Do e-mail ao número de telefone, uma nova abordagem de OSINT (2019)

Artigo original ↗ Discussão no Hacker News ↗

Fluxos de redefinição de senha que revelam parcialmente números de telefone podem ser encadeados entre vários serviços para reconstruir o número completo de um usuário a partir de nada além de um endereço de e-mail, destacando uma séria fragilidade de privacidade em práticas comuns de segurança na web. Os comentaristas observam que algumas plataformas grandes ainda expõem vários dígitos anos depois de isso ter sido relatado e debatem se publicar ferramentas que automatizam o ataque é eticamente justificável ou necessário para pressionar as empresas a corrigi-lo. O debate também explora mitigação, como usar números virtuais, aliases de e-mail por site e sistemas de identidade mais fortes que não tratem números de telefone ou SSNs como segredos de fato.

Técnica e Ideia Principal

  • Os comentaristas resumem a técnica: acionar redefinições de senha em muitos sites para um e-mail-alvo; cada site vaza diferentes fragmentos do número de telefone (início, fim, código de área etc.).
  • Combinar esses vazamentos parciais com dados públicos de numeração (por exemplo, NANPA) e scripts automatizados para reduzir até chegar aos números completos mais prováveis.
  • Alguns observam que o proof-of-concept original é um tanto “capado” e precisa de serviços como Twilio para funcionar.

PayPal e Outros Comportamentos de Serviços

  • Vários comentários destacam o PayPal como especialmente ruim, ainda revelando cinco dígitos mais o código de área em 2019 e, segundo testadores recentes, aparentemente ainda fazendo isso.
  • Usuários compartilham anedotas não relacionadas, mas alarmantes, sobre o PayPal (sobrenome alterado inesperadamente, suporte lidando mal com denúncias de phishing), reforçando a desconfiança.
  • Outros mencionam que muitos sites vazam várias partes de números de telefone e até dígitos de cartão de crédito em fluxos de redefinição ou conta.

Ética de Publicar Ferramentas

  • Um lado questiona lançar uma ferramenta de OSINT pronta, argumentando que usos invasivos ou maliciosos provavelmente superam os benefícios, e prefere publicar a técnica, mas não o código.
  • Outros argumentam que invasores já conhecem esses métodos ou os descobrirão, e que ferramentas públicas:
    • Pressionam empresas a corrigir designs ruins.
    • Fornecem demonstrações convincentes para persuadir executivos a melhorar a segurança.
    • São análogas a livros/ferramentas de lockpicking.
  • Alguns veem lançamentos de ferramentas em parte como busca de prestígio dentro da comunidade de segurança.

Estratégias de Mitigação

  • Defesas sugeridas:
    • Usar endereços de e-mail separados ou randomizados por serviço (domínios personalizados, aliases “+”, Firefox Relay, integrações com gerenciadores de senhas).
    • Usar números VOIP ou SIM/eSIM dedicados para 2FA e cadastro, embora bloqueio de VOIP e limitações de dispositivo/SIM possam ser problemáticos.
    • Usar ferramentas de integração desktop–celular (por exemplo, KDE Connect, Windows Phone Link) para facilitar o tratamento de SMS.

Debate sobre Números de Telefone como Segredos

  • Alguns argumentam que números de telefone são, na prática, públicos e que depender de sua obscuridade é falho.
  • Outros observam que, quando um invasor tem tanto o e-mail quanto o número de telefone, phishing e engenharia social mais convincentes se tornam mais fáceis.

Outras Notas Técnicas e Regionais

  • Discussão sobre bancos de dados CNAM e consulta via Twilio para correlacionar números com nomes.
  • Menções à portabilidade numérica como limitação da inferência baseada em localização.
  • Perspectivas internacionais: em alguns países (por exemplo, Suécia), números de telefone e muita PII são públicos por design; em outros (por exemplo, Austrália), os fluxos de redefinição vazam menos dígitos.