Telefono numerio keitimas neša didžiulę grėsmę: staiga iš sąskaitos ėmė dingti pinigai, prieinamos kitos paskyros

Vienas Lietuvos gyventojas keitė telefono numerį. Po kurio laiko jam vienas po kito pradėjo eiti pranešimai apie iš banko sąskaitos nurašomas sumas. Pasirodo, senas numeris vėliau perleidžiamas naujiems klientams, jie gali gauti prieigą prie „Bolt“ ir kitų paskyrų ir jomis naudotis. Kibernetinio saugumo prievaizdai sako, kad tai yra akivaizdus duomenų saugumo pažeidimas, o grėsmė – bet kuriam keičiančiam telefono numerį.

Socialiniuose tinkluose pradėjo plisti vieno asmens istorija, kaip pakeistas telefono numeris gali virsti dideliais nemalonumais. Nors jis pats atsisakė komentuoti, pateikiame tik apibendrintą nutikimą, siekiant paaiškinti, kokia rizika gresia kiekvienam.

Asmuo rašo, kad iš banko pradėjo gauti apie mokėjimus per „Bolt“ programėlę Estijoje. Nesuprato kas vyksta, kilo panika – kol spėjo kortelę banke užblokuoti, įvyko keliolika mokėjimų, vis didesnėmis sumomis. Asmeniui su „Bolt“ nepavyko operatyviai susisiekti, nes telefono numeris nenurodomas.

Pradėjus pildyti pranešimą epolicija.lt asmuo pastebėjo – „Bolt“ programėlėje įtrauktas senas prieš trejus metus priklausęs telefono numeris, tačiau elektroninis paštas, vardas buvo pakeistas. Asmuo visą laiką nuo numerio keitimo nenaudojo „Bolt“ programėlės.

Pasirodė, kad kitas žmogus nusipirko naują „Tele2“ kortelę, gavo senąjį numerį, suvedė į „Bolt“ programėlę ir to pakako, kad gautų prieigą prie asmens paskyros ir duomenų, įskaitant ir galimybę naudotis įvesta mokėjimo kortele.

„Bolt“ pripažįsta, kad tokių atvejų pasitaiko, pinigai būna grąžinami, tačiau vertina, kad pats vartotojas turėtų būti atsakingas už savo numerio pašalinimą.

„Tele2“ įspėja apie daug platesnę grėsmę – yra daugiau paslaugų, kuriose autentifikacijai pakanka telefono numerio ir į jį atsiųstos SMS žinutės. Tai gali baigtis rimtais praradimais.

LOGIN.LT išbandė ir lengvai vien telefono numeriu atkūrė ne tik „Bolt“, bet ir „Telegram“ paskyrą su visais susirašinėjimais. Asmuo, įgijęs naują telefono numerį, gali net neįtarti, kai bandydamas pasinaudoti paslaugomis, kurdamas naują paskyrą, gaus jau senojo numerio savininko paskyrą, anksčiau susietą su telefono numeriu.

Tuo metu Valstybinės duomenų apsaugos inspekcija vertina, kad „Bolt“ taip gali neužtikrinti pakankamo saugumo, tačiau ši bendrovė veikia ne Lietuvoje – Estijoje, kur ir turi būti prižiūrima.

„Aprašyta situacija yra akivaizdus asmens duomenų saugumo pažeidimas, kuomet programėlės paskyros atkūrimui tereikia turėti tik vieną (ir tą patį) autentifikavimo šaltinį – telefono numerį. Tapatybės patvirtinimui vieno faktoriaus nepakanka, reikėtų bent dviejų veiksnių, pvz. programėlė papildomai reaguotų į vartotojo prisijungimus iš nežinomo įrenginio ir el. paštu išsiųsti saugos kodą, kurį programėlėje reikėtų suvesti norint toliau ja naudotis. Pvz. Google atsiunčia įspėjimą, jei prie el. pašto paskyros yra jungiamasi iš nežinomo įrenginio. Svarbu įvertinti programėlės veikimą ir iš kibernetinio saugumo pusės, pvz., kūrėjai suorganizuotų vadinamąjį „Bug Bounty“ iššūkį, kuomet saugumo ekspertai, suradę saugumo spragas, gautų tam tikrą atlygį“, – įvertino „ESET Lithuania“ kibernetinio saugumo ekspertas Ramūnas Liubertas.

„Bolt“: kiekvienas vartotojas įsipareigoja informuoti, jei keičia numerį

„Bolt“ ryšių su visuomene vadovas Mantas Čižas teigė, kad iš nurodyto kliento bendrovė kreipimosi nebuvo gavusi, nors pats asmuo LOGIN.LT teigė priešingai.

