Co dělat, když dostanete telefonní číslo po někom. Operátor ho recykloval a vy teď dostáváte cizí SMS i kódy

Studie Princeton University zjistila, že u dvou třetin recyklovaných čísel zůstávají aktivní vazby na cizí účty, včetně bank a sociálních sítí.

Zdroj fotografie: warrenski / Creative Commons / CC BY-SA

Představte si, že si pořídíte novou SIM kartu, vložíte ji do telefonu a za pár hodin vám začnou chodit zprávy s kódy pro obnovu hesla k účtům, které jste si nikdy nezakládali. Někdo vám píše cizím jménem, banka posílá autorizační SMS a sociální síť hlásí pokus o přihlášení. Nic z toho není útok na vás. Vaše číslo prostě dřív patřilo někomu jinému a operátor ho po měsících neaktivity znovu přidělil. Jenže předchozí majitel ho nechal navázané na desítky služeb, které o změně držitele nemají tušení. Telefonní číslo dnes funguje jako digitální identita napříč platformami, které spolu technicky vůbec nesouvisí. A právě v tom je jádro problému.

Jak operátoři čísla recyklují

Recyklace telefonních čísel není chyba ani výjimka. Je to běžná správa omezeného číselného prostoru, se kterou veřejně počítají všichni tři velcí čeští operátoři. Mechanismus je přímočarý: když přestanete službu používat nebo necháte předplacenou kartu bez dobití, operátor po stanovené lhůtě smlouvu ukončí a číslo uvolní pro dalšího zákazníka.

Konkrétní lhůty se liší:

• O2 – platnost předplacené karty GO je 12 měsíců od posledního dobití; poté může být číslo znovu použito.
• T-Mobile – u Twist po 12 měsících bez dobití blokuje odchozí služby, po dalším měsíci i příchozí a bez dobití smlouva zaniká.
• Vodafone – předplacená smlouva končí uplynutím 13 měsíců od posledního dobití nebo aktivace SIM.

U paušálních smluv je situace méně průhledná. Operátoři řeší ukončení smlouvy a přenos čísla, ale konkrétní veřejnou „karanténní“ lhůtu před novým přidělením v otevřených dokumentech neuvádějí. Jednotná zákonná minimální karanténa čísla v Česku přitom ve veřejně dohledatelných předpisech zřejmá není.

Cizí kódy jsou víc než otravná kuriozita

Zprávy, které vám přicházejí, nejsou spam. Jsou to jednorázové kódy pro obnovu hesla, dvoufázové ověření, přihlášení do e-shopu nebo autorizaci platby. Přicházejí proto, že předchozí majitel číslo od těchto služeb nikdy neodpojil.

Rozsah problému ilustruje studie Princeton University: výzkumníci analyzovali 259 telefonních čísel dostupných novým zákazníkům u dvou amerických operátorů. U 171 z nich, tedy u 66 %, našli stále aktivní vazbu na existující účet alespoň na jednom z šesti testovaných webů. Celkem 215 čísel z 259 bylo zranitelných minimálně vůči jednomu typu útoku. A u 100 čísel se navíc podařilo dohledat spojení s dříve uniklými přihlašovacími údaji.

Česká data stejného rozsahu chybí, ale princip je identický. Číslo slouží jako klíč k bankovnímu účtu, e-mailu, sociálním sítím i platebním službám. Stačí, aby nový držitel zadal „zapomenuté heslo“ a potvrdil kód, který mu přijde na recyklované číslo, a má přístup k cizímu účtu. Totéž může udělat kdokoli, kdo po vás dostane vaše staré číslo.

Co dělat, když vám chodí cizí zprávy

Zacházejte s nimi jako s cizí poštou v digitální podobě. Neklikejte na odkazy, nepoužívejte kódy, nesnažte se přes ně přihlásit do cizích účtů a neodpovídejte osobními údaji. Pokud jde o běžnou lidskou zprávu, stačí jednorázově informovat odesílatele o omylu.

Při systematických kódech a prémiových zprávách postupujte takto:

• Evidujte zprávy – screenshoty s časem a odesílatelem se hodí pro komunikaci s operátorem.
• Kontaktujte operátora – popište, že jde zřejmě o recyklované číslo, a požádejte o blokaci prémiových služeb.
• Zkontrolujte výchozí nastavení – Vodafone například u nových SIM automaticky aktivuje Premium SMS, m-platbu i audiotex. Vypněte, co nepotřebujete.
• Zvažte změnu čísla – pokud problém přetrvává. Počítejte ale s poplatkem: O2 si účtuje 599 Kč, T-Mobile u tarifních zákazníků 1 210 Kč. Vodafone změnu čísla umí vyřešit bez rušení služby, aktuální cenu se nám ale nepodařilo veřejně ověřit.

Důležitý detail: běžné příchozí SMS blokovat nelze, O2 to uvádí výslovně. Zablokovat jdou jen prémiové a platební kanály, což je podstatný rozdíl.

Co udělat, než staré číslo opustíte

Druhá strana mince je stejně důležitá. Pokud měníte číslo nebo necháváte předplacenou kartu „umřít“, odpojte ho od všeho, kde slouží jako identifikátor. Bankovní aplikace, e-mail, sociální sítě, messengery, e-shopy, věrnostní programy, předplatná; všude, kde číslo funguje jako login, obnova hesla nebo druhý faktor ověření.

Zvláštní pozornost si zaslouží Platba na kontakt. Jde o službu, při které je telefonní číslo spárované s bankovním účtem v registru ČNB. Limit jedné platby je 5 000 Kč. Raiffeisenbank výslovně uvádí, že při změně kontaktního telefonu původní registrace automaticky zaniká a nové číslo je třeba zaregistrovat znovu. Pokud to neuděláte včas, vzniká prostor pro zmatek a případně i pro to, že platba dorazí na účet někoho, kdo vaše číslo dostal po vás.

Když selže všechno ostatní

Pokud operátor nereaguje nebo řešení trvá příliš dlouho, máte právo podat reklamaci služby elektronických komunikací. Lhůty a postup popisuje ČTÚ. Další možností je přenos čísla k jinému operátorovi, zákon o elektronických komunikacích vám to garantuje a celý proces běží přes nového poskytovatele.

Problém recyklovaných čísel nevyřeší žádný jednotlivý krok. Operátor spravuje číslo v síti, ale nemá vliv na to, ke kolika službám ho předchozí majitel připojil. Skutečná obrana začíná u vědomí, že telefonní číslo dávno přerostlo svou původní funkci a že ho při odchodu nestačí jen přestat dobíjet.