SIM-Swap als Service: beworbene Preise, Insider-Vermittler und was eine gekaperte Rufnummer freischaltet
Ein SIM-Swap verlagert eine Rufnummer auf eine SIM-Karte, die jemand anderer kontrolliert. Das US-Justizministerium beschreibt das Schema nüchtern: Angreifer übernehmen die Kontrolle über die Nummer eines Opfers, verknüpfen sie mit einer eigenen SIM, und Anrufe und SMS des Opfers - inklusive Einmalpasswörtern - landen auf einem Gerät, das das Opfer nie zu Gesicht bekommt. Was einmal maßgeschneiderte Account-Übernahme war, hat sich zu einer gelisteten Dienstleistung in Untergrund-Foren entwickelt, komplett mit Preislisten je Mobilfunkanbieter, Wiederverkäufern und Anwerbern, die Insider in die Support-Teams der Mobilfunker platzieren.
Was eine gekaperte Nummer freischaltet
Eine Rufnummer ist der Wiederherstellungsschlüssel für nahezu alles, was daran hängt. Wer SMS-Passcodes abfängt, kann in der Regel in E-Mail-Postfächer, Bank- und Börsenkonten und jeden Dienst eindringen, der einen SMS-Code als Identitätsnachweis behandelt. Das Internet Crime Complaint Center des FBI verzeichnete zwischen Januar 2018 und Dezember 2020 320 SIM-Swap-Beschwerden mit bereinigten Verlusten von rund 12 Millionen Dollar; allein 2021 waren es 1.611 Beschwerden mit bereinigten Verlusten von über 68 Millionen Dollar. Die Warnung des Büros nennt die Bestechung von Netzbetreiber-Mitarbeitern ausdrücklich unter den angewandten Methoden, neben Phishing und Malware. Die Obergrenze ist hoch. Im Januar 2024 nahmen Angreifer mit einer gekaperten Nummer das Konto der US-Börsenaufsicht SEC auf X über und verbreiteten eine gefälschte Bitcoin-ETF-Freigabe, wie das Threat-Intelligence-Unternehmen Intel 471 berichtet. Und die Schadensschätzung, die Europol einer einzigen gekaperten Nummer in seiner Festnahmeaktion 2021 zuordnete - mehr als 100.000 Euro - erklärt, warum der Untergrundmarkt Swaps im vierstelligen Bereich berechnet.Beworbene Preise je Anbieter
Laut Intel 471s Briefing vom April 2024 werden SIM-Swap-Dienste offen in Untergrund-Foren und Telegram-Kanälen angeboten. Ein Akteur bot Swaps für AT&T-, T-Mobile- und Verizon-Konten für 2.500 Dollar pro Nummer an und gab an, über einen Insider bei einem namentlich nicht genannten US-Unternehmen zu arbeiten. Ein anderer Verkäufer, der AT&T, O2, Sprint, T-Mobile und Verizon abdeckte, zielte auf Kryptowährungs-Opfer und nannte Gebühren ab 5.000 Dollar pro Konto. Ein dritter bot US-Anbieter ab 2.000 Dollar. Die Preise sollen dem Bericht zufolge vom Anbieter, vom Wert der Zielkonten und vor allem davon abhängen, ob ein Insider bereits in Position ist. Das sind Behauptungen der Verkäufer, keine überprüfte Leistungsfähigkeit - aber das Volumen der Angebote und die wiederkehrenden Käufer deuten auf einen aktiven Handel hin.Der Insider-Markt
