Получается, что если перед заменой симкарты позвонить и заблокировать телефон, то все ухищрения по безопасности (предупреждающие СМС, пятиминутная пауза и т.п.) - тупо коту под хвост? Достаточно сперва позвонить, назвать паспортные данные и заблокировать номер? И что, даже не приходит предупреждающая СМС о том, что номер будет заблокирован?

====================================
Никто не призадумался и выводов не сделал, мошенники продолжают прокручивать свои схемы. Я вчера попал на смену SIM в МТС, сейчас опишу хронологию событий этого крайне неприятного вечера. Все временные отрезки взяты из мобильного приложения Мой МТС, и на момент происходящих событий я не понимал, что происходит.

17:15 - Злодей звонит в МТС с какого-то номера и ставит на блокировку номер телефона. Для этого необходимо знать только моё ФИО и серию номер паспорта. (я заметил, что пропал мобильный интернет, но значения этому не придал, т.к. у МТС такое бывает)
20:08 - замена SIM карты в каком-то офисе МТС (мне, естественно, SMS о замене не приходит, т.к. номер заблокирован)
20:22 - Злодей звонит в МТС с моего номера и снимает блокировку.
20:30 - отправляет СМС на 2283 и включает платные услуги по SMS
21:06 - включает/изменяет настройки MTC-Инфо. Платные сервисы.
21:14 - узнает баланс
21:24 - получает какую-то СМС с незнакомого номера +7 965 408 33 14 (не бьется). Предположительно, пытается войти в Gmail. Но Gmail прислал мне три письма с вопросом, "а это вы делаете?" я на все ответил, НЕТ.
21:31-36 пытается воспользоваться платными услугами и переводом денег через через SMS с банковских счетов, в детализации это все называется "SMS партнер". Точнее пока нет информации, что это было.
21:33 получает SMS от Mail.ru, обнуляет пароль.
21:39 опять от Mail.ru
21:45-47 опять сервисы "SMS партнер"
21:49-53 - Логинится в мой телеграмм две SMS с кодами. (Я как раз сидел в чате и увидел, открылись сессия из Франции. Оперативно закрываю все сессии кроме своей. Опять открывается сессия из Франции. Закрываю. Ставлю облачный пароль в телеграмм. Сейчас уже понимаю, что облачный пароль мог поставить и злоумышленник, тогда я бы потерял доступ к чату.)
21:53 еще одна SMS от Google приходит злоумышленнику

Для понимания, я про такой вид мошенничества не знал, не мог себе даже представить, что можно прийти в офис МТС и как-то "по преступному сговору" или "по липовой доверенности" сменить сим карту. Поэтому, когда я позвонил в контакт центр (КЦ) МТС я озвучивал только факты.

Звоню КЦ МТС, и говорю оператору (О), что SIM карта не работает, нет сети, нет экстренных вызовов и идут попытки взлома сервисов, которые завязаны на аутентификацию через SMS.
- О - Замены SIM не было, что мой телефон сломался и что нужно завтра с утра, сходить в офис МТС.
- Я - Спрашиваю, идут ли на мой номер SMS сообщения.
- О - Да идут и очень много
- Я - Заблокируте!!
- О- Заблокировала

Попытки взлома прекратились, я полез в интернет, искать, как можно без замены сим карты получать SMS. Натыкаюсь на одну из веток, офигеваю от способа мошенничества и дырявости МТС. Перезваниваю, в КЦ МТС и сразу прошу соединить с отделом безопасности.

- Я - еще раз описываю ситуацию, прошу проверить, была ли замена сим
- О - не было. Хотя, нет, была.
- Я - ......
- О - а вы знаете, что мошенник может позвонить нам и зная ваше ФИО и серию номер паспорта снять блокировку? Нужно написать комментарий, чтобы блокировку могли снять, только в офисе по паспорту.
- Я - делайте... Могу я посмотреть детализацию всех действий, чтобы понять какие сервисы у меня пытались взломать?
- О - нет, у вас же номер заблокирован.
- Я - а вы у себя не видите по системе?
- О - вижу, но сказать вам по телефону не могу. Идите завтра в офис, там все решайте.

Дальше я до 3-х ночи обзванивал банки, писал письма в поддержку, думал, что могли ломануть.
По факту взломали почту Mail.ru, Yandex, Telegram (может успели историю скачать), возможно WatsApp (у них история не ведется входов с разных устройств, не понятно). Google аккаунт устоял. Со счетов банковских не пропало ничего и попыток не было даже. Ложусь спать с квадратной головой.

Утром в ближайший офис МТС с паспортом и тремя задачами:
1. Составить претензию в службу безопасности.
2. Заменить сим карту
3. Написать заявление, чтобы никто не мог заменить SIM по доверенности.

В первом офисе, озвучиваю 3 пункта, а там работает 1 человек, который сначала 20 мин смотрел в монитор, а потом сказал, что у меня замены сим карты не было. Я показываю скриншот из Мой МТС, где есть само событие и время, когда оно произошло. Спрашиваю этого "специалиста" прямо, сможет он чем-то помочь? Он отвечает честно, что НЕТ. Советует ехать в центр Москвы и там искать офис.

Через дорогу от этого офиса, в ТЦ есть еще один, в котором 4 человека работают. Там выслушали и тоже хотели было отправить в центр, но парень решил сделать сам, хотя по 1, 3 пункту звонил, консультировался. Претензию составил, карту заменил, а вот с 3м пунктом возникла проблема, т.к. 100% способа запретить злоумышленнику второй раз сделать те же действия у МТС нет. Можно только оставить комментарий, что есть такое у меня пожелание. Оставляем такой комментарий.

Возвращаюсь домой, дожидаюсь пока симка активируется, работают только звонки в МТС. Звоню в МТС и спрашиваю:
Я - А что если с доверенностью придет человек и захочет сим карту сменить
О- Проблем нет, пусть приходит, меняет.
Я - А комментариев по этому поводу нет в моей карточке?
О - Подождите минуту, (через пару минут). Нельзя по доверенности, т.к. вы написали претензию и сейчас идет проверка ИБ
Я - А когда проверка завершится, можно будет?
О - Подождите минуту, (через пару минут) Тут кто-то оставил комментарий, чтобы так не делали.

Выводы:
- аутентификация по SMS в сторонних сервисах, через оператора МТС целиком и полностью скомпрометирована. Это огромная дыра в безопасности.
- компания МТС знает о проблеме с 2014 года, но шагов по ее решению не предпринимает.
- качество персонала МТС, их подготовка на очень низком уровне
- работа отдела ИБ. Пока ничего не делается, номер заблокирован на звонки и SMS. Только в МТС могу звонить. Готов дополнить этот пункт, когда будет что-то сделано. Рассмотрение претензии 30 дней.
- теперь я знаю, что злоумышленник имея на руках паспортные данные, первым делом пойдет в салон МТС и заберет мой номер телефона. Поэтому буду переходить на другого оператора, рассматриваю Тинкофф (у них хотя бы офисов нет), т.к. по всем остальным из большой четверки есть схожая информация.

Сергей Потресов умер 18.04.2021 г.
Покойся с миром, дорогой друг.
Мы тебя никогда не забудем.