CertiK 表示 SMS 是 2FA 中“最容易受到攻击”的形式

使用 SMS 作为一种双重身份验证的形式一直受到加密爱好者的欢迎。 毕竟，许多用户已经在他们的手机上交易他们的加密货币或管理社交页面，那么在访问敏感的金融内容时为什么不简单地使用 SMS 进行验证呢？

不幸的是，骗子最近开始通过 SIM 交换来利用隐藏在这一安全层下的财富，或者将一个人的 SIM 卡重新路由到黑客拥有的手机的过程。 在全球许多司法管辖区，电信员工不会要求政府 ID、面部识别或社会安全号码来处理简单的移植请求。

结合对公开可用个人信息的快速搜索（对于 Web3 利益相关者来说很常见）和易于猜测的恢复问题，冒充者可以快速将帐户的 SMS 2FA 移植到他们的手机上，并开始将其用于不法手段。 今年早些时候，许多加密 Youtuber 成为 SIM 交换攻击的受害者，其中 黑客发布了诈骗视频 在他们的频道上显示文字指示观众向黑客的钱包汇款。 XNUMX 月，Solana 不可替代令牌 (NFT) 项目 Duppies 的官方 Twitter 帐户通过 SIM-Swap 遭到入侵，黑客在推特上发布了指向假隐形薄荷的链接。

关于这件事，Cointelegraph 采访了 CertiK 的安全专家 Jesse Leclere。 作为区块链安全领域的领导者，CertiK 自 3,600 年以来已帮助 360 多个项目保护了价值 66,000 亿美元的数字资产，并检测了超过 2018 个漏洞。以下是 Leclere 所说的：

“短信 2FA 总比没有好，但它是目前使用的最容易受到攻击的 2FA 形式。 它的吸引力来自于它的易用性：大多数人在登录在线平台时要么在手机上，要么就在手边。 但它对 SIM 卡交换的脆弱性不容小觑。”

Leclerc 解释说，专用的身份验证器应用程序，例如 Google Authenticator、Authy 或 Duo，提供了 SMS 2FA 的几乎所有便利，同时消除了 SIM 交换的风险。 当被问及虚拟卡或 eSIM 卡是否可以规避与 SIM 卡交换相关的网络钓鱼攻击的风险时，对于 Leclerc，答案是明确的不能：

“必须记住，SIM 交换攻击依赖于身份欺诈和社会工程。 如果一个不良行为者可以欺骗电信公司的员工，让他们认为他们是物理 SIM 卡所附号码的合法所有者，那么他们也可以为 eSIM 这样做。

尽管可以通过将 SIM 卡锁定在手机上来阻止此类攻击（电信公司也可以解锁手机），但 Leclere 仍然指出使用物理安全密钥的黄金标准。 “这些密钥插入您计算机的 USB 端口，其中一些支持近场通信 (NFC)，以便更轻松地与移动设备一起使用，”Leclere 解释说。 “攻击者不仅需要知道您的密码，还需要实际拥有此密钥才能进入您的帐户。”

Leclere 指出，在 2017 年强制要求员工使用安全密钥后，谷歌经历了零成功的网络钓鱼攻击。 “但是，它们非常有效，如果您丢失了与您的帐户相关联的一个密钥，您很可能无法重新获得对它的访问权限。 将多把钥匙放在安全的地方很重要，”他补充说。

最后，Leclere 表示，除了使用身份验证器应用程序或安全密钥之外，好的密码管理器还可以轻松创建强密码，而无需在多个站点上重复使用它们。 “与非 SMS 2FA 配对的强而独特的密码是帐户安全的最佳形式，”他说。