「米国で携帯会社従業員に賄賂を渡して個人情報を入手していたサイバー犯罪者らが起訴される」記事へのコメント

end to end での認証に限定するしか

[Anonymous Coward]

米国の場合、このスレッドのように人間が介在するケースではなくても、
SMSのメッセージの横取りの可能性が残る携帯ネットワーク構成となっているため、
SMSを使った二段階認証は非推奨という話が依然からありました。
この記事です。
https://japan.zdnet.com/article/35095393/ [zdnet.com]

日本国内の携帯ネットワークであればショートメッセージの横取りは難しいという話だったと思いますが
このようにキャリアの人間が関与するケースではリスクがあ

Re:

[Anonymous Coward]

タレコミ元を読めばわかると思いますが、本件はキャリアの人間が「SMSを配送経路で盗聴した」のではなく「不正なアクセス権を犯罪者に与えた」と言うべきものなので、暗号化は関係ないオフトピっすね。

ちなみにSMSによる二段階認証は海外のSMSゲートウエイを使っていることが多いので、国内の経路が安全だからといって安心はできないです。

Re:end to end での認証に限定するしか

[Anonymous Coward]

#3615456 の AC です。

> キャリアの人間が「SMSを配送経路で盗聴した」のではなく「不正なアクセス権を犯罪者に与えた」と言うべきものなので、

それは分かっています。
で、犯罪者が結果的に SMS 経由のメッセージを盗み、2FA のような認証を突破したという話ですね。

> 暗号化は関係ないオフトピっすね。

まあ暗号化は書かずに認証とだけ書けばよかったですかね。
想定している状況では情報を保護するためにいずれにせよ end to end での認証だけではなく
暗号化もすることにはなりますが。