Что такое атака с заменой SIM-карты и как её предотвратить?

Атака с заменой SIM-карты происходит, когда злоумышленник убеждает вашего оператора мобильной связи перевести ваш номер на SIM-карту, которую он контролирует. Ваши звонки и текстовые сообщения, включая коды двухфакторной аутентификации (2FA), начинают поступать к нему, и он использует этот доступ для сброса паролей и опустошения счетов. ФБР зафиксировало более 68 миллионов долларов США убытков от замены SIM-карт в 2021 году.

Как злоумышленники выбирают свои цели

Замена SIM-карты требует усилий, поэтому злоумышленники выбирают жертв, которые кажутся стоящими этих усилий. Часто целями становятся люди, которые публикуют информацию о своих криптовалютах, делятся скриншотами балансов или известны публично как работающие в этой сфере. Утёкшие базы данных, связывающие номера телефонов с именами, адресами и датами рождения, предоставляют злоумышленникам детали, которые нужны, чтобы выдать себя за кого-то в телефонном разговоре. Если держать номер в тайне, не публиковать информацию о том, сколько у вас средств, и использовать отдельный номер для финансовых счетов, вы станете менее привлекательной целью.

Почему номер телефона — такое слабое звено

Номер телефона никогда не предназначался для подтверждения личности, однако многие сервисы используют его именно так: для отправки кодов входа, сброса паролей и подтверждения того, что звонящий является владельцем аккаунта. Сам номер при этом контролируется оператором мобильной связи и может быть переведён на другую SIM-карту через процесс обслуживания клиентов. Любой, кто сможет убедить или подкупить кого-то внутри этого процесса, может получить ваш номер, даже не прикасаясь к вашему телефону. Каждый аккаунт, который доверяет вашему номеру, начинает доверять и злоумышленнику.

Как происходит атака

1. Сбор информации: злоумышленник собирает ваше имя, номер телефона и персональные данные из утечек, социальных сетей или с помощью фишинга.
2. Замена: он связывается с вашим оператором, выдавая себя за вас, или работает с подкупленным сотрудником и просит перевести ваш номер на новую SIM-карту.
3. Захват контроля: ваш телефон теряет сигнал. Злоумышленник запрашивает сброс паролей и SMS-коды для ваших почтовых, брокерских и банковских аккаунтов.
4. Кража: он меняет пароли и выводит средства раньше, чем вы это замечаете.

В период с 2018 по 2020 год центр приёма жалоб ФБР получил 320 заявлений о заменах SIM-карт с убытками около 12 миллионов долларов США. Только в 2021 году поступило 1 611 заявлений с убытками более 68 миллионов долларов США.

Рисунок: четыре этапа атаки с заменой SIM-карты.

Сотрудники изнутри и eSIM

Не каждая замена начинается с убедительного звонка. Некоторые преступники платят сотрудникам операторов или магазинов за перевод номеров, что полностью обходит контрольные вопросы безопасности. Распространение eSIM, которые можно переносить между устройствами в цифровом виде, создаёт ещё один путь атаки, если онлайн-аккаунт оператора или процесс переноса защищены недостаточно надёжно. Оба этих фактора говорят о необходимости защищать собственный аккаунт у оператора, а не только телефон.

Тревожные признаки

• На вашем телефоне внезапно появляется надпись «Нет сети» или «Только SOS» там, где обычно есть сигнал.
• Вы получаете сообщения о замене SIM-карты или переводе номера, которых не запрашивали.
• Вы получаете письма о сбросе пароля, которые не запрашивали.

Если это произошло, немедленно свяжитесь с оператором с другого телефона, а затем защитите свою электронную почту и финансовые аккаунты. См. как восстановить взломанный аккаунт криптовалюты.

Первый час после подозрения на замену

Скорость здесь имеет решающее значение, так как злоумышленники часто действуют в течение минут после получения номера. Действуйте немедленно при первом тревожном признаке.

