계정 대결. Jeffrey's Coffee 체인의 창립자가 VKontakte를 고소합니다

사기꾼들은 MTS 고객 식별 시스템의 취약점으로 인해 기업가 Alexey Mironov의 VKontakte 페이지를 훔쳤습니다. 소셜 네트워크는 결코 그것을 소유자에게 돌려주지 않았으며 그에게 불가능한 것을 요구하고 있습니다. 이제 그는 이에 대해 VKontakte를 고소하고 있습니다. 그는 디지털 권리 센터로 대표됩니다.

Alexey Mironov는 Jeffrey's Coffee 체인의 창립자입니다. 이것은 모스크바와 그 지역의 커피숍 프랜차이즈입니다. Alexey는 VKontakte에서 동료 및 파트너와 자주 소통했으며 그곳에서 자신의 네트워크에 대한 매우 인기 있는 공개 페이지를 유지했으며 구독자 수는 50명이 넘었습니다.

2018년 XNUMX월 이른 아침, Alexey가 중국 출장을 갔을 때 그의 VKontakte 페이지가 해킹당했습니다. 그는 VKontakte, WhatsApp으로부터 SMS를 받았고 MTS 운영자로부터 다른 번호로의 전달이 설정되었다는 메시지를 받았습니다. Alexey는 착신 전환을 설정하지 않았기 때문에 즉시 걱정이 되어 MTS에 전화했습니다. 그들은 실제로 리디렉션이 있었는지 즉시 확인하지도 않았습니다. 교환원은 알렉세이의 전화를 받은 지 XNUMX시간 만에 전화를 끌 수 있었습니다. MTS는 전달이 언제 어떻게 활성화되었는지에 대한 데이터를 찾지 못했습니다.

Alexey는 소셜 네트워크 및 인스턴트 메신저에 대한 액세스를 확인한 결과 더 이상 자신의 전화번호를 사용하여 로그인할 수 없음을 확인했습니다. 해커들은 다른 번호를 그의 계정에 연결했습니다. WhatsApp을 사용하면 문제가 빠르게 해결되었습니다. 전달을 취소한 직후 메신저는 적법한 소유자에게 계정에 대한 액세스를 복원했습니다.

Alexey는 VKontakte 지원팀에 편지를 보내 페이지 반환을 요청하고 여권 사진을 보냈습니다. 저녁에 그는 현재 소유자가 액세스 권한을 확인했기 때문에 신청이 거부되었다는 SMS를 받았습니다.

기술 지원 전문가는 Alexey가 자신의 페이지에 대한 액세스 권한을 제XNUMX자에게 자발적으로 양도할 수 있으므로 해당 페이지에 대한 액세스 권한이 복원되지 않을 것이라고 밝혔습니다. Alexey는 해킹 상황을 설명했지만 운영자가 해킹이 발생했음을 확인하는 MTS로부터 확인 편지를 보내 달라는 요청을 받았습니다. Alexey는 MTS로부터 편지를 제공했습니다. 그 후 VKontakte 행정부는 이 편지를 경찰의 인증을 받을 것을 요구했습니다. 서신과 서명인의 자격 증명을 인증하는 것이 경찰의 역할이 아니기 때문에 이 요구 사항을 충족하기가 매우 어렵습니다. Alexey는 해킹된 페이지에 대해 알고 있는 VKontakte 직원에게 개인적으로 요청해야만 해킹된 페이지를 차단할 수 있었습니다. 페이지가 아직 반환되지 않았습니다. Alexey가 달성한 유일한 것은 자신의 계정을 차단하는 것이었습니다. 이제 사기꾼이나 그 자신도 그것을 사용할 수 없습니다.

VKontakte 지원 서비스는 다른 이야기입니다. 승인된 사용자만 VKontakte 지원 서비스에 연락할 수 있습니다. 즉, 페이지에 액세스할 수 없는 경우 새 페이지를 만들거나 지원 글을 작성하려면 친구에게 페이지에 대한 액세스 권한을 요청해야 합니다. Alexey는 아내 페이지의 지원 서비스 전문가와 연락했으며 이는 사용자 계약에 따라 로그인 및 비밀번호를 다른 사람에게 양도하는 것을 허용하지 않지만 이는 그들을 괴롭히지 않았습니다.

페이지 해킹과 계정 및 공개 페이지에 대한 추가 액세스 권한 상실로 인해 Alexey의 비즈니스 평판과 재산 이익이 모두 손상되었습니다. 이로 인해 상당한 양의 개인 및 상업 정보가 알려지지 않은 목적지로 유출될 수 있다는 점은 말할 것도 없습니다. 사업가 계좌의 사기꾼들은 친구들에게 거액의 돈을 이체해 달라고 요청했습니다. 한 사람이 34 루블을 옮겼습니다. 공격자는 Alexey 계정의 개인정보에 XNUMX시간 동안 접근할 수 있었습니다.

