Lipsa 2FA si securitate reala eSIM/SIM la Orange Romania.

[DC]

Stiu ca lipsa 2FA a mai fost discutata, si raspunsul moderatorilor a fost "va fi implementata in curand", fara orizont de timp. Si au trecut 8-9 luni de la ultima promisiune.

Fac apel la Orange, sa paseasca din 2006 in 2026. Lipsa 2FA e o suprafata de vulnerabilitate destul de insemnata. Mai ales in conditiile in care, spre deosebire momentul cand My Orange/My Account via web au fost inventate si erau doar un loc de vizualizare a consumului si plata a facturii, acum, acolo, in cazul multora, sunt cheile regatului(numarul de telefon). Din contul Orange se poate face un eSIM swapping foarte rapid. Daca credeti ca un cod prin SMS inainte de activarea numarului e bariera suficienta, va inselati grav. Accesul SS7 devine tot mai ieftin, din cauza multitudinii de MVNO din lume cu acces la retea care vand acces la SS7.

Si daca implementati noi politici actuale de securitate, o sa va enumar cateva tehnologii care ar fi util de adaptat si implementat. Number Lock, SIM/eSIM Protection, Port-out protection/Port Freeze, 2FA pe cont cu authenticator(nu SMS), PIN separat pe cont pentru schimbari sensibile/importante(NU ultimele 6 cifre din CNP/CUI).

Scoaterea posibilitatii de a obtine PUK-ul unui numar Orange fara securitate(via *100#). Din moment de PUK poate fi obtinut asa simplu, PIN-ul devine metoda de protectie doar daca atacatorul nu stie numarul. Adica e doar protectie in caz de pierdere, nu in caz de atac.

Poate pare un moft pentru multi, dar automatizarea si AI fac ca multe atacuri destul de complexe sa se poata face automat. Daca citim ce se mai intampla o sa observam ca genul ala de atacuri nu mai sunt demult asa de rare. Tot ce am enumerat eu sunt lucruri deja implementate la alti operatori telecom din lume.

[UrascSerpii]

Asta am propus și eu, atunci când eram utilizator de cartelă Vodafone preplătită. Astăzi, exceptând situația când un angajat al unui magazin Vodafone ar da din greșeală sau cu rea voință un SIM cu numărul tău Vodafone PrePay unui impostor, șansele oricui de a sparge un cont MyVodafone PrePay sunt nule, zero (0)! Am scris bine, zero! Și vă voi spune de ce. Dacă cineva află parola unui cont MyVodafone PrePay și o introduce, îl întâmpină 2FA. Dacă cere codul prin SMS, cartela e la tine. Dacă comută și cere codul prin email, trebuie să cunoască adresa de email aferentă contului MyVodafone PrePay. Să zicem că îți cunoaște sau îți descoperă (eu știu cum, unde trebuie căutat, însă nu zic!) acea adresă de email. Cere codul via email. Dar cel mai probabil, un utilizator inteligent pe partea de securitate email nu are un număr de telefon în acel cont de email. Sau are validat în contul de email, eventual activat și 2FA fix acel număr de telefon și iarăși, SIM-ul e la tine. Dacă dă click pe "Am uitat parola", SIM-ul e la tine și nici emailul nu poate fi spart, așadar ajungem tot cum spuneam mai sus. Mai departe: un impostor îți ia SIM-ul PrePay Vodafone din telefonul cu sertăraș, evident că nu va ghici codul PIN și va cere PUK. De pe orice alt număr de telefon Vodafone PrePay va încerca să afle codul PUK, i se va cere PIN-ul asociat numărul de telefon Vodafone PrePay pe care vrea să îl deblocheze, setat de către utilizatorul de drept. De fapt, încă de când activează un număr PrePay, la secțiunea *100# - află codul PUK , oricărui posesor i se spune "-Nu ești autorizat. Crează PIN". Și nu poate face acest lucru decât prin apelarea robotului Andreea, într-o secțiune în care setează acest PIN într-un mod total securizat. Impostorului dacă i se cere acest PIN, degeaba sună la *222 și îl solicită, pentru că nu îl va obține, nici măcar cel mai slab pregătit consultant Vodafone nu poate greși comunicându-i-l  impostorului. Și aici, știu și de ce! Contul MyVodafone nu se poate șterge din 5 click-uri, ca în My Orange, ci trebuiesc oferite informații de securitate consultantului Vodafone! Imaginați-vă cum ar fi să intre atât de ușor un impostor într-un cont My Orange (și poate!), să facă cu creditul tău ce vrea, să îți șteargă prin 5 click-uri direct din aplicația mobilă după 1-2 ore contul My Orange, primind totodată și email de confirmare. În cazul în care cu numărul tău resetează până și parola de la email și preia controlul. Și crează impostorul un nou cont, de la 0, cu datele lui, ale tale s-au evaporat, oricum la PrePay erai anonim ca și el! Și pierzi și contul din Comunitatea Orange! Și poate că aveai și un card bancar salvat în My Orange! La Vodafone când te portezi, automat numărul îți este personalizat. Doar cu numele și adresa, fără CNP (potrivit legislației), însă e suficient. Și setezi și o parolă a contului pe care nu o știe nimeni, decât cei de la Serviciul Clienți Vodafone, uneori și angajații din magazinele Vodafone, pentru sigura identificare a ta! Nu e de ajuns? Ce vedem la Orange? "Bulevard public"! Postarea ta merită toată aprecierea.