1. Позвоните оператору с другого телефона и попросите отменить изменение и заблокировать ваш номер. По возможности попросите связать вас с отделом мошенничества или безопасности.
2. Сначала защитите электронную почту с доверенного устройства: смените пароль, завершите все сеансы и проверьте, не изменялись ли настройки восстановления.
3. Заблокируйте счета на биржах: смените пароли, заморозьте выводы средств, если биржа предлагает такую опцию, и свяжитесь со службой поддержки через официальный сайт.
4. Проверьте недавнюю активность на финансовых счетах и ищите новые адреса для вывода, ключи API или правила пересылки в вашей почте.
5. Зафиксируйте инцидент письменно у своего оператора связи и в полиции; в Соединённых Штатах Центр жалоб на интернет-преступления ФБР принимает сообщения на ic3.gov.

Защитные меры оператора, которые стоит запросить

Большинство операторов предлагает ту или иную комбинацию следующих мер: PIN-код для переноса номера или смены SIM-карты, который должен быть предоставлен до того, как номер можно будет перенести; пароль от аккаунта, необходимый для изменений в магазинах или по телефону; и опцию блокировки номера от любого переноса. Названия различаются в зависимости от оператора и страны, поэтому уточните конкретно, что мешает перенести ваш номер или заменить вашу SIM-карту без вашего ведома. Запишите PIN-код и храните его отдельно от телефона. Некоторые операторы также позволяют добавить к аккаунту примечание, требующее дополнительной проверки при любых изменениях, или отправлять уведомления по электронной почте, когда запрашивается замена SIM-карты. Включение этих опций даёт вам возможность среагировать до того, как злоумышленник сможет использовать ваш номер, и часто именно это отличает испуг от реальной потери.

Как предотвратить

• Откажитесь от SMS для 2FA в аккаунтах криптоактивов и электронной почты. Используйте приложение-аутентификатор, аппаратный ключ безопасности или passkey. См. приложение-аутентификатор и SMS.
• Добавьте PIN-код для переноса номера или блокировку аккаунта у своего мобильного оператора.
• Удалите свой номер телефона из способов восстановления доступа, где это возможно.
• Ограничьте персональные данные, доступные в интернете, особенно номер телефона и дату рождения.
• Используйте белый список адресов (whitelist) для выводов на биржах, чтобы украденный доступ не позволил отправить средства куда угодно. См. что такое белый список адресов криптоактивов.

Для дополнительных мер защиты прочитайте, как составить порядок действий по безопасности криптоактивов.

Эта статья носит образовательный характер и не является инвестиционной, финансовой, юридической или налоговой консультацией. Цифровые активы волатильны, и вы можете потерять вложенные средства.

Часто задаваемые вопросы

Могут ли провести подмену SIM-карты в отношении меня, если я использую приложение-аутентификатор?

Могут получить контроль над вашим номером телефона, но не получат коды из вашего аутентификатора, которые хранятся на вашем устройстве. Опасность исходит от аккаунтов, которые всё ещё принимают SMS для входа или восстановления доступа, поэтому удаление вашего номера из этих настроек закрывает уязвимость.

Возместит ли мой оператор убытки от подмены SIM-карты?

Операторы редко покрывают убытки от криптоактивов, а транзакции в блокчейне нельзя отменить. Профилактика, то есть блокировка номера и отказ от защиты на основе SMS, намного эффективнее, чем попытки вернуть средства впоследствии.

Источники

• Преступники наращивают схемы подмены SIM-карт (320 жалоб и около 12 миллионов долларов США в 2018–2020 гг.; 1 611 жалоб и более 68 миллионов долларов США в 2021 г.; меры предосторожности) — FBI IC3, февраль 2022
• ФБР: 68 миллионов долларов США потеряно в результате атак подмены SIM-карт в 2021 г. (злоумышленники звонят операторам; обходят MFA) — The Record