VKontakte에 대한 소송

Alexey Mironov는 상트페테르부르크 Smolninsky 지방 법원에서 소셜 네트워크 VKontakte를 상대로 소송을 제기했으며 현재 사건의 배정을 기다리고 있습니다. 그는 소셜 네트워크가 사용자 계약의 형태로 체결된 자체 계약을 이행하고 자신의 페이지에 대한 액세스 권한을 반환하도록 법원에 요청합니다. 오늘날까지 VKontakte 행정부는 Alexey가 자신의 계정에 대한 액세스 권한을 불합리하게 계속 박탈하고 있으며 Alexey는 사용자 계약 조건을 성실하게 준수하고 즉시 소셜 네트워크의 기술 지원 서비스에 해킹에 대해 알렸습니다. VKontakte는 사용자가 페이지 로그인 및 비밀번호를 제XNUMX자에게 양도하는 것을 금지하는 사용자 계약 조항을 인용하여 페이지에 대한 액세스 복원을 거부했습니다. Alexey와 대화를 나눈 VKontakte 지원 담당자는 교환원 사무실을 방문하고 여권을 제시해야만 전화번호 전달을 설정할 수 있다고 말했습니다. 실제로 이것은 사실이 아니며 Roskomnadzor는 Alexey의 항소에 대한 응답으로 확인했습니다.

소셜 네트워크는 사용자 계약을 위반하여 Alexey의 페이지 사용에 대한 액세스를 부당하게 제한했습니다. 이는 Art 제1항을 위반하여 의무 이행을 일방적으로 거부하는 것입니다. 30 러시아 연방 민법. VK는 Alexey의 계정에 대한 액세스 권한을 박탈함으로써 Alexey에게 중요한 무형 자산인 공개 페이지를 관리할 권리도 박탈했습니다. (우리는 새로운 형태의 디지털 자산인 공개 시장과 이들과의 거래 체결의 특징에 대해 썼습니다. 이전)

MTS 식별 시스템의 보안 허점

사기꾼들이 기업가를 대신하여 행한 서신을 보면 그들이 그의 출장과 출장에 대해 알고 있었음을 알 수 있습니다. 그들은 MTS 연락 센터에 전화를 걸어 Alexey를 대신하여 자신의 신원을 확인하고 착신 전환을 설정할 수 있었습니다. 공격자는 사회 공학을 통해 그의 여권 데이터를 얻을 수 있습니다. Alexey Mironov는 프랜차이즈의 창립자이므로 프랜차이즈 설립에 관련된 많은 사람들이 그의 여권 정보를 가질 수 있습니다. MTS는 내부 조사를 실시했지만 전달을 정확히 설치한 사람이 누구인지, 공격자가 SMS를 가로채는 방법을 확인할 수 없었습니다. 회사는 죄책감을 인정하지 않았지만 동시에 Alexey에게 750 루블이라는 매우 이상한 보상을 제공했습니다.

우리는 올바른 개인 데이터만을 사용하여 원격으로 가입자를 식별하는 것은 매우 모호한 관행이라고 생각하고 이러한 종류의 회사 프로세스가 개인 데이터에 관한 법률 요구 사항을 준수하는지 확인하기 위해 Roskomnadzor에 불만 사항을 썼습니다. 결과적으로 Roskomnadzor는 MTS의 편을 들며 올바른 개인 데이터를 제공하면서 전화로 원격 식별 후 통신 서비스를 관리하는 것은 매우 정상적이며 이러한 종류의 무단 행위에 대해 추가적인 보호 방법을 확립하는 것은 가입자 자신에게 골치 아픈 일이 아니라 골치 아픈 일임을 지적했습니다. 회사. (전체 답변 읽기 - 여기에)

Alexey Mironov 계정 해킹은 MTS 가입자 데이터에 대한 무단 액세스가 발생한 첫 번째 사례가 아닙니다. 2018년에는 500만명의 가입자 데이터베이스를 보유하고 있습니다. 훔쳤다 노보시비르스크에서는 두 명의 공격자가 있었는데 그 중 한 명은 회사 직원이었습니다. 그들은 한 명의 가입자의 데이터에 대해 1 루블의 가격으로 데이터베이스를 판매하려고했습니다.

2016년에는 해킹됨 야당 운동가 Georgy Alburov와 Oleg Kozlovsky의 전보 계정. 그들의 계정은 MTS 번호에 연결되었으며 해킹 직전에 SMS 서비스가 비활성화되고 전달이 활성화되었습니다. 침입 정황도 확립되지 않았습니다. 2019년 Oleg Kozlovsky는 MTS를 상대로 소송을 제기했지만 법원은 이를 기각했습니다.

각종 웹서비스 및 애플리케이션의 계정을 해킹으로부터 보호하는 것은 이용자 본인의 책임입니다. 이 입장은 통신 사업자와 규제 당국 모두가 공유하며, 이에 따라 이러한 위험을 가입자와 공유하는 것을 거부합니다.

