В новой версии операционной системы на базе Android специалисты Google нашли лазейку для фишинговых СМС-атак. Лучшее лекарство — не обновляться.
Под ударом, по версии экспертов, которую приводит 4 октября «Коммерсант», находятся следующие модели телефонов на Android: Pixel 2, Huawei P20, Xiaomi Redmi 5A и Note 5, Xiaomi A1, Oppo А3, Moto Z3, Oreo LG и Samsung S7, S8, S9.
Злоумышленники могли использовать уязвимость в коде ядра, выдавая себя за оператора связи и рассылая пользователям фальшивые СМС. Для обновления устройства, требующего подключение по Wi-Fi или 3G/4G, мобильные операторы рассылают на них нужные параметры. Для этого процесса существует определенный стандарт – Open Mobile Alliance Client Provisioning (OMA CP), который использует ограниченные методы аутентификации. Эту уязвимость и могли использовать злоумышленники, так как пользователи не могли определить подлинность пришедшего сообщения, принимали обновление, что запускало процесс передачи трафика через прокси-сервер злодеев, и последние получали всю информацию.
Ошибку обнаружили и устранили еще в 2017 , однако исправление не перенесли на новые версии системы. Сейчас эту лазейку для воров данных пытаются перекрыть полностью.
