Het is niet veilig om gebruikers hun wachtwoord via sms te laten resetten en via sms aanvullende inlogcodes te versturen, toch blijven veel bedrijven en websites deze optie aanbieden, ook wanneer ze over het risico zijn gewaarschuwd. Dat stellen onderzoekers van Princeton University op basis van eigen onderzoek. Ze vonden zeventien websites die sms-gebaseerde multifactorauthenticatie (MFA) aanbieden en gelijktijdig gebruikers hun wachtwoord via sms laten resetten.

En dat is door sim-swapping een beveiligingsrisico, aldus de onderzoekers. Bij sim-swapping weten oplichters een telecomprovider zover te krijgen om het mobiele telefoonnummer van het slachtoffer over te zetten naar een andere simkaart, die reeds in het bezit is van de oplichter. Zodra een aanvaller het telefoonnummer heeft overgenomen kan die via sms het wachtwoord resetten en vervolgens met de via sms verkregen MFA-code inloggen.

Het probleem speelt en speelde bij allerlei grote partijen, zoals Microsoft, PayPal, Amazon, Adobe, eBay, Snapchat en Blizzard. De onderzoekers waarschuwden de zeventien bedrijven. "Adobe, Snapchat en eBay reageerden snel en verhielpen de kwetsbaarheden die we rapporteerden", aldus de onderzoekers. "In drie gevallen, Blizzard, Microsoft en Taxact, leverde onze bugmelding niet het bedoelde effect op." Na zestig dagen bleken de bedrijven de problemen te hebben verholpen, alleen zonder dat de onderzoekers waren geïnformeerd.

Uit het overzicht van de onderzoekers blijkt dat zeven van de zeventien gewaarschuwde bedrijven maatregelen hebben genomen en tien er nog kwetsbaar zijn. "Er lijkt een algemeen gebrek aan kennis over kwetsbaarheden te zijn die ontstaan door zwak authenticatiebeleid", merken de onderzoekers op. Daarnaast stellen ze dat bedrijven het eenvoudig moeten maken om kwetsbaarheden te rapporteren.