SIM swap come servizio: prezzi pubblicizzati, intermediari interni e cosa sblocca un numero dirottato
Un SIM swap sposta un numero di cellulare su una SIM controllata da qualcun altro. Il Dipartimento di Giustizia USA descrive lo schema senza giri di parole: gli attaccanti prendono il controllo del numero della vittima, lo associano a una SIM propria, e chiamate e messaggi della vittima - compresi i codici monouso - finiscono su un dispositivo che la vittima non vede mai. Quello che nasceva come lavoro su misura per la takeover di account è diventato un servizio in catalogo sui forum underground, con listini per operatore, rivenditori e reclutatori che piazzano infiltrati nei team di assistenza degli operatori.
Cosa sblocca un numero dirottato
Un numero di telefono è la chiave di recupero di quasi tutto ciò che vi è collegato. Chi intercetta i codici SMS in genere entra nelle caselle di posta, nei conti bancari e degli exchange e in ogni servizio che tratta un codice via messaggio come prova d'identità. L'Internet Crime Complaint Center dell'FBI ha registrato 320 segnalazioni di SIM swap tra gennaio 2018 e dicembre 2020, con perdite rettificate di circa 12 milioni di dollari; solo nel 2021 ha ricevuto 1.611 segnalazioni con perdite rettificate oltre i 68 milioni di dollari. L'avviso pubblico dell'ufficio cita espressamente la corruzione di dipendenti degli operatori tra i metodi usati, insieme a phishing e malware. Il tetto è alto. A gennaio 2024 attaccanti hanno usato un numero dirottato per prendere il controllo dell'account X della SEC, l'autorità di mercato USA, e pubblicare una falsa approvazione di un ETF bitcoin, secondo la società di threat intelligence Intel 471. E la stima di danno che Europol ha attribuito a un solo numero dirottato nell'operazione del 2021 - più di 100.000 euro - spiega perché il mercato underground prezza il lavoro a quattro cifre.Prezzi pubblicizzati, per operatore
Secondo il briefing di aprile 2024 di Intel 471, i servizi di SIM swap sono pubblicizzati apertamente su forum underground e canali Telegram. Un attore offriva swap su account AT&T, T-Mobile e Verizon a 2.500 dollari a numero e dichiarava di lavorare con un infiltrato in una società americana mai nominata. Un altro venditore, che copriva AT&T, O2, Sprint, T-Mobile e Verizon, puntava su bersagli nel mondo crypto e quotava tariffe da 5.000 dollari a account. Un terzo pubblicizzava operatori USA a partire da 2.000 dollari. Il prezzo dipenderebbe dall'operatore, dal valore dei conti del bersaglio e, soprattutto, dalla presenza di un infiltrato in posizione. Sono affermazioni di venditori, non capacità verificate - ma il volume delle offerte e gli acquirenti abituali suggeriscono un commercio attivo.Il mercato degli infiltrati
Sul lato dell'offerta, il SIM swap smette di essere una truffa al consumatore e inizia a somigliare a un approvvigionamento. Il servizio di Brian Krebs del 2018 descriveva tre metodi ricorrenti: corrompere o ricattare dipendenti dei negozi, personale attuale o ex che abusa di accessi ai database, e dipendenti disonesti che traggono in inganno colleghi fiduciosi per farsi fare la sostituzione. Una bustarella di 400 dollari tenta il personale sottopagato dei punti vendita, notava Krebs, e T-Mobile riconobbe quell'anno tre accessi non autorizzati, uno dei quali riguardante circa 2,5 milioni di clienti. Un detective citato nello stesso servizio menzionava affermazioni su un 'software specializzato' venduto sui mercati dark web con accesso posteriore a un database di operatore - un'affermazione mai provata.«Ingannare o corrompere dipendenti delle telecom o abusare direttamente degli accessi interni degli operatori»: così Europol descriveva i metodi della banda dietro gli arresti del 2021 per i SIM swap alle celebritàLo schema arriva fino agli sportelli degli operatori. Il briefing di Intel 471 documenta un dipendente telecom del New Jersey che nel marzo 2024 si è dichiarato colpevole di accesso informatico non autorizzato, con gli inquirenti secondo cui ha ricevuto 5.000 dollari in bitcoin per eseguire SIM swap su cinque vittime nel 2021, con un reclutatore che gli avrebbe promesso una quota dei profitti. Nello stesso mese i procuratori hanno incriminato un allora diciannovenne della Florida, a cui attribuiscono almeno 800.000 dollari in criptovalute tramite numeri dirottati, e un gruppo accusato di usare documenti falsi per fare le sostituzioni direttamente nei negozi degli operatori. Il regolatore USA ora scrive il rischio interno nelle regole: l'ordine della FCC del 2023 su frodi da SIM swap e portabilità parla testualmente di «dipendenti dell'assistenza clienti compiacenti, distratti o malintenzionati».
Un numero da 20 milioni di dollari
Il quadro contabile più nitido del costo di un numero arriva da un solo imputato. Nicholas Truglia, allora 25 anni, si è dichiarato colpevole di aver partecipato a uno schema di SIM swap nel gennaio 2018 che ha svuotato il wallet crypto di una vittima per oltre 20 milioni di dollari. A dicembre 2022 la procura federale per il distretto meridionale di New York ha annunciato che è stato condannato a 18 mesi di prigione, tre anni di libertà vigilata, confisca per 983.010,72 dollari e restituzione per 20.379.007 dollari. L'investitore tecnologico Michael Terpin, il cui numero sarebbe stato dirottato nella stessa ondata, ha seguito la parallela via civile: un collegio arbitrale gli avrebbe riconosciuto, secondo i resoconti raccolti nella panoramica Wikipedia sulle frodi da SIM swap, 23,8 milioni di dollari da Truglia nel 2019.Quale difesa funziona davvero
Da gennaio 2024 gli operatori USA coperti dall'ordine della FCC devono verificare in modo sicuro l'identità del cliente prima di trasferire o portare un numero, avvisare il cliente prima di eseguire il cambio e offrire gratuitamente un blocco di portabilità e di cambio SIM. Le regole sono un minimo, non uno scudo, e sono posteriori alla maggior parte dei casi sopra citati. Le mitigazioni pratiche raccomandate dall'FBI restano invariate:- Richiedi al tuo operatore un PIN di portabilità o un blocco del trasferimento del numero, e chiedi della protezione eSIM dove è prevista.
- Usa un'app di autenticazione, una chiave di sicurezza fisica o la biometria invece dei codici SMS per gli account critici.
- Non condividere mai codici monouso o PIN degli account ed evita di rendere pubblici i tuoi asset crypto.
- Tieni un numero separato per gli account critici e non darlo a nessuno.