OTP-боты: Как мошенники обходят двухфакторную аутентификацию и взламывают аккаунты

Появление метода двухфакторной аутентификации привело к разработке множества способов обхода и взлома данной системы. Обычно вторым фактором является одноразовый пароль (OTP), который можно получить различными способами: через SMS, голосовое сообщение, электронную почту, сообщение от официального бота в мессенджере или пуш-уведомления от приложения. Мошенники активно пытаются получить доступ к этим кодам. В последнее время все чаще стали использовать специальных ботов для перехвата OTP-кодов, которые могут обмануть пользователей и получить пароли с помощью социальной инженерии.

Для успешного использования OTP-бота злоумышленнику необходимо иметь данные жертвы, такие как логин, пароль и номер телефона. Эти данные могут быть найдены в открытых источниках, утекших базах данных, куплены в даркнете или получены на фишинговых сайтах.

Процесс обмана включает в себя вход в аккаунт жертвы и запрос на ввод OTP-кода. После отправки одноразового пароля на телефон жертвы, OTP-бот звонит и уговаривает пользователей ввести полученный код. Жертва вводит код прямо во время звонка, что позволяет злоумышленнику получить доступ к аккаунту.

Ключевая функция OTP-бота заключается в звонке жертве, поскольку вероятность успеха зависит от убедительности бота и ограниченного времени действия кодов. Мошенники стараются вызвать доверие у пользователя, отправляя SMS-предупреждения перед звонком, чтобы убедить жертву в легитимности звонка.