[MirelaAlina · Accepted solution]

Bună, @DC! Venim către tine cu o actualizare, știm că autentificarea în doi pași era o măsură mult așteptată. Suntem preocupați constant de siguranța conturilor și datelor clienților noștri, așa că ne bucurăm să anunțăm că această protecție va fi disponibilă în My Orange începând cu 16 noiembrie. 🧡

Află aici cum o poți configura.

[adinxl]

Dupa zece ani de asteptare s-a ales solutia cea mai vulnerabila si considerata depasita de industria de securitate.
SMS-ul este una dintre cele mai vulnerabile metode de 2FA, inclusiv la SIM swapping și phishing.
Ideal ar fi ca Orange să implementeze autentificare prin TOTP, folosind o aplicație precum Google Authenticator.

[DC]

Am citit ce scrie acolo, si am niste comentarii. Eu personal as fi preferat autentificarea in 2 pasi prin cod pe authenticator. De ce? Scopul autentificarii prin doi pasi la un cont de unde se gestioneaza numarul de telefon e tocmai ca sa adaugi un strat de aparare suplimentar, un eventual acces temporar la numarul de telefon sa nu se termine prin preluarea pe termen mai lung a numarului, din contul orange. Eu pot sa-mi imaginezi usor un scenariu cand prin diverse vulnerabilitati, cineva poate intercepta temporar SMS-urile. Practic voi protejati un numar de telefon cu numarul de telefon. Tot un singur strat de aparare ramane. Cei ce ataca, o sa atace exact in orele cand in Romania e noapte, si e putin probabil sa ii prinzi in minute si sa ceri vreun ajutor la cineva(serviciul clienti orange, alte persoane, etc.). Eu cred ca departamentul de IT al Orange e in stare de mult mai multe. Se pot face cu opt-in o multime variante de securitate actuale. Protectie la portare, PIN/parola suplimentara diferita pentru setari importante, si altele. In mesajul initial eu chiar am precizat ca 2FA prin SMS nu e ok, este considerata o metoda destul de nesigura in prezent, doar ceva mai mult decat nimic.

[MirelaAlina]

Bună, @DC! Mulțumim că ai explicat atât de clar preocupările și sugestiile tale! Introducerea verificării prin SMS este un pas suplimentar de securitate, însă apreciem sugestia ta privind opțiuni suplimentare de protecție.