poskusa vzpostavitve komunikacije iz zlorabljenega računa z enim od obstoječih kontaktov uporabnika," so še zapisali pri SI-CERT-u. Izbris kontaktov in pogovorov so nam potrdili tudi uporabniki, s katerimi smo se pogovarjali o tej temi.

Izgubili utečen vir prihodkov

Ob raziskovanju zgodbe z vdorom v račun Telegram smo se dokopali do pričevanj več oseb, ki so nam zaupale, da so jim vdrli v račun, kar je pomenilo, da svoje telefonske številke v Telegram skupinah niso več mogli uporabljati. Nekateri, ki so Telegram uporabljali za posel, pa so tako izgubili tudi utečen vir prihodkov (naročnine). Kot preventivni varnostni ukrep so nato ob kreiranju novega računa v skupinah, ki jih uporabljajo za posel, dodelili dodatne administratorje skupin oz. t. i. kanalov.  

"Med preiskavo različnih primerov smo ugotovili, da do prestrezanja ne prihaja na telefonih uporabnikov, npr. preko zlonamerne programske opreme, prav tako ne gre za t. i. "SIM swap" napad, pri katerem napadalci s strani operaterja pridobijo SIM-kartico za neko telefonsko številko," trdijo na SI-CERT-u. Dodajajo, da so še ugotovili, da v večini primerov v času registracije do omrežja slovenskega operaterja ni prišlo nobeno sporočilo ali klic za predmetno telefonsko številko, kar sicer ne velja za bralčev primer.

Ti podatki kažejo na to, da do prestrezanja komunikacije najverjetneje prihaja v zalednem sistemu Telegrama ali pa pri enem od ponudnikov storitev, ki jih Telegram uporablja za pošiljanje SMS-sporočil oz. izvajanje telefonskih klicev. "Nadaljnjo analizo zlorabe bi lahko izvedli s sodelovanjem upravljavcev platforme Telegram, žal pa iz Telegrama kljub večkratnim in različnim poskusom vzpostavitve kontakta nismo prejeli odgovora," so še pojasnili na SI-CERT-u. 

Tisti, ki se jim je to zgodilo, so sicer lahko vsaj delno pomirjeni z dejstvom, da SI-CERT ugotavlja, da ti računi niso prevzeti z namenom izvajanja škodljivih aktivnosti, ki bi bile usmerjene neposredno proti uporabnikom telefonskih številk in/ali njihovim kontaktom. "Glede na dodatno pridobljene informacije so ti računi najverjetneje ustvarjeni z namenom kasnejše preprodaje le-teh na črnem trgu. Kupci teh računov lahko le-te uporabijo za različne dejavnosti ne Telegram omrežju, med drugim tudi za izvajanje nelegalnih aktivnosti (npr. pošiljanje spam sporočil, phishing napade, investicijske prevare ipd.). Na SI-CERT sicer do sedaj še nismo naleteli na tak primer, da bi to lahko potrdili ali ovrgli," menijo v SI-CERT-u. 

Kako ukrepati?

Če imate Telegram račun, ga zaščitite z geslom, pravijo pri SI-CERT-u. "Pri računih, ki so zaščiteni z geslom, ne prihaja do prevzemov, zato predvidevamo, da napadalci ne razpolagajo z možnostjo obhoda te zaščite," so še zapisali.

V primeru, da imate Telegram račun zaščiten z geslom, se lahko zgodi, da napadalci sprožijo postopek ponastavitve računa. O tem vas Telegram obvesti s sistemskim obvestilom, vi pa imate 7 dni časa, da postopek ponastavitve prekinete. Navodila za prekinitev postopka so v sistemskem obvestilu. Če postopek registracije računa sprožite kmalu po tem, ko ga je registriral nekdo drug, se lahko zgodi, da ne boste prejeli SMS ali telefonskega klica s kodo, ali pa vam bo izpisalo napako "Too many attempts". "V tem primeru vam svetujemo, da počakate nekaj ur in potem poskusite ponovno," sporočajo s SI-CERT-a.

Če nimate Telegram računa, lahko kreiranje Telegram računa s strani neznanih oseb preprečite zgolj tako, da sami kreirate Telegram račun s svojo telefonsko številko in ga zaščitite z geslom. "Kakšen drug način, kako bi lahko preprečili kreiranje Telegram računa z vašo telefonsko številko brez vaše vednosti, nam ni znan," so zapisali slovenski strokovnjaki za kibernetsko varnost.

V primeru, da so vam že prevzeli Telegram račun, tako kot našemu bralcu Tonetu, ali pa da ste ugotovili, da je bil kreiran račun z vašo telefonsko številko, lahko pošljete prijavo zlorabe na abuse@telegram.org ali preko obrazca na https://telegram.org/support.

Telegram redko ali sploh ne odgovori

"Vendar pa opozarjamo, da v do sedaj obravnavanih primerih uporabniki še nikoli niso prejeli povratnega odgovora s strani Telegrama. Poleg tega lahko poskusite prevzeti sporni račun tako, da prek Telegram aplikacije opravite postopek registracije računa s svojo telefonsko številko," so še opozorili v SI-CERT-u. "Ker so prevzeti računi zaščiteni z geslom, lahko tekom postopka izberete možnost ponastavitve računa. Poleg tega obstaja možnost, da vam bo za vašo telefonsko številko izpisalo, da je blokirana (angl. This phone number is banned)," so zaključili v SI-CERT-u. 

dezurni@styria-media.si