DoS атака на користувачів Укртелекому
23:52 09.06.2010Про уразливості на сайтах Укртелекома, зокрема на www.kyiv.ukrtelecom.ua, я вже розповідав раніше. А зараз розповім вам про DoS атаку на користувачів Укртелекому, яку я розробив нещодавно. На практиці я її не випробовував 
, але виходячи з власного досвіду роботи з Укртелекомом, я бачу, що вона цілком реальна.
На користувачів Укртелекому, що користуються проводовим телефонним зв’язком від даної компанії, можлива DoS атака (соціально-інженерійна атака). Вона можлива через зміну групи телефону на третьої групу, що означає заборону дзвінків на мобільні телефони, міжміські та закордонні номери (тільки можливі дзвінки по місту). Враховуючи, що дана операція можлива по телефону (немає потреби особисто писати заяву, це за вас зробить оператор Укртелефону, прийнявши у вас заяву по телефону), то можна легко провести соціально-інженерійну атаку, знаючи лише телефон та ПІБ жертви.
Що можливо, у випадку коли ви знаєте жертву особисто, або через раніше згадані витоки інформації в Укртелекомі. Атаку можна провести зателефонувавши за номером 176 (для Києва) й від імені жертви змінити групу її телефону. Що призведе до часткового DoS телефону та нанесення фінансових збитків (дана послуга платна).
Таким чином можна частково заблокувати людині дзвінки з телефону (жертва не зможе робити дзвінків на мобільні та інші номери, окрім як по місту) та нанести збитки на 10 грн. Плюс ще 10 грн. за повторну зміну групи телефону (для повернення попередньої групи і в даному випадку вже потрібно писати заяву).
Одним з методів захисту від даної атаки, що може використати Укртелеком, може бути вимога особисто написати заяву не тільки при зміні з третьої групи на інші (як це є зараз), а в усіх випадках. Звичайно можна провести соціально-інженерійну атаку з написанням заяви безпосередньо в одному з центрів Укртелекома, але мало хто на це піде (щоб особисто засвітитися), а по телефону це може зробити будь-хто. Тому даний метод може в достатній мірі захистити від подібних атак.
