Attacchi di scambio SIM: rubare tutto dai bitcoin ai tuoi account Instagram

Spesso vedi e senti le persone confrontare una password con una chiave fisica. Mentre è ovvio da dove provengono i paralleli, ci sono alcune differenze. Ad esempio, senza la chiave, non è possibile sbloccare la porta. Ottenere l'accesso a un account senza la password, tuttavia, è possibile ed è tutto grazie a un attacco chiamato SIM swapping.

Che cos'è lo scambio SIM?

Conosciuto anche come SIM hijacking o una truffa port out, è corretto affermare che ha uno dei nomi più descrittivi. È l'atto di dirottare il numero di cellulare di una vittima e usarlo con una diversa carta SIM. Lo scambio di SIM è in circolazione da alcuni anni e, sebbene debba ancora ricevere una significativa attenzione da parte dei media, sembra aumentare di popolarità, soprattutto come scopriremo tra un minuto, con i giovani criminali informatici in erba.

Come funziona tutto?

Lo scambio di SIM è un tipo di furto di identità e, come dovresti sapere ormai, il furto di identità è reso possibile dal fatto che i truffatori hanno accesso ai tuoi dati. Non sorprende, in questo caso, hanno bisogno del tuo nome, del tuo numero di cellulare e, in alcuni casi, di alcuni altri dettagli. Non è ancora chiaro quali siano i meccanismi esatti, ma una recente indagine sulla scheda madre suggerisce che si stanno evolvendo sia le precauzioni di sicurezza che le tecniche per aggirarle.

Un paio di anni fa, i truffatori avrebbero trovato le informazioni della vittima in un database trapelato e avrebbero chiamato il corriere. Rappresenterebbero la vittima affermando di aver perso la carta SIM. Direbbero di averne un altro e richiederebbero il porting del numero. Allora, i protocolli di sicurezza dei corrieri erano meno che perfetti. Il rappresentante del servizio clienti richiederebbe il numero di previdenza sociale o l'indirizzo di casa della vittima, gli hacker lo fornirebbero e il corriere porterebbe felicemente il numero sulla carta SIM sbagliata.

Molte persone sono state gravemente bruciate e, per evitare ulteriori problemi, i fornitori di servizi mobili non hanno avuto altra scelta che aggiornare i meccanismi di autenticazione. Il gioco si è sporcato. I truffatori hanno iniziato a corrompere i dipendenti del corriere che hanno aiutato a trasferire illegalmente i numeri di cellulare di un bel po 'di persone. Anche i lavoratori corrotti hanno ricevuto un bel po 'di soldi per la loro cooperazione - tra $ 80 e $ 100 per vittima.

A cosa serve lo scambio SIM?

Le forze dell'ordine stanno prendendo sul serio lo scambio di SIM e le agenzie sono state sulla scia di un gruppo di criminali che hanno frodato parecchie persone usando questa tecnica. Il mese scorso, hanno arrestato il ventenne Joel Ortiz che presumibilmente ha dirottato i numeri di cellulare di circa 40 persone. Il 17 agosto, Xzavier Narvaez, che ha solo 19 anni, è stato interrogato per un'operazione di scambio SIM su larga scala. Fondamentalmente, hai adolescenti che mettono le mani sul numero di telefono di qualcun altro. Sfortunatamente, i risultati sono molto più gravi di alcune telefonate.

Qualche tempo fa, fornitori di servizi online come Google hanno iniziato a lasciarti aggiungere il tuo numero di telefono al tuo account. Non è insignificante tracciamento e raccolta dati. L'idea è che se perdi l'accesso al tuo profilo, Google sarà in grado di verificarti tramite un messaggio di testo o una chiamata al numero che hai fornito. Lo stesso meccanismo esatto di recupero dell'account viene ora abusato dagli swapper della SIM.

Quando dirottano con successo il numero di telefono, i truffatori devono agire rapidamente perché prima di tagliare la vittima, il corriere invia una notifica di testo relativa alla scheda SIM aggiornata. Secondo i rapporti, gli swapper della SIM utilizzano il numero sequestrato per accedere all'e-mail della vittima e quindi ripristinano le password per altri account online. Si muovono abbastanza rapidamente e non lasciano quasi il tempo di reagire. Poiché i truffatori ricevono tutti i messaggi e le chiamate della vittima, l'autenticazione a due fattori viene spesso ignorata.

Gli swapper SIM non prendono di mira solo nessuno, però. L'indagine di Motherboard ha riferito di un vivace mercato online in cui account Instagram rubati con maniglie interessanti come "@Rainbow" sono acquistati e venduti per centinaia e talvolta migliaia di dollari.

A proposito di Instagram, il già citato Xzavier Narvaez ha fatto ciò che farebbe qualsiasi diciannovenne: ha usato la piattaforma di condivisione delle immagini per mostrare al mondo quanto è costosa la sua nuova supercar. Le forze dell'ordine sospettano che potrebbe averlo acquistato con bitcoin che ha rubato dopo che la SIM ha scambiato i numeri di telefono di alcuni trader di criptovaluta di alto profilo. Ad aprile, uno di questi trader che si chiamava Michael Terpin ha intentato una causa contro AT&T sostenendo che a causa delle scarse pratiche di sicurezza del vettore, è caduto vittima di un attacco di scambio SIM che gli è costato più di $ 20 milioni di criptovaluta.

I truffatori si stanno innamorando sempre più di uno scambio di SIM che, va detto, non è certo una sorpresa. Il rapporto tra competenze richieste e potenziali guadagni è ottimo per loro, ed è palesemente ovvio che i fornitori di servizi mobili non stanno facendo abbastanza per contrastare gli attacchi. Spero che questo cambi presto.