देशभर में T-Mobile कर्मचारियों को गैरकानूनी SIM swapping के बदले नकद ऑफर मिले

 (tmo.report)
1 पॉइंट द्वारा GN⁺ 2024-04-16 | 1 टिप्पणियां | WhatsApp पर शेयर करें

  • T-Mobile कर्मचारियों को गैरकानूनी तरीके से SIM swap करने के बदले नकद लेने के ऑफर मिल रहे हैं

    • बुरे इरादों वाले लोग T-Mobile कर्मचारियों से संपर्क कर प्रति SIM swap $300 की पेशकश कर रहे हैं
    • इस ऑफर में अलग-अलग एरिया कोड वाले नंबरों से Telegram पर संपर्क करने को कहा गया है, और दावा किया गया है कि नंबर T-Mobile employee directory से हासिल किए गए हैं
    • Reddit की कई पोस्टों और The Mobile Report को सूचना देने वाले लोगों के अनुसार, देशभर में T-Mobile कर्मचारी इससे प्रभावित हैं

  • कर्मचारियों की निजी जानकारी के लीक होने के रास्ते पर सवाल

    • सबसे बड़ा सवाल यह है कि बुरे इरादों वाले लोगों ने कर्मचारियों के फोन नंबर कैसे हासिल किए
    • प्रभावित कर्मचारियों में कुछ ऐसे पूर्व कर्मचारी भी शामिल हैं जो कई महीनों पहले ही कंपनी छोड़ चुके थे, इसलिए संभव है कि यह कुछ महीने पुराना डेटा हो
    • क्योंकि इसमें corporate कर्मचारी भी शामिल दिखते हैं, यह Connectivity Source breach से अलग किसी डेटा source जैसा लगता है
    • T-Mobile ने जवाब दिया कि उसके systems में कोई breach नहीं हुआ है और वह गैरकानूनी काम के लिए उकसाने वाले messages की जांच जारी रखे हुए है

  • ग्राहकों पर असर और बचाव के उपाय

    • यह कि अपराधी अब भी SIM swapping को कमाई का जरिया मान रहे हैं, इस बात का संकेत है कि कंपनियों के prevention efforts पर्याप्त नहीं हैं
    • चूंकि यह ऑफर बहुत से कर्मचारियों तक पहुंचा है, इसलिए कुछ लोगों के इसे स्वीकार करने की आशंका है, जिससे ग्राहक accounts और funds खतरे में पड़ सकते हैं
    • ग्राहक SMS की जगह app-based 2-factor authentication इस्तेमाल कर सकते हैं और T-Mobile account में SIM protection feature सक्रिय करने जैसे बचाव कदम उठा सकते हैं
    • अगर आपका bank या crypto wallet सिर्फ SMS support करता है, तो service बदलने पर विचार करना चाहिए

  • उम्मीद है कि हालिया data breaches के लिए बदनाम इस telecom कंपनी में यह कोई नया breach न हो

    • सबसे अच्छा scenario यह होगा कि यह सितंबर breach की जानकारी से जुड़ा असर हो, लेकिन नए breach की संभावना भी है
    • नई जानकारी मिलते ही The Mobile Report इसे लगातार update करता रहेगा

GN⁺ की राय

  • SIM swapping कोई नई समस्या नहीं है, लेकिन telecom carrier कर्मचारियों को निशाना बनाकर किया गया यह संगठित प्रयास असामान्य है। insider threat से निपटने के लिए carriers को अपने security measures और मजबूत करने चाहिए
  • telecom की तीनों बड़ी कंपनियों के ज्यादातर ग्राहक 2-factor authentication के लिए SMS का इस्तेमाल करते हैं, इसलिए संभावित नुकसान का दायरा बड़ा है। ग्राहक जागरूकता बढ़ाने के साथ तकनीकी सुरक्षा उपाय जल्दी तैयार करना जरूरी है
  • हाल के बार-बार हुए customer data leaks की वजह से T-Mobile की विश्वसनीयता पहले ही कमजोर हुई है, इसलिए इस घटना का असर बड़ा हो सकता है। पूरी जांच और दोबारा ऐसा न होने देने के उपाय जरूरी हैं
  • कर्मचारियों की जानकारी कैसे लीक हुई, इस पर insider involvement की संभावना को नकारा नहीं जा सकता। खासकर जब इसमें नौकरी छोड़ चुके पूर्व कर्मचारियों की जानकारी भी शामिल है, तो मामला और संदिग्ध लगता है
  • सिर्फ telecom कंपनियों के स्तर पर नहीं, बल्कि SIM swapping पर कानूनी नियंत्रण और सख्त सजा की भी जरूरत है। नुकसान के पैमाने की तुलना में सजा हल्की होने से यह अपराध के लिए प्रेरणा बन रही है

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2024-04-16
Hacker News की राय
  • कर्मचारियों को नौकरी से निकालने के लिए T-Mobile द्वारा फर्जी SMS भेजना अनैतिक है और विवादास्पद भी
  • हालिया T-Mobile data breach के कारण अपराधियों ने बड़ी संख्या में कर्मचारियों के फोन नंबर हासिल कर लिए हैं, जिससे SIM swapping के लिए उकसाने वाली एक नई attack technique सामने आई है
  • SIM swapping की समस्या हल करने के लिए ग्राहक की पहचान सत्यापन प्रक्रिया को मजबूत करना ज़रूरी है, लेकिन अमेरिका में सार्वभौमिक पहचान पत्र प्रणाली न होने से यह कठिन है
  • मूल समस्या यह है कि फोन नंबर डिजिटल जीवन में भरोसे की बुनियाद बन गया है। Passkey जैसी OS-level सुधार इसमें मदद कर सकते हैं
  • SMS OTP अब भी बहुत इस्तेमाल होता है, जबकि यह attack vector को और कमजोर विकल्प से बदलने जैसा है
  • FCC जुलाई 2024 से SIM swapping रोकने के नियम लागू करने वाला है, लेकिन यह insider attack तक रोक पाएगा या नहीं, यह स्पष्ट नहीं है
  • MFA की कानूनी परिभाषा और standards तय करने की ज़रूरत है। SMS को 2SA के रूप में वर्गीकृत करना और MFA को hardware authentication तरीकों तक सीमित रखना बेहतर होगा
  • telecom customer service कर्मचारियों की कम तनख्वाह, उनके पास मौजूद मजबूत अधिकार, और कमजोर access control जैसी बातें insider attack का कारण बन रही हैं
  • SIM समस्या हल होने के बाद भी हमलावर किसी और कमजोरी को निशाना बनाएंगे, इसलिए लगातार security मजबूत करना ज़रूरी है
  • यदि उपयोगकर्ता की सहमति हो, तो ऐसा विकल्प विचार किया जा सकता है जिसमें नया SIM तभी सक्रिय हो जब पुराना SIM offline हो चुका हो