SIM-स्वैप धोखाधड़ी क्या है, और क्या SMS OTP इससे सुरक्षा देता है?

SIM स्वैप आपके फ़ोन नंबर को हमलावर के नियंत्रण वाले SIM पर ले जाता है। अगर कोई एप्लिकेशन उस नंबर पर SMS वन-टाइम पासवर्ड (OTP) भेजता है, तो हमलावर कोड पाकर एप्लिकेशन की जाँच पार कर सकता है। इसलिए एप्लिकेशन को यह तय करने का कोई दूसरा तरीका चाहिए कि व्यक्ति ही असली खाताधारक है या नहीं।

SIM-स्वैप धोखाधड़ी कैसे काम करती है?

हमलावर पहले कैरियर खाते को निशाना बनाता है, अक्सर नंबर का मालिक होने का दिखावा करके या कहीं और उजागर हुई जानकारी का उपयोग करके। कैरियर नंबर को हमलावर के SIM पर ले जाता है। इसके बाद मालिक के फ़ोन पर सेवा बंद हो जाती है। नंबर के कॉल और टेक्स्ट हमलावर तक पहुँचते हैं। हमलावर एप्लिकेशन से मिले SMS कोड का उपयोग करके खाते पर कब्ज़ा करने का प्रयास करता है।

यह तरीका कैरियर के स्तर पर नंबर के स्वामित्व पर हमला करता है। यह OTP को नहीं तोड़ता। कोड सही ढंग से बनाया, पहुँचाया और जाँचा जा सकता है। फिर भी वह गलत व्यक्ति तक पहुँच सकता है।

SMS OTP क्या साबित करता है?

SMS OTP यह साबित करता है कि उसे दर्ज करने वाला व्यक्ति उस सत्यापन से जुड़े नंबर पर संदेश पा सकता है। यह साबित नहीं करता कि वह व्यक्ति एप्लिकेशन खाते का असली मालिक है। अमेरिकी मानक संस्था NIST, PSTN-आधारित प्रमाणीकरण को एक प्रतिबंधित विकल्प मानती है। वह सत्यापन करने वालों से कहती है कि इस पर भरोसा करने से पहले SIM बदलाव, डिवाइस बदलाव और नंबर पोर्टिंग जैसे संकेतों पर विचार करें। आश्वासन ढाँचे के लिए NIST SP 800-63B देखें।

दो SMS डिलीवरी भी एक ही चैनल हैं। एक और कोड भेजने से समझौता किया गया नंबर स्वतंत्र फ़ैक्टर नहीं बन जाता।

आपको किन संकेतों पर ध्यान देना चाहिए?

मोबाइल सेवा के अचानक बंद होने को संभावित घटना मानें, खासकर जब साथ में कैरियर अलर्ट, खाते का कोई बदला हुआ विवरण या बिना अनुरोध का पासवर्ड रीसेट हो। कैरियर PIN और अकाउंट टेकओवर सुरक्षा से नंबर का अनधिकृत बदलाव कठिन हो सकता है। ये एप्लिकेशन ऑथेंटिकेशन की जगह नहीं लेते।

यदि आपको स्वैप का संदेह है, तो किसी भरोसेमंद माध्यम से कैरियर से संपर्क करें और नंबर का नियंत्रण वापस दिलाने को कहें। प्रभावित एप्लिकेशन और ईमेल खातों को ऐसे रिकवरी तरीके से सुरक्षित करें जो समझौता किए गए नंबर पर निर्भर न हो। इस खतरे को असली SIM बदलकर न परखें।

क्या डिलीवरी चैनल बदलने से SIM स्वैप की समस्या हल होती है?

नहीं। दूसरा चैनल डिलीवरी बेहतर कर सकता है। इससे यह साबित नहीं होता कि समझौता किया गया नंबर सुरक्षित है। Bird का next-channel ऑपरेशन नया सत्यापन कोड भेजता है। पहले के सत्यापन कोड मान्य बने रहते हैं। SMS से हटने पर हमलावर तक पहले से पहुँचा कोड रद्द नहीं होता। फ़ॉलबैक को डिलीवरी का विकल्प मानें, SIM-स्वैप का समाधान या अपने-आप बढ़ने वाला आश्वासन स्तर नहीं। कोड और स्वतंत्र फ़ैक्टर के अंतर के लिए OTP का क्या अर्थ है और टू-फ़ैक्टर ऑथेंटिकेशन क्या है देखें।

एप्लिकेशन को कैसे प्रतिक्रिया देनी चाहिए?

SMS जाँच पर्याप्त है या नहीं, यह तय करने के लिए जोखिम संकेतों का उपयोग करें। हाल ही में SIM या डिवाइस का बदलना, नंबर पोर्ट होना, असामान्य साइन-इन या कैरियर की चेतावनी मिलने पर आप किसी मज़बूत ऑथेंटिकेटर या एप्लिकेशन के अपने रिकवरी फ़्लो का उपयोग शुरू कर सकते हैं। NIST का मार्गदर्शन इन संकेतों को सत्यापनकर्ता के जोखिम निर्णयों के इनपुट के रूप में बताता है। इससे हर SMS लॉगिन गैरकानूनी नहीं हो जाता।

प्रमाणीकरण और अकाउंट रिकवरी को अलग रखें। सामान्य लॉगिन मज़बूत होने पर भी सुरक्षा कमज़ोर पड़ सकती है, अगर नंबर पर कब्ज़े के बाद अकाउंट रिकवरी केवल SMS कोड स्वीकार करती है। एक्सेस बहाल करने या सुरक्षा सेटिंग बदलने से पहले स्वतंत्र प्रमाण माँगें।

इस फ़्लो में Bird Verify की क्या भूमिका है?

Bird Verify सत्यापन कोड भेजता और जाँचता है। सुरक्षा का निर्णय आपका एप्लिकेशन लेता है। इच्छित प्राप्तकर्ता के साथ एक सत्यापन बनाएँ, कोड लें और उसी प्राप्तकर्ता के साथ उसकी जाँच करें। लॉगिन या संवेदनशील कार्रवाई को तभी अनुमति दें जब जाँच success: true लौटाए। केवल संदेश डिलीवर होना सत्यापन नहीं है। Verify गाइड, create ऑपरेशन और check ऑपरेशन देखें।

कौन-से चैनल उपलब्ध हैं, यह प्राप्तकर्ता का प्लान तय करता है। options.channels उस प्लान को छोटा कर सकता है या उसका क्रम बदल सकता है। वह कोई अनुपलब्ध चैनल नहीं जोड़ सकता। डिलीवरी विफल होने पर अगला योग्य चैनल तभी माँगें जब आपकी जोखिम नीति अब भी उस सत्यापन की अनुमति देती हो। next-channel ऑपरेशन डिलीवरी को आगे बढ़ाता है। यह SIM पर कब्ज़े का पता नहीं लगाता और पहले के कोड रद्द नहीं करता। अगर चुना गया चैनल पहले ही असुरक्षित हो चुका है, तो उसकी जगह एप्लिकेशन के अपने रिकवरी निर्णय का उपयोग करें।

SIM स्वैप यह बदल देता है कि किसी नंबर के संदेश किसे मिलते हैं। SMS OTP केवल उसी बदले हुए नियंत्रण की पुष्टि कर सकता है। जब अकाउंट की अहमियत इसकी माँग करे, तो इसके साथ कैरियर सुरक्षा, जोखिम संकेत और एक स्वतंत्र रिकवरी तरीका भी अपनाएँ।