Pański stary numer telefonu nadal umożliwia dostęp do Państwa kont

Zmieniając operatora, zazwyczaj zabiera się ze sobą swój numer. Sytuacja staje się interesująca, gdy tak się nie dzieje. Nowa umowa z nowym numerem, druga karta SIM anulowana, karta przedpłacona, której środki się wyczerpały. Stary numer nie zniknął. Wraca do operatora i prędzej czy później zostaje przydzielony komuś innemu. Tymczasem nadal figuruje na Państwa koncie Google, w serwisie PayPal oraz w banku jako sposób na ponowne zalogowanie się.

W Niemczech numer wraca do puli natychmiast

Nie ma tu żadnego okresu ochrony prawnej. Niemieckie prawo dotyczące numeracji, Telekommunikations-Nummerierungsverordnung, reguluje tę kwestię w paragrafie 9 ustęp 3, który brzmi: „Numer przydzielony pochodnie powraca do pierwotnego podmiotu, któremu został przypisany, z chwilą wygaśnięcia umowy o świadczenie usługi telekomunikacyjnej, do której numer ten został przypisany”. Przydział pochodny oznacza, że Państwa operator przydzielił Państwu numer z własnego bloku. Pierwotnym podmiotem, któremu numer został przypisany, jest operator. Umowa wygasła – numer wraca. Nie ma tam żadnej wzmianki o okresie oczekiwania.

To, jak długo operator dobrowolnie czeka, zależy wyłącznie od niego. Firma Deutsche Telekom opisuje ten problem na swoim forum pomocy z niezwykłą szczerością. Blokada może „trwać od 1 do 6 miesięcy w zależności od operatora” – czytamy tam – a dalej: „Gdy numer ten zostanie ponownie udostępniony, zostanie przydzielony nowej osobie, która w ten sposób może uzyskać pośredni dostęp do wielu Państwa danych i kont”. Kilka akapitów dalej wpis zawiera konkretne informacje. WhatsApp usuwa nieaktywne konta po 45 dniach, jak zauważono, ale nie ma to większego znaczenia, „jeśli stare numery telefonów komórkowych są w niektórych przypadkach ponownie udostępniane już po 30 dniach”.

Porównanie z sytuacją w Stanach Zjednoczonych budzi pewien niepokój. Tamtejszy organ regulacyjny, FCC, nakłada minimalny okres 45 dni, z górnym limitem 90 dni dla kont konsumentów. W Niemczech nie ma obecnie żadnych takich przepisów.

Nie jest to kwestia niedoboru. W swoim przeglądzie wolnych bloków numerów Bundesnetzagentur, niemiecki organ regulacyjny ds. telekomunikacji, wymienia około 430 bloków po milion numerów komórkowych każdy. Zgodnie z rocznym sprawozdaniem na koniec 2025 r. aktywnie wykorzystywano 106,4 mln profili SIM. Każdy, kto ponownie przydziela numer, robi to ze względów operacyjnych, a nie z konieczności.

Co zmierzono w Stanach Zjednoczonych

Jak dotąd konkretne dane pochodzą z jednego badania, przeprowadzonego w Stanach Zjednoczonych. Kevin Lee i Arvind Narayanan z Uniwersytetu Princeton nabyli w sierpniu i wrześniu 2020 r. 259 ogólnodostępnych numerów od operatorów Verizon i T-Mobile, a następnie sprawdzili, jakie informacje są nadal z nimi powiązane.

W przypadku 171 z nich, czyli 66 procent, co najmniej jedno konto poprzedniego właściciela nadal istniało w serwisach Amazon, AOL, Facebook, Google, PayPal lub Yahoo. W drugiej fazie badania naukowcy przeanalizowali ponad 200 ponownie przydzielonych numerów i monitorowali każdy z nich przez tydzień. Na 19 numerach, czyli nieco poniżej 10 procent, w ciągu tego jednego tygodnia pojawiły się wiadomości związane z bezpieczeństwem. Sześć z nich zawierało kody jednorazowe, między innymi od firm Apple, Google, Microsoft, Facebook i WhatsApp.

Należy jednak uwzględnić dwa zastrzeżenia. Badanie pochodzi sprzed sześciu lat i obejmuje dwóch amerykańskich operatorów. Nie ma niemieckiego odpowiednika – ani ze strony BSI, ani ze strony uczelni, ani ze strony stowarzyszenia konsumentów. Z drugiej strony naukowcy celowo nie zapoznawali się z treścią wiadomości z szacunku dla osób, których to dotyczyło, ograniczając się wyłącznie do nadawców, i sami przyznają, że rzeczywisty odsetek jest prawdopodobnie wyższy.

