La principale méthode d'attaque contre les messages texte OTP consiste à « swap sim» et à prendre le numéro de téléphone de la cible. Si le site fournissait le numéro complet dans ce scénario, il donnerait à l'attaquant exactement les informations dont il a besoin pour briser la sécurité utilisée.

(Pour soulever les commentaires: En général, plus des informations personnelles sont nécessaires si vous souhaitez demander au personnel des télécoms des ingénieurs sociaux d'échanger la carte SIM. Dans certains endroits et sous certains opérateurs, c'est encore plus difficile que cela, car une pièce d'identité doit être présentée en personne. Mais il y a aussi les cas où rien de plus que le numéro de téléphone n'est requis, même avec des protections améliorées en place, si le personnel des télécommunications est de connivence avec les attaquants.)

Il ne s’agit pas d’une «vulnérabilité». Il s'agit d'informations personnelles identifiables (PII). C'est la même raison pour laquelle les numéros de carte de crédit ne sont pas affichés en entier sur les sites non plus.

Quiconque passe devant votre écran, les caméras enregistrant, etc. verra les informations. Et il n'est pas nécessaire d'afficher le nombre entier. C'est juste là comme un rappel à l'utilisateur.

Si le numéro complet était indiqué, je pourrais accéder à votre compte, demander un nouveau mot de passe et connaître votre numéro de téléphone. Les deux derniers chiffres sont un compromis qui vous permet de connaître son (probablement) numéro de téléphone sans donner votre numéro de téléphone à quiconque souhaite le consulter sur le site Web.

Eh bien, ce que nous sommes tous d'accord, c'est qu'en affichant le numéro de téléphone complet, l'application divulgue des informations sensibles sur l'utilisateur. Je ne sais pas quelle réglementation s'applique à votre pays, mais sur la base du GDPR, les numéros de téléphone de la réglementation européenne sont considérés comme des informations personnelles et doivent être traités de manière appropriée. Cela signifie que si le numéro de téléphone est révélé à un autre utilisateur, l'application / le site Web n'est pas conforme au RGPD. Encore une fois, je ne sais pas quelles réglementations s'appliquent dans votre cas spécifique, mais je pense qu'il est utile de garder cela à l'esprit lors du développement de votre application.

Considérons maintenant le scénario dans lequel l'utilisateur malveillant TRUDY a atterri d'une manière ou d'une autre l'écran OTP et un message apparaît Un Otp a été envoyé au +30 0000000001 que peut faire TRUDY avec ça? Je peux penser à 4 scénarios

1. sim swap Comme décrit par gowenfawr. Cela peut avoir un levier de succès différent selon le processus d'échange de cartes SIM implémenté par chaque opérateur.
2. Ingénierie sociale . Envoi de messages en tant que votre entreprise comme Votre_entreprise.com Cliquez sur le lien pour insérer otp / mot de passe et d'autres e-mails de phishing.
3. OSINT . Les numéros de téléphone sont suffisamment uniques pour aider un attaquant à mener une enquête open source sur l'utilisateur dans les médias sociaux et d'autres plates-formes qui pourraient être utilisées dans les e-mails de spear phishing ou pour répondre à des questions de sécurité telles que De quel pays / état êtes-vous d'origine . Bien sûr, ce n'est pas le scénario le plus probable et nécessite que TRUDY investisse spécifiquement du temps pour cet utilisateur.

Pour conclure tant que TRUDY ne peut pas utiliser le numéro de téléphone pour accéder à votre système. Je dirais que ce n'est pas une vulnérabilité.

Gardez à l'esprit que la sécurité d'un numéro de téléphone peut être différente selon les opérateurs de téléphonie mobile. Vous ne savez pas à quel point une autre organisation non liée à votre organisation prend au sérieux la sécurité. Cela est particulièrement vrai si vos clients résident dans des pays éloignés et que vous en savez très peu sur la manière dont les opérateurs y travaillent. Dans mon pays, il est possible de se rendre dans un centre d'opérateurs de téléphonie mobile et de persuader les gens de simplement vous donner la carte SIM du numéro de téléphone souhaité. Tout ce que vous devez leur donner, ce sont de fausses copies de passeport et ils ne prendront peut-être pas la peine de les vérifier. Donc, pas besoin de vulnérabilités sophistiquées et de compétences en piratage, il suffit de parler à des personnes non apparentées. Cela s'est souvent produit dans le passé et constitue un énorme problème de sécurité. Certaines personnes ont perdu l'accès à leurs sites ou à leurs noms de domaine à cause de cela et ont perdu d'énormes revenus. Les pirates ont utilisé l'authentification à facteur unique basée sur le numéro de téléphone pour accéder à leurs comptes et les voler.

Je vous donnerais des liens vers des exemples, mais ils sont dans une langue différente et je ne veux pas être accusé de diffamation.

En bref: la protection des numéros de téléphone n'est pas du tout bonne, du moins quand il s'agit d'un facteur unique à mon humble avis.

Je ne suis pas un expert Mais quand je dois changer le mot de passe de mes comptes Google. Ils me disent toujours que l'OTP a été envoyé à ce numéro spécifique.

J'ai différents numéros de mobile. Et je ne me souviens pas du numéro de téléphone que j'ai utilisé sur un site Web. certains anciens sites Web ont envoyé le bureau du Procureur au numéro de téléphone que je ne possède pas maintenant, alors ce sera un problème s'ils ne montrent pas à quel numéro ils envoient le Bureau du Procureur.

Je recommanderais donc montrant le numéro lié au compte dont ils veulent changer leur mot de passe.

enfin, je dirais qu'il y a des milliers de vulnérabilités Mais nous ne les prenons pas en compte car la probabilité de se produire est infime et non vaut le désagrément occasionné