SilentAir: revise a dependência do telefone na recuperação de contas
Recuperar uma conta pode exigir um caminho diferente do usado no login diário. Avalie essa dependência antes de precisar dela durante uma viagem ou incidente.
Read in EnglishPor Pentesty
O fato observado e seus limites
A Enea relatou ataques de sinalização atribuídos ao SilentAir e observou códigos de 2FA por SMS após interceptação em alguns alvos. A associação a operações ligadas à China tem baixa confiança; a ligação com LIMINAL PANDA permanece não confirmada. A pesquisa não demonstra comprometimento de toda conta que usa SMS.
Para uma empresa que não opera redes móveis, o trabalho proposto aqui começa no desenho de acesso às suas próprias aplicações. Escolha um conjunto pequeno de contas relevantes e descreva como cada uma pode ser recuperada. O resultado deve mostrar dependências reais, sem tentar reproduzir ataques em infraestrutura de telecomunicações.
Desenhe o caminho de retorno à conta
Considere uma funcionária que entra normalmente com um fator aprovado, mas perdeu acesso ao dispositivo durante uma viagem. Quem pode recuperar sua conta? Que canal recebe a confirmação? Peça ao suporte que explique o procedimento atual, incluindo exceções para urgência, prestadores de serviço e usuários sem equipamento corporativo.
Coloque lado a lado o login habitual, a troca de fator e a recuperação completa. Marque onde o mesmo número reaparece. Esse desenho permite discutir uma mudança concreta: eliminar uma dependência, oferecer uma alternativa previamente cadastrada ou aceitar uma exceção com prazo. A declaração de que a empresa tem MFA não responde a essas perguntas.
Teste uma alternativa antes da necessidade
Proponha um ensaio com conta sintética e participação do suporte. Suspenda apenas o fator de teste combinado e percorra o procedimento alternativo documentado. Observe se a pessoa chega à mesma autoridade que possuía antes e quais confirmações independentes foram necessárias. Não use números de funcionários ou contas privilegiadas reais como material de teste.
Avalie também a experiência de quem fica sem o canal antigo. Se o procedimento só funciona quando alguém improvisa uma aprovação, a alternativa ainda não está pronta para uso previsível. Transforme a dificuldade encontrada em uma decisão de produto ou suporte, com documentação clara para o usuário e uma forma acessível de pedir ajuda.
Evite que a exceção recrie a dependência
Imagine que a equipe migrou administradores para outro fator, mas deixou o telefone como solução automática em um portal secundário. A revisão deve procurar esse retorno, incluindo aplicações de terceiros aprovadas. Peça a cada responsável que mostre a configuração vigente e descreva o que ocorre quando o usuário solicita substituição do fator.
Trate a transição de função como outro cenário. Uma pessoa deixa a equipe financeira e mantém o número corporativo: quais acessos anteriores ainda podem ser recuperados por esse canal? A pergunta relaciona telefonia, identidade e desligamento de permissões. O exercício deve conferir a consequência de uma mudança de função, sem depender apenas do cadastro de empregados.
Prepare uma resposta proporcional à evidência
Um relato de falha de entrega, por si só, não identifica espionagem ou comprometimento de conta. O suporte deve preservar o relato e encaminhá-lo conforme os critérios internos. A equipe de identidade pode avaliar alterações e acessos nas aplicações; questões da rede móvel exigem interlocução apropriada com a operadora e evidências que a empresa talvez não possua.
Para a decisão executiva, apresente as contas cuja recuperação depende do telefone, as alternativas efetivamente ensaiadas e os serviços ainda sem caminho aprovado. Explique o efeito operacional de retirar uma opção antes de fazê-lo. O objetivo é reduzir uma dependência identificada com uma transição utilizável, evitando que uma urgência futura devolva a organização ao mesmo ponto de partida.
Perguntas frequentes
Esta análise recomenda testar a rede da operadora?
Não. O escopo proposto é o acesso às aplicações e o suporte da própria organização, usando contas e fatores sintéticos previamente autorizados.
Trocar o fator de login encerra a revisão?
Confira também troca de fator, recuperação e exceções de suporte. A decisão deve considerar todos os caminhos pelos quais a pessoa pode voltar a acessar a conta.
Como priorizar as contas avaliadas?
Comece pelas consequências de uma recuperação indevida e pela dificuldade de operar sem acesso. Inclua responsáveis pelo processo de negócio para escolher uma amostra justificável.
Uma mensagem atrasada comprova um ataque?
Não atribua uma causa a esse sinal isolado. Preserve o contexto e siga os critérios de apuração, distinguindo observações do usuário de conclusões sobre a conta ou a rede.
Fontes e referências
Análise original da Pentesty, publicada em 12 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.