RKN은 응답에서 다음과 같이 설명합니다.
“... MTS 조건의 2.11항에 따라 식별 목적으로 통신 사업자의 가입자에게는 가입자가 다음에서 정한 형식으로 지정한 일련의 기호(문자, 숫자)인 코드 워드를 사용할 수 있는 기회가 제공됩니다. 계약을 실행할 때 가입자를 식별하는 데 사용되는 운영자입니다. 가입자는 계약을 체결할 때(이 경우 필수 세부 사항과 함께 계약 양식에 입력됨) 및 계약 실행 중 언제든지 코드 워드를 설정할 수 있습니다. 그럼에도 불구하고 가입자 Mironov A.K. 서비스 연결 문제가 발생하기 전에 코드 워드가 설정되지 않았습니다. 이러한 상황에서 가입자만이 통신사업자 식별 과정에서 암호를 설정함으로써 그러한 상황으로 인해 발생할 수 있는 불리한 결과의 위험을 무력화할 수 있었지만 이 기회를 활용하지 못했습니다.”

계정 복구. 불가능한 임무

Roskomnadzor의 무 활동에 대한 불만은 이미 검찰청에 제출되었습니다. 한편 경찰은 범죄 신고에 대해 침묵을 지키고 있다. 조사 결과에 대해 회사 내부에 보고하는 사람도 없습니다. MTS는 어떠한 죄책감도 인정하지 않습니다. 아무도 신경 쓰지 않습니다. 동시에 VKontakte는 경찰로부터 지정된 사실을 입증하는 형사 사건 개시 결의안과 MTS의 편지를 제출하여 리디렉션 서비스에 이의가 있음을 확인할 때까지 계정 소유자의 액세스 복원을 계속 거부합니다. 상당히 광범위한 설명이 담긴 편지에는 Mironov가 연결된 전화번호의 유일한 사용자(그리고 운영자가 전화번호의 공동 소유권을 등록하는 곳은 어디입니까?)라는 MTS의 인증서도 제공해야 한다는 요구 사항도 있습니다. 그 페이지. 응답은 지난주 말에 도착했고 상황이 교착 상태에 있고 현재 XNUMX개월 동안 VKontakte와 합의에 도달할 수 없다는 점을 고려하여 우리는 법정에갔습니다.

해킹으로부터 자신을 보호하는 방법

공격자는 SS7 프로토콜이나 부도덕한 통신사 직원의 도움을 받아 중복 SIM 카드 획득 등 다른 취약점을 통해 전화번호 관리에 액세스할 수도 있습니다.

SS7은 통신 사업자가 사용하는 기술 프로토콜입니다. 그것은 오래되고 제거할 수 없는 것으로 보이는 것을 포함하고 있습니다. 취약점, 통화 중이나 SMS를 통해 가입자가 전송한 데이터를 가로챌 수 있습니다. 운영자만이 SS7에 접근할 수 있지만, 공격자는 저개발 국가의 운영자로부터 다크넷에 대한 접근권을 구입하거나 이동통신사의 부도덕한 직원을 통해 SSXNUMX에 접근할 수 있습니다. 공격은 공격자가 가입자의 청구 시스템 주소를 자신의 주소로 변경하면 발생합니다. 대부분의 경우 공격자는 가입자가 국제 로밍 중임을 시스템에 알리므로 자신을 보호하는 가장 쉬운 방법은 국제 로밍을 사용하지 않는 경우 비활성화하는 것입니다.

Alexey Mironov는 아직 Vkontakte용 이중 인증 시스템을 구성하지 않았습니다. 이 기능 출연 한 2014년 XNUMX월 VK에서. 아마도 그녀는 그의 계정이 해킹당하지 않도록 보호할 수 있을 것입니다. 단순히 계정을 전화번호에 연결하는 것만으로는 XNUMX단계 인증이 아니라는 점을 기억해 두시기 바랍니다. 이중 인증 — 이는 비밀번호 외에 다른 작업이 수행될 때 계정 로그인을 보호하는 것입니다. 가장 일반적인 옵션은 SMS 코드입니다. 공격자가 SMS 메시지를 가로챌 수 있으므로 이 방법은 가장 안정적이지 않습니다. 보다 안전한 옵션으로는 키 파일, 임시 코드, 모바일 애플리케이션 및 하드웨어 토큰이 있습니다.

불행하게도 우리는 데이터 보안이 우리 자신의 문제가 되는 시대에 살고 있습니다. 그들은 해킹이 발생할 경우 운영자가 독립적으로 책임을지기를 희망하지만 실제로는 그렇지 않습니다. 또한 데이터 보호 관행에서 오랫동안 현실과 동떨어진 Roskomnadzor에 의존하고 있습니다. 비슷한 경우에 귀하의 신청서를 받게 될 지역 경찰관의 "거부 자료"라는 갑옷을 뚫는 것은 믿을 수 없을 정도로 어렵습니다. 특히 이 시스템이 어떻게 작동하는지 모르는 일반 사람의 경우 더욱 그렇습니다. 남은 것은 무엇입니까? 디지털 위생을 잊지 말고 수학을 신뢰하며 법정에서 귀하의 권리를 보호하세요.

출처 : habr.com