Ataki z wymianą karty SIM - kradzież wszystkiego - od bitcoinów po konta na Instagramie

Często widzisz i słyszysz ludzi porównujących hasło do klucza fizycznego. Chociaż oczywiste jest, skąd pochodzą podobieństwa, istnieje kilka różnic. Na przykład bez klucza nie można odblokować drzwi. Dostęp do konta bez hasła jest jednak możliwy, a wszystko to dzięki atakowi zwanemu zamianą karty SIM.

Co to jest zamiana karty SIM?

Znany również jako przejmowanie karty SIM lub oszustwo polegające na przeniesieniu karty, można śmiało powiedzieć, że ma jedną z bardziej opisowych nazw. Chodzi o przejęcie numeru telefonu komórkowego ofiary i użycie go z inną kartą SIM. Wymiana kart SIM istnieje już od kilku lat i chociaż nie zyskała jeszcze dużej uwagi głównego nurtu mediów, wydaje się, że zyskuje ona na popularności, zwłaszcza, jak się przekonamy za chwilę, z młodymi cyberprzestępcami.

Jak to wszystko działa?

Wymiana kart SIM jest rodzajem kradzieży tożsamości i, jak powinieneś wiedzieć, kradzież tożsamości jest możliwa dzięki temu, że oszuści mają dostęp do twoich danych. Nic dziwnego, że w tym przypadku potrzebują Twojego imienia i nazwiska, numeru telefonu komórkowego, a w niektórych przypadkach kilku innych szczegółów. Nadal nie jest jasne, jakie są dokładne mechanizmy, ale ostatnie dochodzenie w sprawie płyty głównej sugeruje, że ewoluują zarówno środki bezpieczeństwa, jak i techniki ich obchodzenia.

Kilka lat temu oszuści znaleźli informacje ofiary w wyciekłej bazie danych i zadzwonili do przewoźnika. Podszywają się pod ofiarę, twierdząc, że zgubili kartę SIM. Powiedzieliby, że mają inny, i prosili o przeniesienie numeru. Wówczas protokoły bezpieczeństwa przewoźników były mniej niż idealne. Przedstawiciel działu obsługi klienta poprosi o numer ubezpieczenia społecznego ofiary lub adres domowy, hakerzy go podadzą, a przewoźnik chętnie przeniesie numer na niewłaściwą kartę SIM.

Sporo osób zostało poważnie poparzonych i aby uniknąć dalszych problemów, dostawcy usług mobilnych nie mieli innego wyboru, jak zaktualizować mechanizmy uwierzytelniania. Gra się ubrudziła. Oszuści zaczęli przekupywać pracowników przewoźników, którzy pomagali nielegalnie przenosić numery telefonów komórkowych kilku osób. Zepsuci robotnicy dostali także sporo gotówki za współpracę - od 80 do 100 USD na ofiarę.

Do czego służy zamiana karty SIM?

Organy ścigania traktują poważnie zamianę kart SIM, a agencje podążają śladem grupy przestępców, którzy oszukali wiele osób korzystających z tej techniki. W zeszłym miesiącu aresztowali 20-letniego Joela Ortiza, który rzekomo porwał numery telefonów komórkowych około 40 osób. 17 sierpnia Xzavier Narvaez, który ma zaledwie 19 lat, został wezwany na przesłuchanie w sprawie operacji wymiany kart SIM na dużą skalę. Zasadniczo masz nastolatki, które dostają numer telefonu innej osoby. Niestety, wyniki są znacznie poważniejsze niż kilka próbnych dowcipów.

Jakiś czas temu dostawcy usług internetowych, tacy jak Google, zaczęli pozwalać na dodawanie numeru telefonu do konta. Śledzenie i zbieranie danych nie jest bez znaczenia. Chodzi o to, że jeśli kiedykolwiek utracisz dostęp do swojego profilu, Google będzie w stanie Cię zweryfikować za pomocą wiadomości SMS lub połączenia z podanym numerem. Ten sam mechanizm odzyskiwania konta jest obecnie wykorzystywany przez osoby zmieniające karty SIM.

Gdy uda im się przejąć numer telefonu, oszuści muszą działać szybko, ponieważ przed odcięciem ofiary przewoźnik wysyła powiadomienie SMS o zaktualizowanej karcie SIM. Według raportów osoby dokonujące zamiany kart SIM używają przejętego numeru, aby uzyskać dostęp do wiadomości e-mail ofiary, a następnie zajmują się resetowaniem haseł do innych kont internetowych. Poruszają się dość szybko i prawie nie pozostawiają czasu na reakcję. Ponieważ oszuści otrzymują wszystkie wiadomości i połączenia ofiary, często pomijane jest uwierzytelnianie dwuskładnikowe.

Jednak użytkownicy kart SIM nie są skierowani tylko do nikogo. Dochodzenie płyty głównej dotyczyło tętniącego życiem rynku internetowego, na którym skradzione konta na Instagramie z interesującymi uchwytami, takimi jak „@Rainbow”, są kupowane i sprzedawane za setki, a czasem tysiące dolarów.

Mówiąc o Instagramie, wspomniany wcześniej Xzavier Narvaez zrobił to, co zrobiłby każdy 19-latek - wykorzystał platformę udostępniania zdjęć, aby pokazać światu, jak drogi jest jego nowy supersamochód. Funkcjonariusze organów ścigania podejrzewają, że mógł go kupić za bitcoiny, które ukradł po zamianie karty SIM na numery telefonów kilku znanych handlowców kryptowalut. W kwietniu jeden z takich handlowców o nazwisku Michael Terpin złożył pozew przeciwko AT&T, twierdząc, że z powodu złych praktyk bezpieczeństwa przewoźnika padł ofiarą ataku polegającego na zamianie karty SIM, który kosztował go ponad 20 milionów dolarów kryptowaluty.

Oszuści coraz bardziej zakochują się w zamianie kart SIM, co, trzeba powiedzieć, nie jest zaskoczeniem. Stosunek wymaganych umiejętności do potencjalnych korzyści jest dla nich świetny i oczywiste jest, że dostawcy usług mobilnych nie robią wystarczająco dużo, aby udaremnić ataki. Mam nadzieję, że wkrótce to się zmieni.