xmr.club
Как номер связывает аккаунт с вами
- Номера для восстановления. Номер, добавленный «только для восстановления», хранится вместе с аккаунтом и передаётся по запросу к провайдеру. Он превращает аккаунт без имени в аккаунт, за которым стоит SIM-карта.
- След самой SIM-карты. У SIM-карты есть серийный номер (ICCID). Оператор знает, где и когда её активировали; магазин знает, какая это была продажа, и часто хранит чек и запись камеры того момента. Оплата наличными убирает из следа карту, но не магазин.
- Всё остальное в телефоне. Идентификатор самого аппарата (IMEI), вышки, к которым он подключается, и приложения, в которые вы на нём входите, указывают на одно устройство. «Одноразовый» телефон, хоть раз переночевавший дома или запускавший ваши обычные приложения, уже не отдельный.
- Утечки и сайты поиска людей. Ваш основной номер почти наверняка уже есть в слитых базах рядом с именем и адресом. Любой, кто найдёт номер в аккаунте, найдёт и остальное.
Ещё две ловушки номеров
- SIM-swap. Кто-то уговаривает оператора перенести ваш номер на свою SIM-карту и сбрасывает все аккаунты, которые восстанавливаются по SMS. Это самый частый способ опустошить криптоаккаунты.
- Переиспользованные номера. Истёкшие номера и номера, арендованные на несколько минут ради кода, возвращаются в пул. Следующий владелец получает ваши коды. Для разовой регистрации нормально; для аккаунта, который хотите сохранить, — никогда.
Что делать вместо этого
- Уберите восстановление по телефону, где можно. Используйте passkey, приложение-аутентификатор (TOTP) или распечатанные коды восстановления, хранящиеся офлайн. Если сервис настаивает на номере, дайте не основной.
- Один номер на контекст. Основной номер — для семьи, банка и оператора. Аккаунтам, которые не должны вести к вам, — другой номер, и никогда их не смешивайте: не добавляйте позже основной номер «как запасной».
- Подбирайте номер под срок. Разовый код: арендованный SMS-номер подойдёт. Аккаунт, который сохраните: долговечный номер под вашим контролем, например приватная eSIM или VoIP-номер, оплаченный криптой, чтобы и через год получать коды.
- Разделяйте и устройство. Второй номер на повседневном телефоне всё равно делит с ним аппарат. Для контекста, который действительно должен быть отдельным, это значит отдельное устройство, не входящее в ваши обычные аккаунты.
- Защитите основной номер. Попросите у оператора PIN на перенос номера или блокировку SIM и удалите номер с сайтов поиска людей (см. ежегодный аудит приватности).
Выбор по модели угроз
- Спам и утечки: достаточно отдельного номера для регистраций.
- Доксинг или сталкер: разные номера для разных контекстов, никакого основного номера в публичных аккаунтах и чистка сайтов поиска людей.
- Работа с высоким риском (источники, активизм): отдельное устройство и номер для этой работы и исходите из того, что всё купленное лично можно связать с вами по записям самого магазина.
Важно, где вы живёте: в некоторых странах для каждой SIM нужен документ, а номер, оформленный на другого человека, может создать свои проблемы. Пользуйтесь тем, что законно у вас. Больше вариантов — в руководстве SMS-верификация без KYC, выбор модели — в Модели угроз приватности, исправление ошибок — в Как исправить ошибку приватности.