Одноразовые СМС-ссылки годами открывают доступ к личным данным

Одноразовые СМС-ссылки годами открывают доступ к личным данным

Одноразовые СМС-ссылки годами открывают доступ к личным данным

Одноразовые ссылки, которые сервисы рассылают по СМС для входа или подтверждения действий, на практике часто оказываются вовсе не одноразовыми. Новое исследование показало, что такие URL могут годами оставаться активными и открывать доступ к персональным данным пользователей.

Исследователи собрали данные через публичные СМС-шлюзы — сайты, где отображаются сообщения, отправленные на временные номера.

В общей сложности специалисты проанализировали более 33 млн сообщений, связанных с 30 тыс. телефонных номеров, и извлекли около 323 тысячи уникальных ссылок, ведущих на 10,9 тыс. доменов.

Из примерно 147 тыс. доступных URL удалось выявить 701 конечную точку, раскрывающую персональные данные пользователей. Эти ссылки относились к 177 сервисам. В открытом доступе оказывались имена, номера телефонов, адреса, даты рождения, банковские реквизиты, номера социального страхования и кредитные данные. Во многих случаях одной ссылки хватало для сбора подробного профиля человека.

 

Особую тревогу вызвал срок жизни таких ссылок. Все 701 URL оставались рабочими на момент проверки. Более половины из них были возрастом от одного до двух лет, ещё 46% — старше двух лет, а некоторые датировались 2019 годом. По словам авторов исследования, чем дольше ссылка остаётся активной, тем выше риск её утечки — через пересылку сообщений, логи, взломанные устройства или повторное использование номеров.

Во всех подтверждённых случаях доступ к данным строился по принципу bearer-link: сама ссылка служила единственным «ключом» и не требовала дополнительной аутентификации. В 15 сервисах по таким URL можно было изменять персональные данные, а в шести случаях — фактически получить доступ к аккаунту пользователя.

Отдельной проблемой стали слабые токены. Около 73% сервисов использовали ссылки с низкой энтропией, которые можно было подобрать. В ряде случаев исследователям удавалось получить доступ к чужим данным менее чем за десять попыток.

Авторы исследования уведомили 150 компаний, чьи сервисы оказались уязвимыми. Ответили лишь 18, а реальные фиксы внедрили только семь. По мнению исследователей, сама модель доверия к СМС-ссылкам как «безопасному» каналу остаётся системной проблемой: пока такие механизмы проектируются ради удобства, а не безопасности, утечки данных будут неизбежны.

Теневой ИИ берут под контроль: СберТех представил Platform V SOWA AI

На конференции ЦИПР-2026 компания СберТех объявила о запуске Platform V SOWA AI — решения для централизованного управления доступом к системам искусственного интеллекта внутри организаций. Появление подобных инструментов связано с растущей популярностью ИИ-сервисов в корпоративной среде.

Во многих компаниях различные подразделения самостоятельно подключают большие языковые модели и ИИ-инструменты для решения рабочих задач.

В результате возникает так называемый теневой ИИ — набор разрозненных сервисов, использование которых зачастую остается вне поля зрения служб информационной безопасности.

По задумке разработчика, Platform V SOWA AI должна выступать единой точкой доступа ко всем ИИ-сервисам компании. Через платформу проходят запросы сотрудников к большим языковым моделям, а также ответы, которые эти модели формируют.

Система позволяет контролировать права доступа пользователей, отслеживать обращения к ИИ в режиме реального времени и предотвращать передачу конфиденциальной информации во внешние сервисы. Кроме того, платформа ведет аудит взаимодействия с ИИ и поддерживает применение единых корпоративных политик безопасности.

Еще одна задача решения — упростить подключение новых моделей. Вместо отдельной настройки механизмов аутентификации, аудита и контроля для каждого ИИ-сервиса эти функции переносятся на уровень единого инфраструктурного шлюза.

В компании также заявляют о возможности выявления аномальной активности и попыток обхода установленных ограничений при работе с большими языковыми моделями.

Решение ориентировано на крупные организации из различных отраслей, включая финансовый сектор, телекоммуникации, ретейл и промышленность.

Интерес к подобным платформам закономерен: по мере того как искусственный интеллект становится частью повседневных бизнес-процессов, компании все чаще сталкиваются не столько с вопросом внедрения ИИ, сколько с необходимостью управлять его использованием и связанными с ним рисками. Platform V SOWA AI — один из примеров того, как рынок начинает отвечать на этот запрос.

RSS: Новости на портале Anti-Malware.ru