O que é um ataque de troca de SIM e como evitá-lo?

Um ataque de troca de SIM acontece quando um criminoso convence a sua operadora de telefonia móvel a transferir o seu número para um cartão SIM que ele controla. As suas chamadas e mensagens de texto, incluindo códigos 2FA, passam então a ir para ele, e ele usa esse acesso para redefinir senhas e esvaziar contas. O FBI registrou mais de US$ 68 milhões em perdas por trocas de SIM em 2021.

Como os atacantes escolhem seus alvos

A troca de SIM exige esforço, por isso os atacantes escolhem vítimas que pareçam valer a pena. Pessoas que publicam sobre suas criptomoedas, compartilham capturas de tela de saldos ou são publicamente conhecidas por atuar no setor são alvos frequentes. Bases de dados vazadas que associam números de telefone a nomes, endereços e datas de nascimento fornecem aos atacantes os detalhes de que precisam para se passar por alguém em uma ligação. Manter seu número privado, evitar publicações sobre quanto você possui e usar um número separado para contas financeiras tornam você um alvo menos atraente.

Por que o número de telefone é um elo tão fraco

Um número de telefone nunca foi projetado para comprovar identidade, mas muitos serviços o usam dessa forma: para enviar códigos de login, redefinir senhas e confirmar que quem liga é o titular da conta. O número em si, porém, é controlado por uma operadora de telefonia móvel e pode ser transferido para outro cartão SIM por meio de um processo de atendimento ao cliente. Qualquer pessoa que consiga persuadir ou pagar alguém dentro desse processo pode assumir o seu número sem nunca tocar no seu telefone. Toda conta que confia no seu número passa, então, a confiar também no atacante.

Como o ataque funciona

1. Pesquisa: o atacante reúne seu nome, número de telefone e dados pessoais a partir de vazamentos, redes sociais ou phishing.
2. A troca: ele entra em contato com sua operadora fingindo ser você, ou trabalha com um funcionário corrupto, e pede que seu número seja transferido para um novo SIM.
3. Tomada de controle: seu telefone perde o sinal. O atacante solicita redefinições de senha e códigos SMS para suas contas de e-mail, de corretoras e bancárias.
4. Roubo: ele altera as senhas e retira fundos antes que você perceba.

De 2018 a 2020, o centro de denúncias do FBI recebeu 320 queixas de trocas de SIM, com perdas de cerca de US$ 12 milhões. Somente em 2021 recebeu 1.611, com perdas superiores a US$ 68 milhões.

Figura: As quatro etapas de um ataque de troca de SIM.

Funcionários internos e eSIMs

Nem toda troca começa com uma ligação convincente. Alguns criminosos pagam funcionários de operadoras ou de lojas para transferir números, o que contorna totalmente as perguntas de segurança. A disseminação dos eSIMs, que podem ser transferidos entre dispositivos digitalmente, acrescenta outra via caso a conta online da operadora ou o processo de transferência sejam pouco protegidos. Ambos são motivos para blindar a própria conta na operadora, e não apenas o seu telefone.

Sinais de alerta

• Seu telefone passa a mostrar de repente “Sem serviço” ou “Somente SOS” onde normalmente tem sinal.
• Você recebe mensagens sobre uma troca de SIM ou transferência de número que não solicitou.
• Você recebe e-mails de redefinição de senha que não pediu.

Se isso acontecer, entre em contato com sua operadora imediatamente a partir de outro telefone e, em seguida, proteja seu e-mail e suas contas financeiras. Veja como recuperar uma conta de criptomoedas invadida.

A primeira hora após uma suspeita de troca

A rapidez é essencial, pois os atacantes costumam agir em minutos após assumir o número. Aja imediatamente ao primeiro sinal de alerta.

1. Ligue para sua operadora a partir de outro telefone e peça que revertam a alteração e bloqueiem seu número. Se possível, peça para falar com a equipe de fraudes ou de segurança.
2. Proteja primeiro seu e-mail, a partir de um dispositivo confiável: altere a senha, encerre todas as sessões e verifique se as configurações de recuperação foram modificadas.
3. Bloqueie as contas em corretoras: altere as senhas, congele os saques, se a corretora oferecer essa opção, e entre em contato com o suporte pelo site oficial.
4. Revise a atividade recente nas contas financeiras e procure novos endereços de saque, chaves de API ou regras de encaminhamento no seu e-mail.
5. Registre a ocorrência junto à sua operadora por escrito e à polícia; nos Estados Unidos, o Centro de Denúncias de Crimes na Internet do FBI aceita relatos em ic3.gov.

Proteções da operadora que vale a pena solicitar

A maioria das operadoras oferece alguma combinação de: um PIN de portabilidade ou de transferência, que deve ser fornecido antes de um número poder ser movido; uma senha de conta exigida para alterações em lojas ou por telefone; e a opção de bloquear o número contra qualquer transferência. Os nomes variam conforme a operadora e o país, por isso pergunte especificamente o que impede que seu número seja movido ou que seu chip seja substituído sem você. Anote o PIN e guarde-o em um lugar diferente do seu telefone. Algumas operadoras também permitem adicionar uma observação à sua conta exigindo verificação extra para qualquer alteração, ou enviar alertas por e-mail quando uma troca de chip for solicitada. Ativar essas opções dá a você a chance de reagir antes que um invasor consiga usar seu número, o que muitas vezes é a diferença entre um susto e uma perda.

Como prevenir

• Deixe de usar SMS para 2FA em contas de criptoativos e e-mail. Use um aplicativo autenticador, chave de segurança ou passkey. Veja aplicativo autenticador vs SMS.
• Adicione um PIN de portabilidade ou um bloqueio de conta com sua operadora móvel.
• Remova seu número de telefone como método de recuperação sempre que possível.
• Limite os dados pessoais expostos online, especialmente seu número de telefone e data de nascimento.
• Use uma lista de endereços permitidos (whitelist) para saques nas exchanges, para que um acesso roubado não consiga enviar fundos para qualquer lugar. Veja o que é uma whitelist de endereços de criptoativos.

Para mais proteções, leia como montar uma rotina de segurança para criptoativos.

Este artigo é conteúdo educacional e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Ativos digitais são voláteis e você pode perder o valor que investir.

Perguntas frequentes

Alguém pode fazer um SIM swap comigo se eu usar um aplicativo autenticador?

Podem, sim, ficar com o seu número de telefone, mas não receberão seus códigos do autenticador, que ficam no seu dispositivo. O perigo vem de contas que ainda aceitam SMS para login ou recuperação, então remover seu número dessas configurações fecha a brecha.

Minha operadora vai ressarcir perdas de um SIM swap?

As operadoras raramente cobrem perdas com criptoativos, e transferências em uma blockchain não podem ser revertidas. A prevenção, bloqueando seu número e deixando a segurança baseada em SMS, é muito mais eficaz do que tentar recuperar os fundos depois.

Fontes

• Criminosos aumentam esquemas de SIM swap (320 queixas e cerca de US$ 12 milhões em 2018–2020; 1.611 e mais de US$ 68 milhões em 2021; precauções) — FBI IC3, fevereiro de 2022
• FBI: US$ 68 milhões perdidos em ataques de SIM swapping em 2021 (invasores ligam para operadoras; contornam MFA) — The Record