„Apgailestaujame dėl susidariusios situacijos. Tokių atvejų pasitaiko, nors ir itin retai. Išsiaiškinę aplinkybes, atlyginame vartotojui, jei paslauga jo nebuvo užsakyta ir suteikta. Klientui pirmiausia reikėtų kreiptis į mūsų klientų aptarnavimo specialistus – patogiausia tą padaryti per mobiliąją programėlę arba el. paštu [e-mail].

Dažniausiai tokia situacija susidaro, kai vartotojo nebenaudojamą telefono numerį mobiliojo ryšio operatoriaus perduoda naujam vartotojui. Atkreipiame dėmesį, kad kurdamas „Bolt” paskyrą kiekvienas vartotojas įsipareigoja per 7 dienas informuoti mus, jei su paskyra susietas telefono numeris nebebūtų naudojamas. Tą padarius, visi paskyros duomenys tampa anoniminiais“, – paaiškina M. Čižas.

„Tele2“ įspėja apie dideles grėsmes – yra daug atvejų, kai numeris keičia savininką

Patys mobiliojo ryšio operatoriai, įskaitant ir „Tele2“, trečiosioms šalims neteikia vartotojo autentifikavimo paslaugų. Už vartotojo autentifikavimą atsakingi patys paslaugų tiekėjai.

„Vien tik telefono numeris savaime negali būti prilyginamas vartotojo tapatybės nustatymui“, – teigia „Tele2“ produkto skyriaus vadovas Vaidotas Bražinskas.

Anot jo, programėlių kūrėjai patys renkasi, kaip identifikuoti asmenį.

„Tačiau jeigu registracija ir jungimasis prie aplikacijos galimas tik su telefono numeriu, ir į tą patį numerį žinute atsiunčiama prisijungimo informacija, tai reiškia, jog patikrinama tik tiek, ar tą akimirką besijungiantis asmuo turi šį numerį. Tačiau tokiu būdu negalima patvirtinti, ar tai tas pats asmuo, kuriam numeris priklauso, bei tuo labiau toks jungimasis nenumato atvejų, kai numerio savininkas yra pasikeitęs“, – stebisi V. Bražinskas.

Jis patikina ir įspėja – su tokia situacija gali susidurti visos aplikacijos, kurios naudoja prisijungimui tik telefono numerį ir niekaip kitaip neidentifikuoja unikalaus vartotojo.

„Yra bent keli scenarijai, kai numerio savininkas pasikeičia: pavyzdžiui, numeris yra perrašomas kitam asmeniui, nutraukiama sutartis, numeris perkeliamas į kitą tinklą ir ten perrašomas kitam asmeniui, taip nutinka ir, pavyzdžiui, baigus darbą įmonėje kai darbovietei lieka jūsų darbinis numeris ir pan.“, – vardija V. Bražinskas.

Jau po trijų mėnesių senąjį numerį gali turėti kitas savininkas. Kai numerio sutartis nutraukiama (arba „Pildyk“ numeris nustoja veikti, nes yra ilgai nepildomas), po kurio laiko numeriai yra pakartotinai naudojami iš naujo, nes telefono numeriai nėra neribotas išteklius.

„Nebeveikiantis numeris dar kurį laiką saugomas, jei klientas norėtų jį perkelti, tačiau nesame įpareigoti to daryti ilgiau kaip tris mėnesius. Operatorius negali turėti ir neturi informacijos apie tai, kokioms trečiosioms šalims ir kokiomis sąlygomis klientas savo valia suteikia teisę naudoti jo telefono numerį, todėl neturi nieko bendra ir su situacijomis, kai numerio faktinis naudotojas pasikeičia, o pats naudotojas apie pasikeitimą neinformuoja trečiųjų šalių, – paaiškina „Tele2“ ekspertas.

Tam, kad trečiųjų šalių programėlės galėtų užtikrinti, jog identifikuoja unikalų vartotoją, turėtų naudoti bent porą asmens duomenų: pavyzdžiui, telefono numeris ir pin kodas arba telefono numeris ir slaptažodis ar kitos duomenų kombinacijos. Jei trečioji šalis naudoja vartotojo identifikavimui tik telefono numerį, paprastai vien tik jo neužtenka, įsitikinęs jis.

Duomenų inspektoriai abejonių nepalieka: taip neturi būti

Valstybinės duomenų apsaugos inspekcija (VDAI) paaiškina – Bendrajame duomenų apsaugos reglamente (BDAR) įtvirtintas vientisumo ir konfidencialumo principas, pagal kurį asmens duomenys turi būti tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo.

