Почему номер с проверенным владельцем продолжает получать коды

Что на самом деле хочет знать сервис

Номер телефона в аккаунте — это обещание: за ним реальный человек, и с ним можно будет связаться по этому номеру, даже когда он купит новый ноутбук или забудет пароль. Сервисы давно поняли, какие номера держат это обещание, а какие нет.

Почему сервисы отсеивают VoIP и арендованные номера

Интернет-номера дёшевы и создаются быстро, поэтому появляются везде, где есть фейковые аккаунты. Twilio, через который многие компании отправляют коды, говорит своим клиентам: “VoIP numbers are often correlated with bots and don't have the same assurance that you're interacting with a real and unique user” («VoIP-номера часто связаны с ботами и не дают такой же уверенности, что вы имеете дело с реальным и уникальным пользователем», Twilio).

Рекомендации по безопасности говорят о том же. Прежняя редакция руководства NIST по цифровой идентификации гласила, что методы, “that do not prove possession of a specific device, such as voice-over-IP (VOIP) or email, SHALL NOT be used” («которые не доказывают владение конкретным устройством, например VoIP или электронная почта, НЕ ДОЛЖНЫ использоваться», NIST). Действующая редакция говорит проверяющим, что им “SHOULD consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior)” («СЛЕДУЕТ учитывать признаки риска, например смену устройства, замену SIM-карты, перенос номера и другое необычное поведение», NIST).

У арендованных и общих номеров другая проблема — повторное использование. Номер, который каждую неделю переходит из рук в руки, получает коды для всех, кто владел им раньше. В итоге он оказывается привязан к аккаунтам, которые никто не собирается сохранять. Сервисы не публикуют свои антифрод-правила, поэтому мы не можем сказать, что именно проверяет каждый. Но номер, за которым тянется длинная череда незнакомцев, — полная противоположность того обещания. Как работает проверка типа номера.

К чему приводят повторно выданные номера

Даже обычные мобильные номера переходят к другим людям. По данным FCC, “Approximately 35 million numbers are disconnected and made available for reassignment to new consumers each year” («ежегодно около 35 миллионов номеров отключаются и становятся доступны для повторной выдачи новым абонентам»), и регулятор установил “a minimum aging period of 45 days” («минимальный период выдержки 45 дней», FCC), прежде чем отключённый номер получит кто-то другой. Для номеров частных абонентов правило задаёт и нижнюю, и верхнюю границу: их “may be aged for no less than 45 days and no more than 90 days” («можно выдерживать не менее 45 и не более 90 дней», eCFR).

В 2021 году исследователи Принстона Кевин Ли и Арвинд Нараянан изучили выборку номеров, которые два крупных оператора предлагали новым клиентам (Princeton):

• Принстон, об аккаунтах

  “171 of 259 numbers we sampled were vulnerable to account hijackings at six popular websites”

  171 из 259 номеров в нашей выборке были уязвимы для захвата аккаунтов на шести популярных сайтах

  https://recyclednumbers.cs.princeton.edu/

• Принстон, о кодах

  “still receiving sensitive communication meant for previous owners, such as authentication passcodes”

  по-прежнему получали конфиденциальные сообщения, предназначенные прежним владельцам, например коды для входа

  https://blog.citp.princeton.edu/2021/05/03/phone-number-recycling-creates-serious-security-and-privacy-risks-to-millions-of-people/

Вторая находка касалась 19 из 200 номеров, за которыми они наблюдали, и всего за одну неделю (Princeton CITP). Тем, кто меняет номер, они советовали “park the number” («припарковать номер») — оставить старый как недорогую вторую линию. Вывод для всех, кто полагается на коды в SMS: важен не столько сам номер, сколько то, кто им владеет и как долго.

Почему Cleat просит каждого владельца линии подтвердить личность

Мы не можем повлиять на то, как сервис оценивает номера. Но можем контролировать, кто стоит за нашими. Поэтому линия Cleat никому не показывает SMS, пока её владелец не подтвердит личность. Одна линия — один известный человек, на всё время подписки.

• Никакой череды незнакомцев. Линия не переходит из рук в руки каждую неделю и не открыта для всех, поэтому её история — это история одного человека.
• Никакой проверки за другого. Мы можем отказать, приостановить или закрыть доступ, если проверка не пройдена, выглядит мошеннической или пройдена от имени другого человека. Наши правила.
• Чёткие ограничения. Наши Условия запрещают мошенничество, выдачу себя за другого человека, получение SMS, предназначенных другим, и перепродажу линий.

И честно о границах:

• Сервис никогда не видит ваш документ. Он видит мобильный номер США. Проверка со временем сохраняет наши номера чистыми, но не даёт вам пропуск.
• Это не гарантия. Большинство сервисов, которые отклоняют VoIP, принимают настоящую мобильную линию. Ни один провайдер не может обещать, что каждый сервис примет каждый номер.
• У вашего номера мог быть прежний владелец. Как почти любой номер в США, номер Cleat выдаётся из доступного пула. Мы не можем обещать, что им никогда не пользовались.
• Наши номера тоже выдаются повторно. Если оплата прекращается, мы держим номер за вами 30 дней, затем освобождаем, и позже он может достаться кому-то другому. Сначала перенесите с него свои аккаунты.

Что мы храним, а что нет

Ваш документ и селфи получает и проверяет наш провайдер проверки личности. Cleat получает результат и идентификатор проверки, а не копии документа или селфи. Мы не храним изображения документов. При проверке только по документу сотрудник Cleat перед одобрением в реальном времени просматривает результат провайдера: тип документа, страну выдачи и срок действия. Провайдер обрабатывает данные как наш поставщик услуг; он назван в нашей Политике конфиденциальности.

Для самой линии мы храним то, что нужно для её работы: SMS, которые получает линия (отправитель, текст, время и любой найденный нами код), расшифровки звонков на неё, данные вашего аккаунта и настройки. SMS видят только участники вашего рабочего пространства. Остальное, включая сроки хранения, — в нашей Политике конфиденциальности.

Что это значит, если вы покупаете линию

1. 01Личность подтверждается один раз, примерно за две минуты: нужны государственный документ и селфи. Не хотите делать селфи? Выберите проверку только по документу — её проведёт человек.
2. 02Можно сначала оплатить. SMS подождут, пока вы пройдёте проверку.
3. 03Линия оформляется на ваше имя, поэтому покупайте её для себя или своей компании, а не для кого-то другого. Если клиенту нужен аккаунт на его имя, линией должен владеть он.
4. 04Участникам команды проверка не нужна. Они принимают приглашение и видят коды. Cleat для команд.
5. 05Держите линию, пока от неё зависят аккаунты. Это и есть урок Принстона на практике. Годовая оплата — 249,90 $, два месяца бесплатно; подробнее на странице цен.

Если вы не хотите никому показывать документ, Cleat вам не подойдёт. Google Voice и Cleat — о бесплатном варианте и о том, чем за него приходится платить.