Článek
Problém je, že telefonní číslo nám nepatří navždy. Když ho přestaneme používat, může se po čase vrátit zpět do oběhu a operátor ho přidělí někomu jinému. A právě tehdy může začít docela nepříjemná situace.
Staré číslo nemusí zůstat navždy jen „vaše staré číslo“
Dobře je to vidět například u předplacených karet. O2 uvádí, že jeho předplacená karta platí 12 měsíců od posledního dobití. Pokud ji zákazník během této doby nedobije, karta se zablokuje a telefonní číslo může být znovu použito na jiné kartě.
Že je recyklace telefonních čísel běžná věc, potvrzuje také WhatsApp. Ve své nápovědě přímo počítá s tím, že nový uživatel může získat číslo, které před ním používal někdo jiný.
Na první pohled se nemusí dít nic zvláštního. Jenže telefonní číslo dnes neslouží jen k volání.
Máme ho uvedené u banky, u Googlu, na Facebooku, ve WhatsAppu, v e-shopech nebo třeba u dopravce. Často se používá také při obnovení hesla nebo při dvoufázovém ověřování. Google například uvádí, že telefonní číslo pro obnovení účtu může sloužit k zaslání kódu při ztrátě přístupu nebo při podezřelé aktivitě.
A když si číslo změníte u operátora, všechny ostatní služby se to samozřejmě samy nedozvědí.
Příklad? Ten hovoří za vše
Představte si úplně běžnou situaci: Petr měl deset let stejné telefonní číslo. Zná ho celá rodina, používá ho v práci a během let ho zadal snad všude.
Pak dostane služební telefon s novým číslem a staré už nechce. Nechá ho tedy zrušit.
V bance a u hlavního e-mailu si číslo poctivě změní. Jenže zapomene na starší e-shop, účet na Facebooku, jednu dopravní aplikaci a e-mailovou schránku, kterou používá jen jednou za čas.
Po nějaké době dostane jeho staré číslo Jana.
A najednou jí přijde SMS:
„Petře, váš balíček je připraven k vyzvednutí.“
Za týden třeba reklamní nabídka obchodu, kde Petr nakupoval.
A někdy může přijít i zpráva s ověřovacím kódem ke službě, u které Petr své telefonní číslo zapomněl změnit.
Neznamená to samozřejmě, že Jana automaticky získá přístup k jeho bankovnímu účtu nebo e-mailu. Většina služeb má i další bezpečnostní prvky a samotné telefonní číslo obvykle nestačí.
Jenže čistě teoretický problém to rozhodně není.
Výzkumníci to zkusili v praxi
Výzkumníci z Princetonské univerzity si pořídili 200 recyklovaných telefonních čísel a po dobu jednoho týdne sledovali, co na ně bude chodit.
U 19 z nich skutečně dorazily zprávy nebo hovory obsahující soukromé či bezpečnostně citlivé informace určené předchozím majitelům.
Mohlo jít například o autentizační kódy, upozornění nebo jiné zprávy, které už měl správně dostávat někdo úplně jiný.
To je přesně ten typ problému, nad kterým většina lidí při změně čísla nepřemýšlí.
Člověk řeší přenos kontaktů, novou SIM kartu, WhatsApp a možná banku. Ale už si nevzpomene, že před sedmi lety zadal své číslo do deseti různých služeb.
U stovek čísel našli překvapivě mnoho vazeb na staré účty
Stejný tým z Princetonské univerzity podrobně analyzoval také 259 telefonních čísel, která byla nabízena novým zákazníkům u dvou amerických mobilních operátorů.
U 171 z 259 čísel zjistili, že jsou stále spojená alespoň s jedním uživatelským účtem u šesti sledovaných služeb – Amazonu, AOL, Facebooku, Googlu, PayPalu a Yahoo.
Jinými slovy: nový majitel čísla mohl dostat telefonní číslo, které některá internetová služba stále považovala za kontakt původního uživatele.
U 100 z 259 čísel navíc výzkumníci našli vazbu na e-mailové adresy, jejichž hesla se v minulosti objevila v datových únicích. V určitých situacích tak podle nich mohlo dojít i k obejití SMS dvoufázového ověřování. Kompletní výsledky jsou dostupné v původní studii Princeton University, kterou je vhodné si pročíst.
