Por que mensagens de texto SMS não são privadas ou seguras

ImYanis / Shutterstock. com

Você pode pensar que mudar do Facebook Messenger para mensagens de texto antigas ajudaria a proteger sua privacidade. Mas as mensagens de texto SMS padrão não são muito privadas ou seguras. SMS é como um fax — um padrão antigo e desatualizado que se recusa a desaparecer.

Sua operadora de celular pode ver suas mensagens SMS

Com o SMS, as mensagens que você envia não são criptografadas de ponta a ponta. Sua operadora de celular pode ver o conteúdo das mensagens que você envia e recebe. Essas mensagens são armazenadas nos sistemas de sua operadora de celular — portanto, em vez de uma empresa de tecnologia como o Facebook ver suas mensagens, sua operadora de celular pode ver suas mensagens.

As operadoras de celular armazenam o conteúdo dessas mensagens por vários períodos. Muitas vezes, as mensagens são retidas apenas por vários dias, mas armazenam metadados (que número enviou uma mensagem para qual número e em que horário) por ainda mais tempo. Esses registros podem estar sujeitos a intimação em processos judiciais — por exemplo, registros de mensagens de texto são uma forma comum de prova em casos de divórcio.

Compare isso com um aplicativo de bate-papo criptografado de ponta a ponta como o Signal. O sinal não possui o conteúdo das suas comunicações. O Signal nem sabe com quem você está falando. Os dados da sua conversa são armazenados apenas no seu dispositivo e no dispositivo da pessoa com quem você está falando — é isso.

Deixando isso de lado, você deve confiar em seu provedor de celular para suas conversas? Bem, em 2019, foi revelado que a AT & T, Sprint e T-Mobile vendiam dados de localização do cliente para agregadores. Foi usado por todos, desde fiadores até caçadores de recompensas desonestos. (Depois que isso foi noticiado, as operadoras de celular prometeram parar.)

Você deseja que essas empresas vejam todo o conteúdo de suas conversas pessoais?

RELACIONADO: Alguém pode realmente rastrear a localização precisa do meu telefone?

Mensagens SMS podem ser interceptadas por criminosos

SERDTHONGCHAI / Shutterstock. com

Mas as mensagens SMS são usadas para segurança, certo? Há um motivo pelo qual todos os bancos e instituições financeiras dependem de mensagens SMS para verificar sua identidade — certo?

Bem, sim, há um motivo. Mas esse motivo não é por causa da segurança. É que todo mundo tem um número de telefone. Exigir confirmação por SMS adiciona alguma segurança adicional. Mesmo que o SMS não seja particularmente seguro, pelo menos garante que um invasor tenha que interceptar uma mensagem SMS, além de digitar sua senha.

As mensagens SMS podem ser interceptadas. As redes de telefonia móvel em todo o mundo estão conectadas entre si por meio do protocolo Signaling System No 7 (SS7). É assim que seu telefone pode se conectar a uma rede celular e fazer e receber chamadas, mesmo quando você estiver em outro país do outro lado do mundo.

O sistema SS7 foi atacado repetidamente por hackers que bisbilhotaram mensagens SMS ou as interceptaram. Isso é particularmente útil ao comprometer contas bancárias, por exemplo — os invasores podem espionar os códigos de verificação que geralmente são enviados via SMS, usá-los para acessar contas bancárias e drená-los.

É por isso que os profissionais de segurança não recomendaram o uso de SMS para autenticação de dois fatores. Um aplicativo que gera códigos em seu dispositivo ou uma chave de segurança física é muito mais à prova de balas. (No entanto, se SMS for a única opção disponível, SMS é melhor do que nada.)

Mensagens SMS podem ser monitoradas pelas autoridades

Governos de todo o mundo têm acesso a “ arraias ” dispositivos que essencialmente personificam uma torre de celular. Quando colocados perto de sua localização física, eles enganam seu telefone para se conectar a eles (como o seu telefone se conectaria a uma torre de celular normal). O dispositivo Stingray pode rastrear seus movimentos e ver suas mensagens de texto SMS — assim como sua operadora de celular pode.

Além do monitoramento local, as mensagens SMS também podem ser rastreadas em sistemas de vigilância maiores. De acordo com documentos divulgados por Edward Snowden em 2014, a NSA estava, na época, coletando mais de 200 milhões de mensagens de texto por dia em todo o mundo.