Be to, duomenų valdytojas turi užtikrinti, kad jo tvarkomi asmens duomenys būtų tikslūs, kaip to reikalauja tikslumo principas.

„Taigi, asmens duomenis tvarkantis duomenų valdytojas (pvz., „Bolt“), privalo užtikrinti, kad būtų tvarkomi tikslūs asmens duomenys ir jie būtų tvarkomi saugiai bei sugebėti tai pagrįsti, nes tai yra jo pareiga, kylanti iš BDAR įtvirtinto atskaitomybės principo.

Iš Jūsų pateiktos informacijos, galima daryti prielaidą, kad situacija yra susijusi su galimai netinkamu tapatybės nustatymo ir patvirtinimo mechanizmo veikimu. Duomenų valdytojas, naudodamas tokius tapatybės nustatymo mechanizmus, kai prie paskyros prisijungiama naudojantis telefono ryšio numeriu, turėtų įvertinti riziką, kad telefono ryšio numerio savininkas ilgainiui gali pasikeisti. Nustatęs tokią riziką, duomenų valdytojas turėtų imtis atitinkamų saugumo užtikrinimo priemonių, kad šias rizikas valdytų, pavyzdžiui, numatyti papildomus tapatybės nustatymo žingsnius, kaip patvirtinimas el. paštu, kad prie paskyros jungiasi būtent tas asmuo, kuris turėtų jungtis, ar kitokias saugumo užtikrinimo priemones“, – vertina VDAI.

VDAI nebuvo gavusi pranešimų ar skundų, susijusių su aprašyta situacija, tačiau ir negalėtų jų nagrinėti.

„Pagal „Bolt“ viešai pateikiamą informaciją keleivių duomenis tvarko Estijos Respublikos įmonė, todėl, vadovaujantis BDAR, skundus dėl šio duomenų valdytojo nagrinėtų Estijos Respublikos duomenų apsaugos priežiūros institucijai“, – teigiama komentare.

BDAR taip pat numato, kad tais atvejais, kai asmens duomenų saugumas nėra tinkamai užtikrinamas, pavyzdžiui, asmens duomenys prarandami, be leidimo atskleidžiami ir kt., tai, priklausomai nuo konkrečių aplinkybių, tokie atvejai būtų laikomi asmens duomenų saugumo pažeidimu.

Jei duomenų valdytojas nustato, kad asmens duomenų saugumo pažeidimas įvyko ir yra rizika fizinių asmenų teisėms ir laisvėms, jis per 72 valandas nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, turi informuoti kompetentingą priežiūros instituciją, pateikiant visą būtiną informaciją, susijusią su pažeidimu, jo priežastimis, tyrimu, taikytomis priemonėmis ir pan., dėstoma VDAI komentare.

„Taigi, įvykus arba esant įtarimų, kad galėjo įvykti asmens duomenų saugumo pažeidimas, duomenų valdytojas turi atlikti tokio atvejo tyrimą, įvertinant, ar pažeidimas įvyko, o jei įvyko – jo keliamą pavojų fizinių asmenų teisėms ir laisvėms, būtinas priemones pažeidimui sustabdyti ir tinkamo lygio saugumui atkurti, ir prireikus, pateikti pranešimą apie asmens duomenų saugumo pažeidimą kompetentingai priežiūros institucijai“, – įvertino VDAI.

Patarė ir patiems pasirūpinti paskyromis keičiant numerį

Anot VDAI, verta pažymėti, kad patys duomenų subjektai turi rūpintis savo asmens duomenų saugumu, kiek tai priklauso nuo jo veiksmų. Pavyzdžiui, jei suteiktas telefono ryšio numeris duomenų subjektui nebepriklauso – pakeisti kitu telefono ryšio numeriu, siekiant apsaugoti savo asmens duomenis, kai telefono ryšio numeris buvo naudojamas prisijungimui prie kitų platformų ir pan.

„Papildomai, nedraudžiama telefono numeriu keistis tarp fizinių asmenų, tačiau pats duomenų subjektas turi rūpintis savo asmens duomenų saugumu, kiek tai priklauso nuo jo veiksmų, pavyzdžiui, jeigu perleidžia telefono numerį kitam asmeniui, tuomet duomenų subjektas turėtų pasikeisti telefono numerį paskyroje arba iš paskyros panaikinti telefono numerį, arba pasirinkti kitą autentifikavimo būdą, pavyzdžiui, el. paštu, ir kt.“, – patarė inspekcija.