Login único via operadora de celular vaza números de telefone com um clique e alimenta mercado underground
Um estudo acadêmico mapeou por um ano o ecossistema de Single Sign-On baseado em operadoras de celular (MSSO), analisando mais de 116 mil URLs em 729 domínios, e encontrou falhas de confiança em 73,6% delas. Os pesquisadores demonstraram o ataque "One-Click-to-Leak": basta a vítima abrir uma página maliciosa para que seu número de telefone seja vazado sem qualquer consentimento explícito. Ao rastrear uma plataforma que monetizava esses vazamentos, os autores encontraram um serviço que coletou 14,1 mil números de telefone em apenas três dias antes de ser apreendido por autoridades, evidência de um mercado underground já estruturado em torno desse tipo de dado.
Pesquisadores acadêmicos, em parceria com uma empresa de segurança, publicaram o primeiro estudo em larga escala sobre o ecossistema web de MSSO (Mobile Network Operator-based Single Sign-On) — o modelo de login sem senha em que a operadora de celular atua como provedor de identidade, autenticando o usuário pela própria sessão de dados móveis, sem exigir digitação de senha ou código.
O trabalho identificou três defeitos estruturais de confiança que se repetem no fluxo de três fases do MSSO: 69,4% das URLs analisadas expõem credenciais de desenvolvedor diretamente no código do lado do cliente; 27,1% emitem tokens de alto privilégio antes de qualquer consentimento do usuário; e 31,8% dos domínios operam através de revendedores, o que esconde da operadora qual é o provedor de serviço final que efetivamente recebe os dados. Combinados, esses defeitos permitem o que os autores chamam de ataque "One-Click-to-Leak": uma página maliciosa, ao ser simplesmente aberta pela vítima em uma conexão de dados móveis, consegue disparar sozinha o fluxo de autenticação da operadora e capturar o token — e, por consequência, o número de telefone da vítima — sem nenhuma ação ou consentimento explícito além do clique inicial.
O número de telefone é, na prática, uma das chaves mais valiosas do ecossistema de fraude atual: é usado para recuperação de conta, para autenticação de dois fatores via SMS e como identificador em bases de dados de golpistas para campanhas de vishing e smishing direcionado, além de ser o alvo direto de fraudes de troca de chip (SIM swap) voltadas a tomada de conta bancária. Os autores encontraram e rastrearam, junto a uma empresa de segurança parceira, uma plataforma upstream que monetizava exatamente esse tipo de vazamento, chegando a coletar 14.100 números de telefone em apenas três dias e vinculá-los a dados sensíveis como histórico de navegação, antes de ser apreendida pela aplicação da lei — confirmando que o defeito técnico já alimentava um mercado criminoso ativo, e não apenas um risco teórico.
Para operadoras e provedores de serviço, a recomendação central dos autores é eliminar a emissão de tokens antes do consentimento explícito do usuário, auditar a cadeia de revendedores para que nenhuma parte fique de fato irrastreável, e nunca embutir credenciais de desenvolvedor em código executado no navegador do cliente. Do lado do usuário final há pouca defesa direta possível, já que a falha ocorre no lado do provedor, mas convém desconfiar de fluxos de "login automático pelo número de telefone" em sites desconhecidos e, sempre que possível, preferir métodos de autenticação que exijam confirmação ativa em vez de login silencioso via rede de dados móveis.