Forçar as empresas telefônicas a proteger a autenticação por SMS causaria mais danos do que benefícios
O escritor e ativista de alimentos, Jack Monroe, tornou-se o vítima mais recente de um golpe de troca de SIM, perdendo mais de £ 5.000 de suas contas bancárias e do PayPal para um criminoso que interceptou códigos de autenticação por SMS. A Diretiva Serviços de Pagamento exige que as vítimas de fraude recuperem seu dinheiro, mas esse processo nem sempre é rápido ou direto. Quando (como espero que seja) o dinheiro acaba sendo reembolsado, é improvável que ela receba uma compensação por qualquer perdas consequentes , nem pela perturbação causada. Não é surpresa que essa experiência tenha estressado por Jack, como seria para a maioria das pessoas na situação dela.
Obviamente, sou muito solidário com as vítimas de fraude de troca de SIM e reconheço os custos financeiros substanciais, bem como o sentimento de violação resultante. Naturalmente, os dedos estão sendo apontados para as empresas de telefonia e acompanhados de ligações para elas. para fazer melhores verificações de identidade antes de transferir um número de telefone para um novo cartão SIM. Eu acho que isso não é totalmente justo. O verdadeiro problema é que as instituições financeiras confiam na companhia telefônica para executar autenticação mas não garanta que o nível de segurança fornecido seja apropriado para as somas de dinheiro em risco. Isso deixa seus clientes para pegar as peças quando as coisas dão errado.
Autenticação de SMS mais segura
Mas e se as empresas de telefonia fizessem um trabalho melhor na distribuição de cartões SIM substitutos? Talvez o governo possa pressioná-los a fazê-lo, ou as empresas de telefonia podem se cansar da má imprensa. As empresas de telefonia poderiam, em princípio, estabelecer um processo para reemitir cartões SIM que correspondessem ao nível de segurança que os bancos esperam para autenticação baseada em SMS. Vamos deixar de lado a questão de que o SMS era nunca projetado para ser seguro , e que esses processos aumentariam o custo das contas telefônicas - resolveria o problema? Eu diria que não. Processos bons o suficiente para autenticação bancária podem impedir as pessoas de receber chamadas telefônicas e prejudicar desproporcionalmente os membros mais vulneráveis da sociedade.
Fazer chamadas telefônicas é uma tarefa diferente da autenticação do sistema de pagamento e elas devem ser sistemas separados. Eu acho que uma das razões mais importantes é que as duas atividades têm requisitos diferentes para a velocidade de substituição de um dispositivo perdido. Essa característica é essencial para garantir que os processos de reemissão sejam suficientemente seguros.
A substituição de dispositivos de autenticação bancária é bastante lenta em comparação com a substituição de um cartão SIM. Às vezes, você precisa esperar uma carta do banco e, às vezes, precisa entrar em um galho para coletar seu dispositivo de autenticação. Porém, os poucos dias necessários para ativar o novo dispositivo dão a uma vítima de fraude iminente mais oportunidade de detectar uma fraude em andamento antes que o dinheiro seja retirado. Como os clientes ainda podem acessar o canal bancário on-line ou visitar a agência bancária, a curta espera não é um problema. Geralmente, existem outras maneiras pelas quais os clientes podem fazer transações enquanto isso. O problema é que você cria um processo de reemissão muito mais seguro.
Consequências não-intencionais
Por outro lado, qualquer atraso na recuperação do acesso a um número de telefone pode ser caro. Um estudo da SimplySecure descobriu que a economia de shows significa os clientes que perdem uma chamada telefônica correm o risco de perder em um turno e, possivelmente, ser tachado como não confiável e, portanto, ser preterido para trabalhos futuros. Perder um telefone já colocaria uma pressão sobre as finanças de muitas pessoas . Esperar dias para que um SIM substituto esteja ativo, perder chamadas telefônicas, enquanto o crédito estiver bloqueado, pode facilmente ser o gatilho para uma ciclo de dificuldades financeiras . Existe uma clara necessidade de um processo rápido e fácil para reemitir um cartão SIM. Ainda haveria o risco de ataques de troca de SIM, mas se afastarmos a autenticação de pagamento do SMS, o valor para os criminosos do número de telefone não será mais alto, exceto o crédito de chamada que a companhia telefônica deve reembolsar.
A separação de autenticação e telefonemas permite que seus diferentes requisitos de segurança guiem o design de processos apropriados para a recuperação de dispositivos perdidos. Os códigos de autenticação baseados em SMS forçam duas atividades distintas para compartilhar a infraestrutura, levando a compensações inadequadas para ambos. Isso não quer dizer que a cooperação entre bancos e empresas de telefonia não possa contribuir para uma solução melhor, desde que o aplicativo de autenticação esteja separado do número de telefone. Os clientes poderiam receber chamadas telefônicas em um SIM reemitido antes que o aplicativo de autenticação tivesse as chaves carregadas após verificações de segurança aprimoradas. Como alternativa, os bancos podem emitir dispositivos de autenticação dedicados ou implantar um aplicativo que envia códigos de autenticação por meio de mensagens push. Independentemente da solução escolhida pelos bancos, o processo de manipulação de um dispositivo perdido não deve apresentar um ponto fraco na segurança. Bancos e instituições financeiras podem fazer a escolha da tecnologia de autenticação que acharem apropriada, mas devem aceitar a responsabilidade por sua decisão e não repassar custos para as vítimas de fraude.
Este artigo, publicado originalmente em 14 de outubro de 2019, apareceu pela primeira vez em O olhar de Bentham .