Ваши коды от Google и Meta* идут через третьи руки

Вы всё ещё доверяете SMS с кодом подтверждения? Расследование Bloomberg Businessweek и Lighthouse Reports показало, как одноразовые сообщения от Google, Meta*, Amazon, Binance и даже европейских банков в 2023 году проходили через малозаметную компанию Fink Telecom Services — с офисом в Швейцарии, несколькими сотрудниками и доступом к системам, где циркулируют коды входа сотен тысяч людей.

Проблема — не в самих SMS, а в цепочке посредников, через которую они отправляются. Крупные корпорации редко рассылают коды напрямую. Вместо этого они обращаются к подрядчикам, те — к другим субподрядчикам, и в итоге сообщение может попасть в руки фирмы, чьи технические маршруты проходят через страны с сомнительной репутацией. В расследовании говорится, что в июне 2023 года через инфраструктуру Fink Telecom прошло более миллиона таких сообщений, а глобальные заголовки (технические идентификаторы для связи мобильных сетей), использованные в процессе, были зарегистрированы в Намибии, Великобритании, Чечне и Швейцарии.

Сама компания Fink Telecom заявляет, что не участвует в анализе содержимого и всего лишь предоставляет «чистую инфраструктуру». Однако Андреас Финк, стоящий за ней, ранее был замечен в связях с организациями, занимающимися перехватом трафика. В 2020 году, например, через одну из его структур — SMSRelay — фиксировались атаки на криптокошельки в Израиле. Несмотря на заявления о закрытии, активность сервиса, как утверждают журналисты, продолжалась до 2023 года.

Рынок доставки SMS оценивается в $30 млрд, но эксперты всё чаще называют эту технологию устаревшей. Компании вроде Signal переходят на PIN и QR-коды, а Google уходит от SMS-аутентификации вовсе. Но пока такие меры не стали массовыми, миллионы людей продолжают получать коды через цепочку, где между вами и вашей безопасностью — технический гараж в Женеве и маршрутизатор в Намибии.

* Компания Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.