今天我了解到，對于一個人來說，打電話給提供商和改變你的SIM是相當容易的。黑客得到了帳戶驗證文本。

正如一系列推文中所詳述的那樣，今天早上，有人打電話給Verizon，稱他為McKesson，顯然他的社會保障號碼的最后四位數。這個人改變了他的帳戶上的注冊SIM到一個他們控制，重定向和短信到他們的手機，而不是他的。之后，他們只是在Twitter上觸發了一個密碼重置，并等待授權代碼進來。

雖然@Deray能夠在Twitter的幫助下恢復他的帳戶（與@Jack做朋友很好），但對于正常用戶來說，這可能不那么容易。不幸的是，即使有這樣的額外安全措施，各種類型的社會工程仍然會危及你的信息。黑客在2014年使用了類似的消息來控制開發商Grant Blakeman的Instagram頁面，并在2012年通過重定向其AT&；T語音信箱訪問了Cloudflare CEO的Gmail帳戶。當一個黑客說服亞馬遜放棄他的信用卡號碼的最后四位數時，有線作家Mat Honan接管了他的帳戶和設備，然后用這些信息為他的蘋果iCloud帳戶獲得了一個新密碼。

那么你還能做些什么來保護自己呢？不幸的是，許多服務仍然使用短信或電話來執行第二位身份驗證（使用谷歌認證程序等應用程序提供的一次性密碼將您的電話號碼從等式中刪除），而當涉及到電話和電纜提供商時，它們基本上不支持雙因素。相反，默認情況下，他們將使用SSN在電話中驗證帳戶信息，就像在這種情況下看到的，這是非常容易被黑客發現的。

Buzzfeed指出了FCCCTO最近發布的一項建議：主要的移動運營商將允許您設置自己的密碼，這是帳戶訪問所必需的。Sprint在帳戶設置時需要一個PIN，Verizon可以設置一個四位數的計費密碼，T-Mobile將設置一個客戶關懷密碼，AT&；T允許您通過其應用程序設置一個密碼。您的互聯網服務提供商可能也有類似的選擇，但您可能也必須在那里請求它。

Verizon擁有Engadget的母公司Verizon Media。請放心，Verizon無法控制我們的覆蓋范圍。Engadget在編輯上仍然獨立。