Outros países &’ os serviços de inteligência também têm acesso a arraias e tecnologia de monitoramento de SMS, então fica claro por que aplicativos de comunicação criptografados como Signal e Telegram são especialmente populares entre ativistas que vivem sob regimes repressivos. Por exemplo, Telegram e Signal são proibidos no Irã.

RELACIONADO: Sinal vs. Telegrama: qual é o melhor aplicativo de bate-papo?

Seu número de telefone é surpreendentemente fácil de hackear

Além do SMS, os números de telefone, na verdade, têm uma segurança muito baixa — no nível da operadora. Um scammer pode ligar para sua operadora de celular ou entrar em uma loja e se passar por você. Se o golpista tiver detalhes suficientes e puder enganar os representantes de atendimento ao cliente da sua operadora, eles poderão obter controle sobre o seu número de telefone. Eles podem ter a portadora “ port out ” o seu número de telefone para uma operadora de celular diferente — da mesma forma que você faria se estivesse mudando para outra operadora de celular. Ou eles podem solicitar que a operadora emita um novo cartão SIM vinculado ao seu número de telefone e desative o cartão SIM existente, removendo o acesso ao seu número de telefone.

Agora, o invasor terá seu número de telefone. Com isso, eles podem obter acesso a contas protegidas por autenticação de dois fatores baseada em SMS. Afinal, para um golpista individual, enganar um funcionário do atendimento ao cliente é mais fácil do que invadir o SS7. Isso é chamado de “ golpe de portabilidade ” ou “ ataque de troca de SIM. ”

Muitas vezes, você pode proteger seu número de telefone adicionando PINs extras e recursos de segurança com sua operadora de celular. Verifique com sua operadora de celular quais recursos de segurança eles oferecem para proteger contra golpes de portabilidade.

Isso já aconteceu com algumas pessoas — o suficiente para que a FCC e o Better Business Bureau tenham divulgado avisos alertando sobre esse golpe.

RELACIONADO: Os criminosos podem roubar seu número de telefone. Veja como pará-los

iMessage e RCS: melhor que SMS?

DenPhotos / Shutterstock. com

O aplicativo Mensagens no iPhone é compatível com SMS e com o serviço iMessage da própria Apple. No Android, cada vez mais telefones Android estão ganhando suporte para o padrão mais moderno Rich Communication Services (RCS). Ambos são projetados para “ atualizar ” silenciosamente; conversas por mensagem de texto para conversas mais modernas e seguras quando ambas as pessoas estão usando dispositivos que as suportam. Então, como eles se comparam ao SMS?

O iMessage da Apple pega carona no SMS de certa forma, usando números de telefone como identificadores. Se você e a pessoa para a qual deseja enviar a mensagem de texto tiverem iPhones e tiverem ativado o iMessage, qualquer texto que você enviar será enviado como um iMessage. Eles são criptografados de ponta a ponta e enviados por meio dos servidores da Apple. Você saberá que o iMessage está sendo usado porque as mensagens terão bolhas azuis. Se você vir bolhas verdes, o app Mensagens está usando SMS — porque você está enviando mensagens para alguém sem iMessage, provavelmente uma pessoa que é usuário do Android.

O padrão RCS implementado para usuários do Android — pense nele como o equivalente Google / Android do iMessage da Apple — não era compatível com criptografia de ponta a ponta em janeiro de 2021. Desde novembro 2020, o Google estava trabalhando para adicionar criptografia de ponta a ponta ao RCS. Isso significa que, mesmo com aquele novo sistema RCS sofisticado em seu telefone Android, sua operadora de celular ainda pode ver o conteúdo das mensagens que você envia, assim como com SMS.

Os problemas com SMS, resumidos

Vamos resumir rapidamente os problemas com SMS e compará-los a um aplicativo de bate-papo criptografado de ponta a ponta, como o Signal.

Com SMS:

• Sua operadora de celular pode ver o conteúdo das mensagens que você envia e recebe. Quaisquer registros coletados podem ser intimados em processos judiciais.
• Mensagens SMS podem ser interceptadas por hackers devido a deficiências no antigo protocolo que os alimenta. Isso coloca contas financeiras e outras contas em risco.
• As autoridades podem implantar arraias para espionar o conteúdo de mensagens de texto em uma área.
• Os golpistas podem tentar roubar seu número de telefone celular enganando equipe de atendimento ao cliente do seu provedor de celular.

