モバイル OTP の傍受.

携帯電話に送られるワンタイムパスワードを奪取し、SMS やアプリベースの二要素認証を無効化する攻撃。 サイバーセキュリティの モバイルセキュリティ カテゴリに属します。

携帯電話に送られるワンタイムパスワードを奪取し、SMS やアプリベースの二要素認証を無効化する攻撃。

SMS・音声・プッシュ通知で送られる OTP は複数の経路で傍受されます。SS7/Diameter シグナリングを悪用して SMS を攻撃者の設備に再ルーティングする手口、被害者の番号を奪う SIM スワッピング、アクセシビリティサービスで SMS や画面を読み取る Android バンキングトロイ、侵害された端末上の悪意ある通知リスナー、Telegram bot などの OTP リレーサービスを使う詐欺グループなどです。対策は、SMS OTP からフィッシング耐性のある認証 (FIDO2 セキュリティキー、パスキー、プラットフォーム認証器) へ移行すること、通信事業者でナンバーポートロックを設定すること、Android のアクセシビリティ利用を制限すること、アプリ層でベロシティや端末バインディングの異常を検知することです。

モバイル OTP の傍受 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: OTP 傍受, モバイル 2FA バイパス。