La OTP de servicios sensibles a un móvil no es una buena idea. Los bancos deben usar hardware OTP u otro.
El vector de ataque típico para OTP son tres tipos.
Obtener el control del teléfono
Bueno. Literalmente.
Los móviles, aunque no tan a menudo en estos días, son fácilmente comprometidos. Especialmente, las aplicaciones de Android pueden acceder libremente a los mensajes SMS (por supuesto, con permiso).
Explotación de la función de bloqueo de spam de SMS
La mayoría de los operadores ahora admiten el bloqueo automático de spam, que bloquea el spam antes de ingresar al teléfono del usuario. Los usuarios pueden iniciar sesión en el sistema de control de spam, establecer números de spam y ver los SMS de spam.
El atacante usa datos credenciales de los datos infringidos, establece el número de destino (por ejemplo, el banco) como un número de spam y obtiene con éxito los datos de OTP del sistema de control de spam.
SIM Swap / Copy
Una vulnerabilidad en particular que ha ganado popularidad entre los hackers es el fraude de tarjetas SIM. Esto es básicamente un ataque que esencialmente engaña a su compañía de telecomunicaciones para que cambie su línea de comunicación a una tarjeta SIM diferente que los hackers tienen en su poder.
Esto permite que un culpable tome control de su línea telefónica. Cada vez que llame a su proveedor de GSM con una solicitud confidencial, le pedirán algunos datos personales que les ayuden a identificarlo como el verdadero propietario de la línea. Aquí es donde entran los hackers. Armados con información personal sobre usted, un estafador tiene la capacidad de solicitar un cambio de SIM.
Fuente: enlace