Com sinal, por exemplo:

• Sua operadora de celular não consegue ver o conteúdo de suas mensagens. Nem mesmo o Signal pode ver o conteúdo das suas mensagens ou quem você está contatando — isso permanece um segredo. O sinal não coleta esses dados. Se forçado por intimação, o Signal não pode revelar quase nada sobre o uso do serviço.
• Mensagens de sinal não podem ser sequestradas por hackers de forma realista. Eles teriam que comprometer o protocolo de criptografia Signal, que os especialistas em segurança consideram excelente. (Em contraste, o SS7 foi comprometido repetidamente.)
• As arraias não conseguem ver suas conversas. As autoridades não podem bisbilhotar o conteúdo das mensagens do Signal — não sem antes colocar as mãos no telefone que as contém. Tudo o que eles podem ver é o tráfego criptografado sendo enviado e enviado para os servidores do Signal.
• Um esquema de portabilidade que captura seu número de telefone não concede acesso à sua conta do Signal. Você pode proteger sua conta do Signal com um PIN, para que um golpista não consiga simplesmente acessar sua conta do Signal. Mesmo se o golpista pudesse de alguma forma adivinhar seu PIN e acessar sua conta do Signal, suas mensagens do Signal são armazenadas no seu telefone e não seriam sincronizadas com nenhum novo dispositivo que obtivesse acesso à sua conta.

O que você deve usar no lugar

Sinal

Usamos Signal como exemplo aqui, pois o contraste é tão grande — Signal é o aplicativo de bate-papo privado mais amplamente recomendado, com criptografia sempre ativa de ponta a ponta.

Se você tem um iPhone, a comunicação com o iMessage é muito mais privada e segura do que usar SMS simples. Esperançosamente, os usuários do Android terão um dia mensagens criptografadas seguras de ponta a ponta embutidas em seus dispositivos após as melhorias serem feitas no RCS. Infelizmente, iMessage e RCS não são compatíveis um com o outro, então iPhones e telefones Android terão que se comunicar por SMS ou mudar para aplicativos de bate-papo diferentes que não são integrados.

Outros aplicativos de chat também são uma opção. O Telegram é popular, embora não use criptografia de ponta a ponta por padrão. O WhatsApp pelo menos usa criptografia ponta a ponta por padrão, ao contrário do Facebook Messenger — se você confiar em um aplicativo de bate-papo operado pelo Facebook. Mas mesmo o Facebook Messenger é indiscutivelmente mais seguro do que SMS — você está confiando no Facebook para suas mensagens, mas pelo menos você não precisa se preocupar com os problemas no antigo e frágil protocolo SS7.

Para segurança de dois fatores, é melhor evitar SMS para tarefas realmente críticas. Infelizmente, alguns serviços serão reduzidos a dois fatores de qualquer maneira — por conveniência. Por exemplo, o Google oferece Proteção Avançada para jornalistas, ativistas, líderes empresariais e políticos que precisam de segurança máxima para suas contas e requer o uso de uma chave de segurança física. Dito isso, a segurança de dois fatores baseada em SMS ainda é melhor do que nada.

RELACIONADO: O que é sinal e por que todo mundo o está usando?

O futuro do SMS: ele será consertado?

SMS é apenas uma tecnologia desatualizada. É evidente que não foi construído com privacidade e segurança em mente, e essas decisões de design ainda estão com ele hoje.

Esperançosamente, isso será corrigido no futuro. Se o RCS se tornar mais maduro, ganhar criptografia de ponta a ponta e estiver disponível em todos os telefones Android — bem, então tudo o que a Apple terá de fazer é concordar em tornar o RCS compatível com o iMessage de alguma forma. Assim, todos os smartphones modernos teriam mensagens seguras que não dependem de protocolos antigos integrados.

Por enquanto, é melhor evitar mensagens de texto se você estiver preocupado com sua privacidade ou a segurança de suas contas.

RELACIONADO: Sinal vs. Telegrama: qual é o melhor aplicativo de bate-papo?