SMS 轉駁存漏洞易被偷「驗證碼」!方保僑提自保對策:主動向電訊商申請停用 SMS 飛線

| Kay | 26-02-2019 18:48 | |

今日(2 月 26 日)本地傳媒報道有提,本地電訊商的 SMS 轉駁(SMS Forwarding)功能,存在偷驗證碼漏洞。有受害人室去年尾突然「被申請」SMS 飛線,怎料在 3 日內遭到截取包括電郵及多個電子錢包在內的登入驗證碼,再被盜取個人資料購買遊戲點數及申請信用卡,損失逾 HK$18 萬,備受全城熱話。ezone.hk 就此找來香港互動市務商會會長方保僑(Francis),分享對以上事件的看法,以及提供相應防範方法。

【相關報道】【環聯漏洞】540 萬市民信貸報告任睇 林鄭月娥私隱遭外洩

【相關報道】國泰港龍 940 萬乘客資料遭外洩 涉信用卡號碼 莫乃光批:太遲通報

事件屬冰山一角

Francis 提到,以上 SMS 轉駁功能存在偷驗證碼漏洞,繼而出現電郵、電子錢包等個人資料失竊,蒙上金錢損失的事件,其實可能時有發生,只不恰巧這次有傳媒報道,事件才真正備受關注。他懷疑當中的行動,或為香港區內人所為,畢竟要接連做到連續攻陷苦主的電郵、電子錢包,再取得身份證號碼等個人資料,過程這樣抽絲剝繭,未必是外國騙徒能輕易做到的事情。

另外,Francis 也指事件的出現,反映金管局現有政策存在結構性問題。「在 2011 年,金管局實施監管銀行不可轉發一次性密碼至轉駁手機號碼的機制,可是在 2016 年立例規管電子錢包時,卻沒有相關指引,政策上顯然是存有漏洞。」

SMS 科技跟不上時代

由於香港人使用電子支付、電子錢包的情況,只會愈來愈普遍,因此 Francis 認為,類似這次「SMS 轉駁功能存偷驗證碼漏洞,令個人資料被盜及蒙上金錢損失」的事情,在日後只會愈來愈多。「雖然採取 SMS 認證的方法是方便用家,但始終 SMS 已面世了 30 年,當中的科技已跟不上時代,而漏洞也早已存在。」

給市民的建議

為防範以上的情況的出現,Francis 建議市民使用任何電子錢包、電郵、通訊程式等時,應採用雙重認證,擔心的話更可定期更改密碼,甚至主動向電訊商申請停用 SMS 轉駁功能,以防驗證碼有被偷的可能。

值得一提的是,近年業界也推出新的認證方法,取代舊有的短訊認證,例如利用 Google Authenticator,在網站掃描 QR Code 便可同步,操作上有點像現在常於 e-banking 使用的保安編碼器。另外一種新認證方法是 IPification,當中會以電訊商的 IP 地址作為認證。因着當中的 IP 地址會是隨機派發,每次皆不同,因此黑客會較難截取箇中內容,從而減低有個人資料被盜,甚至蒙上金錢損失的可能。

金管局、電子錢包營運商之應對

受以上事件影響,金管局已通知所有電子錢包營運商,要求引用「一次性密碼轉發禁用」的措施,在有關措施公布前,PayMe 及 Tap&Go 早有實施相關規定,至於支付寶香港、TNG 則表示短期內會落實有關安排。

至於 WeChat Pay HK 方面,品牌公關已確認於本月 21 日收到金管局最新通知,要求所有儲值支付工具營運商引用「一次性驗證碼(OTP)轉發禁用」措施。WeChat Pay HK 已即時作出跟進及完成系統更新。現在 WeChat Pay HK 用戶即使已啟用短訊轉發服務,所有由 WeChat Pay HK 發出的短訊亦不會被轉發至其他手機號碼。此外, WeChat Pay HK 確認從來沒有收到任何相關的用戶投訴或查詢。

香港互動市務商會會長方保僑(Francis)。

Francis 表示:「始終 SMS 已面世了 30 年,當中的科技已跟不上時代,而漏洞也早已存在」,因此他建議日後相關服務機構可考應使用像 Google Authenticator 一類的新認證方法,取代現有的短訊認證。

【相關報道】轉數快 FPS 苦主遭騙徒轉走 $10 萬銀行存款 方保僑:冇做 eDDA 認證

【相關報道】PayMe 約 20 個帳戶遭黑客入侵 匯豐指損失少於 $10 萬 方保僑:欠兩步驗證

Source: ezone.hk

相關文章

Page 1 of 16