Ваш прежний номер телефона по-прежнему обеспечивает доступ к вашим учётным записям

При смене оператора вы, как правило, переносите свой номер. Интересно становится тогда, когда этого не происходит. Заключается новый договор с новым номером, вторая SIM-карта аннулирована, баланс на предоплаченной карте исчерпан. Старый номер никуда не исчез. Он возвращается оператору и рано или поздно передаётся кому-то другому. А пока он по-прежнему хранится в вашем аккаунте Google, в системе PayPal и в вашем банке в качестве средства доступа.

В Германии номер немедленно возвращается оператору

Здесь не предусмотрен период правовой защиты. Немецкий закон о нумерации, Telekommunikations-Nummerierungsverordnung, регулирует данный случай в пункте 9 подраздела 3, где говорится: «Выделенный номер возвращается первоначальному получателю после расторжения договора о предоставлении телекоммуникационной услуги, для которой этот номер был выделен». Выделенный номер означает, что ваш оператор предоставил вам номер из собственного блока. Первоначальным получателем является оператор. Договор расторгнут — номер возвращается. В данном положении ничего не говорится о периоде ожидания.

Как долго оператор будет ждать по собственному усмотрению, зависит от него самого. Компания «Deutsche Telekom» с удивительной откровенностью описывает эту проблему на своём форуме поддержки. Там говорится, что блокировка может «продолжаться от 1 до 6 месяцев в зависимости от оператора», а далее: «Как только этот номер вновь освобождается, он предоставляется новому абоненту, который тем самым может получить косвенный доступ ко многим вашим данным и учётным записям». Несколько абзацев спустя в сообщении приводятся конкретные данные. WhatsApp удаляет неактивные учетные записи через 45 дней, отмечается в сообщении, но это мало помогает, «если старые мобильные номера в некоторых случаях вновь освобождаются уже через 30 дней».

Сравнение с США вызывает беспокойство. Там регулирующий орган — Федеральная комиссия по связи (FCC) — устанавливает минимальный срок в 45 дней, не превышающий 90 дней для потребительских учетных записей. В Германии на данный момент подобных требований нет.

Дело не в дефиците. В своём обзоре свободных блоков номеров Bundesnetzagentur, немецкий регулятор в сфере телекоммуникаций, перечисляет около 430 блоков по миллиону мобильных номеров в каждом. Согласно годовому отчёту, на конец 2025 года активно использовалось 106,4 млн SIM-профилей. Любой, кто переназначает номер, делает это по оперативным причинам, а не из-за необходимости.

Что именно измерялось в США

На сегодняшний день достоверные данные получены в рамках единственного исследования, причём американского. Кевин Ли и Арвинд Нараянан из Принстонского университета приобрели 259 общедоступных телефонных номеров у компаний Verizon и T-Mobile в августе и сентябре 2020 года и проверили, какая информация по-прежнему привязана к ним.

Для 171 из них (66 процентов) по крайней мере одна учетная запись предыдущего владельца по-прежнему существовала на Amazon, AOL, Facebook, Google, PayPal или Yahoo. На втором этапе исследования учёные отобрали более 200 перепроданных номеров и в течение недели отслеживали каждый из них. На 19 номерах (чуть менее 10 %) за эту неделю поступали сообщения, касающиеся безопасности. Шесть из них содержали одноразовые коды, в том числе от Apple, Google, Microsoft, Facebook и WhatsApp.

Здесь следует учесть два важных момента. Данные исследования были получены шесть лет назад и охватывают двух американских операторов связи. В Германии аналогичных исследований не проводится — ни Федеральным управлением по информационной безопасности (BSI), ни университетами, ни потребительскими ассоциациями. С другой стороны, исследователи сознательно не читали содержание сообщений из уважения к затронутым лицам, ограничившись лишь отслеживанием отправителей, и сами отмечают, что реальная доля таких случаев, вероятно, выше.

Проверка «Porting» выявляет только то, что содержится в каждой утечке данных

Второй путь к вашему номеру лежит не через ожидание, а через оператора связи. При подмене SIM-карты кто-то выдаёт себя за вас и переносит ваш номер на новую карту.

Как именно выглядит эта проверка, описывает Федеральное агентство по сетям (Bundesnetzagentur) — немецкий регулятор в сфере телекоммуникаций — на своём портале для потребителей. Клиенты должны убедиться, «что ваши персональные данные совпадают у предыдущего и нового оператора: имя, адрес, дата рождения, номер, подлежащий переносу». На этом сравнение заканчивается. Четыре сведения, ни одно из которых не является секретом, и все они присутствуют в любой крупной утечке данных.

Ни один из четырёх крупных немецких операторов не предлагает возможность заказать блокировку переноса номера. Существует лишь пароль для горячей линии, и его значение может значительно варьироваться. В компании o2 этот удобный способ был отменен. На вопрос, подойдут ли дата рождения, адрес или банковские реквизиты, компания отвечает: «К сожалению, это невозможно. С 16 февраля 2023 года вам понадобится либо ваш личный код клиента, либо PUK-код вашего мобильного контракта». В Deutsche Telekom пароль клиента является добровольным и не заменяет обычные данные, а дополняет их.

Важно для понимания контекста: подмена SIM-карт не является массовым явлением в Германии. Компании Telekom, 1&1 и Telefónica не зафиксировали заметного роста числа случаев в 2024 году, а Федеральное управление полиции (BKA), а также полиция земли Нижняя Саксония в настоящее время не видят в этом серьезной проблемы. Дело не в том, как часто это происходит, а в том, что затраты на целенаправленную атаку остаются низкими.

Почему это касается именно двухфакторной аутентификации

Самое досадное — это направление атаки. Вы настраиваете второй фактор для усиления безопасности своей учетной записи, но тем самым создаете резервный механизм, который оказывается слабее самого пароля.

BSI, Федеральное агентство Германии по кибербезопасности, прямо указывает на это в своей оценке методов двухфакторной аутентификации. В тех случаях, когда механизм восстановления с одним фактором может заменить двухфакторную аутентификацию, агентство считает это принципиально критичным и отмечает, что злоумышленники могут нацеливаться именно на эту уязвимость. SMS-сообщение на номер, которым вы не пользуетесь уже два года, является именно таким механизмом с одним фактором.

В данном случае удаление работает лучше, чем добавление

В рекомендациях по безопасности обычно возникает рефлекс настроить ещё одну функцию. Здесь же всё наоборот.

Просмотрите все учётные записи, к которым привязаны денежные средства, личные данные или ваш почтовый ящик, и удалите все номера телефонов, которыми вы больше не пользуетесь. Это касается Google, Apple, Microsoft, PayPal, Amazon, вашего банковского счёта и второго почтового адреса, о котором вы не вспоминали уже много лет. В Google эти настройки находятся в разделе «Безопасность» и в параметрах подтверждения вашей личности, в Apple — в настройках учётной записи в разделе «Вход и безопасность».

Где это возможно, замените SMS в качестве второго фактора аутентификации на приложение-аутентификатор или пароль-ключ. Оба варианта привязаны к устройству, а не к номеру. После этого во многих сервисах вы сможете полностью удалить этот номер в качестве резервного варианта.

А если вы решите отказаться от номера, действуйте в следующем порядке: сначала выйдите из всех учётных записей, а затем отключите номер. В противном случае вы окажетесь заблокированными и не сможете войти в свои учетные записи, в то время как коды будет получать кто-то другой.