Auf der Angebotsseite hört der SIM-Swap auf, ein Konsumentenbetrug zu sein, und beginnt wie Beschaffung auszusehen. Brian Krebs' Berichterstattung 2018 beschrieb drei wiederkehrende Methoden: Bestechung oder Erpressung von Ladenangestellten, aktuelle oder frühere Mitarbeiter, die Datenbankzugriffe missbrauchen, und krumme Angestellte, die ahnungslose Kollegen zur Durchführung des Swaps überlisten. Ein Bestechungsgeld von 400 Dollar verleitet schlecht bezahltes Ladenpersonal, so Krebs, und T-Mobile räumte in jenem Jahr drei unbefugte Zugriffe ein, einer davon mit rund 2,5 Millionen betroffenen Kunden. Ein in dem Bericht zitierter Detective erwähnte Angaben über 'spezialisierte Software' aus Darknet-Märkten mit Backdoor-Zugriff auf eine Netzbetreiber-Datenbank - eine Behauptung, die nie belegt wurde.„Mitarbeiter von Telekomunternehmen täuschen oder bestechen oder den internen Zugriff bei Betreibern direkt missbrauchen“ - so beschrieb Europol die Methoden der Bande hinter den Festnahmen zu den Celebrity-SIM-Swaps 2021Das Muster reicht bis in die Büros der Netzbetreiber. Intel 471s Briefing dokumentiert einen Telecom-Mitarbeiter aus New Jersey, der im März 2024 wegen unbefugten Computerzugangs schuldig plädierte, nachdem Ermittler angaben, er habe 5.000 Dollar in Bitcoin erhalten, um 2021 SIM-Swaps an fünf Opfern durchzuführen; ein Anwerber soll ihm einen Anteil am Gewinn versprochen haben. Im selben Monat klagten Staatsanwälte einen damals 19-jährigen Floridianer an, dem sie mindestens 800.000 Dollar in Kryptowährung über gekaperte Nummern anlasten, sowie eine Bande, die angeblich mit gefälschten Ausweisen Swaps direkt in Ladengeschäften der Anbieter durchführte. Die US-Aufsicht schreibt das Insider-Risiko inzwischen in Regelwerke: In der FCC-Ordnung von 2023 zu SIM-Swap- und Portierungs fraud ist wörtlich von 'wohlwollenden, nachlässigen oder bösartigen Kundendienstmitarbeitern' die Rede.
Eine 20-Millionen-Dollar-Nummer
Die klarste Kostenrechnung liefert ein einzelner Angeklagter. Nicholas Truglia, damals 25, plädierte schuldig, an einem SIM-Swap-Schema im Januar 2018 beteiligt gewesen zu sein, das die Kryptowallet eines Opfers um mehr als 20 Millionen Dollar leerte. Im Dezember 2022 gab die Bundesstaatsanwaltschaft für den südlichen Bezirk New York bekannt, dass er zu 18 Monaten Haft, drei Jahren überwachter Freiheit, 983.010,72 Dollar Einziehung und 20.379.007 Dollar Wiedergutmachung verurteilt wurde. Der Technologieinvestor Michael Terpin, dessen Nummer in derselben Welle angeblich gekapert wurde, ging den parallelen zivilen Weg: Ein Schiedsgremium sprach ihm Berichten zufolge 23,8 Millionen Dollar gegen Truglia zu, laut der Wikipedia-Übersicht zum SIM-Swap-Betrug, die die Gerichts- und Schiedsakten zusammenstellt.Was als Schutz wirklich greift
Seit Januar 2024 müssen von der FCC-Ordnung erfasste US-Anbieter die Identität eines Kunden sicher prüfen, bevor eine Nummer übertragen oder portiert wird, den Kunden vor der Durchführung benachrichtigen und eine kostenlose Portierungs- und SIM-Wechselsperre anbieten. Die Regeln sind eine Untergrenze, kein Schild, und sie wurden nach den meisten der obigen Fälle eingeführt. Die praktischen Gegenmaßnahmen, die das FBI empfiehlt, bleiben unverändert:- Richten Sie bei Ihrem Anbieter eine Portierungs-PIN oder eine Nummern-Transfersperre ein und fragen Sie nach eSIM-Schutz, wo er angeboten wird.
- Nutzen Sie für wichtige Konten eine Authenticator-App, einen Hardware-Schlüssel oder Biometrie statt SMS-Codes.
- Teilen Sie Einmalpasswörter oder Konto-PINs niemals und machen Sie Ihre Kryptobestände nicht öffentlich.
- Halten Sie eine separate Nummer für kritische Konten und geben Sie sie an niemanden weiter.