Je fér dodat, že výzkum probíhal ve Spojených státech a u amerických operátorů. Jeho procenta proto nelze jednoduše převést na české prostředí. Samotný princip je ale stejný – telefonní číslo může po čase získat nový člověk, zatímco některé internetové služby ho stále mohou mít uložené u původního majitele.
SMS jsou pohodlné, ale nejsou bez chyby
Na možné problémy s ověřováním přes telefonní číslo upozorňuje také americký Národní institut pro standardy a technologie NIST.
V aktuálním standardu NIST SP 800-63B je ověřování přes veřejnou telefonní síť, tedy například pomocí SMS, zařazeno mezi omezené neboli „restricted“ metody.
To samozřejmě neznamená, že máte dnes večer oběhnout všechny své účty a SMS ověřování vypnout, ale je dobré na to myslet.
Pokud ale nějaká služba nabízí bezpečnější variantu, například autentizační aplikaci, passkey nebo bezpečnostní klíč, má jednu velkou výhodu: není přímo závislá na tom, komu zrovna patří konkrétní telefonní číslo.
Zajímavý příklad nabízí WhatsApp
U WhatsAppu je telefonní číslo přímo základem celého účtu.
Samotný WhatsApp vysvětluje, že nový zákazník může kvůli recyklaci získat číslo, které už někdo před ním používal.
Představte si třeba, že si koupíte novou SIM kartu, nainstalujete WhatsApp a ještě před dokončením registrace se u čísla objeví cizí profilová fotografie nebo text v sekci „Info“.
Přesně s takovým scénářem WhatsApp počítá.
Neznamená to ale, že byste získali staré konverzace předchozího majitele. WhatsApp výslovně uvádí, že nový držitel čísla ke starým zprávám ani dalším soukromým datům přístup nedostane.
Služba navíc sleduje dobu neaktivity. Pokud je účet 45 dní nepoužívaný a následně je stejné číslo aktivováno na novém zařízení, WhatsApp může staré údaje spojené s předchozím majitelem odstranit.
Je to ale dobrá ukázka toho, že internetová služba nemusí okamžitě vědět, že telefonní číslo už používá úplně jiný člověk.
Nejhorší je staré číslo prostě zahodit
Pokud telefonní číslo měníte, vyplatí se staré ještě chvíli ponechat aktivní a postupně projít služby, kde jste ho mohli používat.
Začal bych tím nejdůležitějším: banka, hlavní e-mail, účet Google nebo Apple, sociální sítě, WhatsApp a další komunikační aplikace.
Pak přicházejí na řadu e-shopy, dopravci, věrnostní programy, různé rezervační systémy nebo třeba služby, které používáte jednou za několik měsíců.
Právě na ty se zapomíná nejsnáze.
Typickým příkladem může být starý e-shop. Před pěti lety jste v něm nakoupili lednici, zadali telefonní číslo a od té doby tam nebyli. Dnes už ho používá někdo jiný a při dalším nákupu nebo pokusu o obnovu účtu může zpráva skončit právě u něj.
Zvláštní pozornost si zaslouží účty, kde je telefonní číslo nastavené jako možnost pro obnovení přístupu. Google například uvádí, že recovery číslo může použít k zaslání kódu při ztrátě přístupu nebo při podezření na neobvyklou aktivitu.
Telefonní číslo není doživotní digitální občanka
Možná největší problém je v tom, že jsme si na telefonní číslo zvykli jako na něco trvalého.
Máme ho deset nebo patnáct let, takže snadno získáme pocit, že je prostě naše.
Jenže není.
Pokud ho přestaneme používat, může se po určité době dostat k někomu jinému. A zatímco operátor už dobře ví, že číslo změnilo majitele, starý e-shop, e-mailová služba nebo aplikace o tom vůbec nemusí mít tušení.
Proto se při změně telefonního čísla vyplatí udělat jednu trochu nudnou věc.
Sednout si na deset minut a vzpomenout si, kam všude jsme ho během posledních let zadali.
Protože Petr možná už své staré číslo dávno nepoužívá. To ale ještě neznamená, že na něj přestaly chodit zprávy určené právě jemu.
