Sigorta teklifleri, iş ilanları, evcil hayvan bakıcılığı ve özel ders platformları gibi pek çok alanda yaygın olarak kullanılan yöntemler, dolandırıcılık, kimlik hırsızlığı ve yetkisiz hesap erişimleri için risk oluşturuyor. Bir araştırmaya göre, 175’ten fazla hizmete yönelik SMS gönderimi yapan 700’den fazla sistem noktası, kullanıcı güvenliğini riske atan uygulamalar barındırıyor. En önemli sorunlardan biri ise, SMS yoluyla gönderilen bağlantıların tahmin edilmesi veya kolayca çoğaltılması. Güvenlik belirteçleri basit bir şekilde değiştirildiğinde, saldırganlar başkalarının hesaplarına sızabiliyor, kişisel verilere ulaşabiliyor ve bazı durumlarda bu kullanıcı gibi işlem gerçekleştirebiliyor. Araştırmacılar, bu tip saldırıların tüketici düzeyindeki donanımlarla ve temel-orta düzey web güvenliği bilgisiyle büyük ölçekte yapılabileceğine dikkat çekiyor. Ayrıca, birçok linkin yıllarca aktif kalması, yetkisiz erişim riskini daha da artırıyor.

SMS’İN GÜVENLİĞİ YETERSİZ

Sorunu derinleştiren diğer bir faktör ise, SMS’lerin şifreli olmaması. Daha önce, milyonlarca kısa mesajın depolandığı açık veritabanlarında isimler, adresler, kullanıcı adları, parolalar ve finansal başvurular gibi hassas bilgilerin bulunduğu tespit edilmişti. Tüm bunlara rağmen, “kolay ve sürtünmesiz” oluşu nedeniyle SMS tabanlı giriş yöntemleri yaygınlığını sürdürmeye devam ediyor.

YÜZLERCE BİN GİRİŞ ARAŞTIRILDI

Araştırmacılar, 33 milyonun üzerinde mesajdan elde ettikleri 322 binden fazla benzersiz giriş linkini derinlemesine inceledi. Bu linklerin 701 endpoint’ten geldiği ve 177 farklı hizmeti kapsadığı anlaşıldı. Bu girişlerin kimlik numarası, doğum tarihi, banka hesap bilgileri ve kredi skoru gibi kritik kişisel verileri açığa çıkarabilme potansiyeli bulunduğu belirlendi. Hizmetlerden 125’i, güvenlik düzeyinin yetersiz olmasından dolayı topluca link tahminine açık durumda. Uzmanlar, bu durumun büyük ölçüde hizmet sağlayıcılarının sorumluluğunda olduğunu belirtiyor. Kullanıcılara sadece “hassas bilgi vermeyin” demek yeterli olmayabiliyor; çünkü listede milyonlarca kullanıcısı olan tanınmış platformlar da bulunuyor.

GÜVENLİK İÇİN EK STRATEJİLER GEREKİYOR

Uzmanlar, “sihirli link” yönteminin başlı başına güvensiz olmadığını; fakat bu tür bağlantıların kısa süreli, ilk kullanımda geçersizleşen ve kriptografik olarak güçlü olması gerektiğini ifade ediyor. Bazı gizlilik odaklı siteler bu yöntemi e-posta üzerinden kullanırken, bankalar ve büyük veri barındıran hizmetler için yeterli görülmüyor. Güvenliği artırmak amacıyla ikinci bir güçlü doğrulama faktörü ve deneme sayısı sınırlaması da önem taşıyor.