Um dos efeitos colaterais de criar novas formas de proteção é justamente criar novas falhas. Não adianta, para cada implementação surge uma nova falha.
O Facebook e vários outros sites resolveram usar o número do celular como uma segunda autenticação. Não só isso mas também como meio de resetar sua senha em caso de esquecimento. E a engenharia social é implacável.
É aí que a Treta™ acontece.
Vamos fazer um teste. O cenário é a sua namorada. Se você não é submisso, provavelmente tem acesso físico ao celular dela. Mulheres geralmente demoram para tomar banho e se arrumar. Ou simplesmente ela saiu e esqueceu o celular. Enfim, você precisa de apenas de alguns minutos.
Para essa Zoyera™ você precisa de:
- o celular dela;
- a chavinha da gaveta (se aplicável);
- um computador ou celular;
- acesso à internet.
Vou invadir meu próprio Facebook para demonstrar. Por via das dúvidas, é melhor usar o TOR para o Facebook não registrar meu IP. É melhor deixar tudo esquematizado: o TOR instalado, a chavinha da bandeja no chaveiro (ou fácil acesso).
Primeiro passo
Antes de retirar o chip da sua digníssima, desligue o teu celular pois demora um pouco. Não se preocupe em tirar o chip com o celular ligado, não importa se é iOS, Android ou WP, todos os celulares com ou sem bateria removível tem a opção forçar a reinicialização. Em seguida, coloque o chip no seu celular.
Segundo passo
Abra o TOR e acesse o Facebook. Não fique nervoso, o TOR é lerdo mesmo. Na página inicial do Facebook, vá em "Esqueceu sua senha?". Em seguida, coloque o número do celular dela. Se ela cadastrou o número lá, vai aparecer essa tela:
Terceiro passo
Você vai receber um SMS com o código e um link. Pode tanto usar o código no site quanto no celular, pois vai abrir o browser. Aqui no caso eu estou fazendo tudo pelo notebook.
Após inserir o código ou abrir o link, vai aparecer uma tela para inserir uma nova senha:
Atenção: a pessoa não vai mais poder usar o Facebook porque a senha precisa ser alterada. Então em algum momento ela vai saber que a conta foi invadida ou que tem algum problema. Usando a engenharia social, antes de fazer essa merda, dias antes você pode comentar "nossa, amor, meu facebook deu pau... várias pessoas estão reclamando de problema no login".
Quarto passo
Coloque o chip de volta no celular dela e reinicie. Se tiver senha, basta forçar a reinicialização através dos botões físicos (depende de cara modelo). Em seguida, deixe onde estava.
Quinto passo
Após escolher a nova senha, você irá logar normalmente e poderá descobrir se é corno ou não. Não se esqueça de deletar o SMS do seu celular e limpar a notificação no facebook de que foi acesso em um novo device. Lembrando que o SMS não fica na nuvem, ou seja, ao colocar o chip de volta ela não vai ver.
Por isso que é bom usar o TOR, pois se você usa o Firefox no Windows 10 e ela usa o Chrome no Windows 8, ela pode suspeitar de você.
Considerações finais
O uso do número de celular como forma de validar sua conta, e assim poder resetá-la, apresenta essa enorme falha apesar do fato de você precisar ter acesso físico e com a ausência da pessoa,
Eu não levei nem 5 minutos para fazer isso. Alguém em um bar mal intencionado pode pegar seu celular, fazer isso e devolvê-lo, alguém da assistência técnica ou o tempo que você levou entre perder o celular e bloquear o chip.
Você não precisa de mais nada. Basta pegar o chip da pessoa, receber o código e alterar a senha. Quando se usa o e-mail para resetar a senha, você precisa da senha do e-mail para acessá-lo e verificar o código, o que dificulta.
O chip acaba sendo a sua chave. É melhor guardar a chave na cabeça (senha) do que correr o risco de alguém pegá-la e usá-la.
Um ataque bem parecido com esse é ligar para a operadora da vítima, se passar por ela (caso você tenha os dados dela, o que não é difícil), dizer que você vai viajar e temporariamente vai usar outra linha, então você precisa redirecionar as ligações e o SMS. Então você faz esse procedimento e receberá o SMS na outra linha, que você tem acesso.