Usługa „Porting” sprawdza jedynie, co znajduje się w każdym przypadku naruszenia bezpieczeństwa danych

Druga droga do Państwa numeru nie prowadzi przez poczekalnię, lecz przez operatora. W przypadku wymiany karty SIM ktoś podszywa się pod Państwa i przenosi Państwa numer na nową kartę.

Jak wygląda ta weryfikacja, opisuje Bundesnetzagentur, niemiecki organ regulacyjny ds. telekomunikacji, na swoim portalu konsumenckim. Klienci powinni upewnić się, „że dane klienta są zgodne u poprzedniego i nowego operatora: imię i nazwisko, adres, data urodzenia oraz numer przeznaczony do przeniesienia”. To całość porównania. Cztery dane, z których żadna nie jest tajna, a wszystkie razem występują w każdym znaczącym wycieku danych.

Żaden z czterech dużych niemieckich operatorów nie oferuje możliwości zarezerwowania blokady przeniesienia numeru. Istnieje natomiast hasło do infolinii, a jego znaczenie jest bardzo zróżnicowane. W firmie o2 zniesiono tę wygodną opcję. Na pytanie, czy wystarczą data urodzenia, adres lub dane bankowe, firma odpowiada: „Niestety nie jest to możliwe. Od 16 lutego 2023 r. potrzebny będzie Państwa osobisty kod klienta lub kod PUK z umowy o świadczenie usług telefonii komórkowej”. W Deutsche Telekom hasło klienta jest dobrowolne i nie zastępuje standardowych danych, lecz stanowi ich uzupełnienie.

Ważna informacja kontekstowa: wymiana kart SIM nie jest zjawiskiem masowym w Niemczech. Telekom, 1&1 oraz Telefónica nie odnotowały żadnego znaczącego wzrostu w 2024 r., a Federalny Urząd Kryminalny (BKA) oraz policja krajowa w Dolnej Saksonii nie dostrzegają obecnie większego znaczenia tej kwestii. Nie chodzi o to, jak często to się zdarza, ale o to, że nakład pracy wymagany do przeprowadzenia ukierunkowanego ataku pozostaje niewielki.

Dlaczego problem ten dotyczy właśnie logowania dwuskładnikowego

Najbardziej irytujący jest kierunek tego zjawiska. Konfigurują Państwo drugi czynnik w celu wzmocnienia bezpieczeństwa konta, a czyniąc to, tworzą Państwo mechanizm awaryjny, który jest słabszy niż hasło, które go poprzedza.

BSI, niemiecka federalna agencja ds. cyberbezpieczeństwa, dokładnie to wskazuje w swojej ocenie metod uwierzytelniania dwuskładnikowego (2FA). W przypadkach, w których mechanizm odzyskiwania oparty na jednym czynniku może zastąpić uwierzytelnianie dwuskładnikowe, agencja określa to jako kwestię o zasadniczym znaczeniu i stwierdza, że osoby atakujące mogą precyzyjnie wykorzystać właśnie ten słaby punkt. Wiadomość tekstowa wysłana na numer, który od dwóch lat nie należy już do Państwa, stanowi właśnie taki mechanizm oparty na jednym czynniku.

W tym przypadku lepiej jest coś usunąć niż dodać

W przypadku porad dotyczących bezpieczeństwa odruchem jest skonfigurowanie jeszcze jednej rzeczy. W tym przypadku jest odwrotnie.

Przejrzyj konta, z którymi powiązane są pieniądze, tożsamość lub skrzynka pocztowa, i usuń każdy numer telefonu, którego już nie posiadasz. Dotyczy to Google, Apple, Microsoft, PayPal, Amazon, Państwa konta bankowego oraz dodatkowego adresu e-mail, o którym nie myśleli Państwo od lat. W serwisie Google wpisy te znajdują się w sekcji „Bezpieczeństwo” oraz w opcjach weryfikacji tożsamości, natomiast w serwisie Apple – w ustawieniach konta w sekcji „Logowanie i bezpieczeństwo”.

Gdzie tylko to możliwe, proszę zastąpić SMS-y jako drugi czynnik uwierzytelniający aplikacją uwierzytelniającą lub kluczem dostępu. Oba rozwiązania są powiązane z urządzeniem, a nie z numerem. Następnie w wielu serwisach można całkowicie usunąć ten numer jako opcję awaryjną.

A jeśli rezygnują Państwo z numeru, proszę postępować w następującej kolejności: najpierw wylogować się wszędzie, a dopiero potem anulować numer. W przeciwnym razie mogą Państwo stracić dostęp do kont, podczas gdy ktoś inny będzie otrzymywał kody.