SIM swap als dienst: geadverteerde prijzen, insider-makelaars en wat een gekaapt nummer ontgrendelt
Een SIM swap verplaatst een mobiel telefoonnummer naar een simkaart die iemand anders beheert. Het Amerikaanse ministerie van Justitie beschrijft de opzet ronduit: aanvallers nemen de controle over het nummer van een slachtoffer, koppelen het aan een eigen sim, en de gesprekken en sms'jes van het slachtoffer - inclusief eenmalige codes - komen terecht op een apparaat dat het slachtoffer nooit ziet. Wat begon als maatwerk voor accountovernames is een gecatalogiseerde dienst geworden op undergroundforums, met prijslijsten per provider, wederverkopers en recruiters die insiders plaatsen bij de klantenservice van providers.
Wat een gekaapt nummer ontgrendelt
Een telefoonnummer is de herstelsleutel van vrijwel alles wat eraan hangt. Wie sms-codes onderschept, komt doorgaans binnen in mailboxen, bank- en beursaccounts en elke dienst die een code per sms als identiteitsbewijs telt. Het Internet Crime Complaint Center van de FBI telde 320 SIM swap-meldingen tussen januari 2018 en december 2020, met gecorrigeerde verliezen van zo'n 12 miljoen dollar; alleen al in 2021 ontving het 1.611 meldingen met gecorrigeerde verliezen boven de 68 miljoen dollar. De publieke waarschuwing van het bureau noemt het omkopen van medewerkers van providers expliciet als gebruikte methode, naast phishing en malware. Het plafond ligt hoog. In januari 2024 namen aanvallers met een gekaapt nummer het X-account van de SEC, de Amerikaanse effectentoezichthouder, over en plaatsten een vals bericht over goedkeuring van een bitcoin-ETF, aldus dreigingsintelligentiebedrijf Intel 471. En de schade-inschatting die Europol koppelde aan één gekaapt nummer bij de actie van 2021 - meer dan 100.000 euro - verklaart waarom de undergroundmarkt deze klussen op vier cijfers prijst.Geadverteerde prijzen, per provider
Volgens de briefing van Intel 471 uit april 2024 worden SIM swap-diensten openlijk aangeboden op undergroundforums en in Telegram-kanalen. Eén acteur bood swaps op AT&T-, T-Mobile- en Verizon-accounts voor 2.500 dollar per nummer en zei te werken met een insider bij een Amerikaans bedrijf dat hij niet bij naam noemde. Een andere verkoper, met AT&T, O2, Sprint, T-Mobile en Verizon in het pakket, richtte zich op cryptodoelen en hanteerde tarieven vanaf 5.000 dollar per account. Een derde adverteerde Amerikaanse providers vanaf 2.000 dollar. De prijs zou afhangen van de provider, de waarde van de accounts van het doelwit en vooral van de vraag of er al een insider zit. Dit zijn claims van verkopers, geen geverifieerde capaciteit - maar het volume aan aanbod en de terugkerende kopers wijzen op actieve handel.De insidermarkt
Aan de aanbodkant houdt SIM swap op consumentenfraude te zijn en begint het op inkoop te lijken. Brian Krebs beschreef in 2018 drie terugkerende methoden: winkelmedewerkers omkopen of afpersen, huidige of voormalige medewerkers die database-toegang misbruiken, en corrupte medewerkers die argeloze collega's overhalen de wissel uit te voeren. Een steekpenning van 400 dollar verleidt slecht betaald winkelpersoneel, schreef Krebs, en T-Mobile gaf dat jaar drie ongeautoriseerde toegangen toe, waarvan één met zo'n 2,5 miljoen klanten. Een detective die in hetzelfde stuk wordt geciteerd noemde claims over 'gespecialiseerde software' die op darkwebmarkten wordt verkocht en achterdeurtoegang tot een providerdatabase zou geven - een bewering die nooit is onderbouwd.«Telecommedewerkers misleiden of omkopen of intern toegang bij providers direct misbruiken» - zo omschreef Europol de methoden van de bende achter de arrestaties in 2021 rond de SIM swaps van beroemdhedenHet patroon loopt door tot in de kantoren van providers. De briefing van Intel 471 documenteert een telecommedewerker uit New Jersey die in maart 2024 schuld bekende aan ongeautoriseerde computertoegang, nadat onderzoekers stelden dat hij 5.000 dollar in bitcoin kreeg om in 2021 SIM swaps op vijf slachtoffers uit te voeren, met een recruiter die hem naar verluidt een deel van de winst beloofde. In dezelfde maand verdachten aanklagers een toen negentienjarige Floridaan van ten minste 800.000 dollar aan crypto via gekaapte nummers, en een groep die met vervalste identiteitsbewijzen de wissels in winkels van providers zou hebben uitgevoerd. De Amerikaanse toezichthouder schrijft het insiderrisico inmiddels in regels voor: de FCC-ordening van 2023 over SIM swap- en porteringfraude spreekt letterlijk van 'toegeeflijke, onoplettende of kwaadwillende medewerkers van de klantenservice'.
Een nummer van 20 miljoen dollar
De helderste kostenberekening komt van één verdachte. Nicholas Truglia, toen 25, bekende schuld aan deelname aan een SIM swap-regeling in januari 2018 die de cryptowallet van een slachtoffer met meer dan 20 miljoen dollar leeghaalde. In december 2022 maakte het federale parket voor het zuidelijke district van New York bekend dat hij tot 18 maanden gevangenis werd veroordeeld, naast drie jaar toezicht, 983.010,72 dollar aan verbeurdverklaring en 20.379.007 dollar aan schadevergoeding. Technologiebelegger Michael Terpin, wiens nummer in dezelfde golf zou zijn gekaapt, volgde het parallelle civiele spoor: een arbitragepaneel zou hem volgens de overzichten in het Wikipedia-artikel over SIM-swapfraude in 2019 23,8 miljoen dollar van Truglia toekennen.Welke verdediging echt werkt
Sinds januari 2024 moeten Amerikaanse providers die onder de FCC-ordening vallen de identiteit van de klant veilig verifiëren voordat een nummer wordt overgezet of geporteerd, de klant vóór uitvoering informeren en gratis een portering- en simwisselslot aanbieden. De regels zijn een vloer, geen schild, en dateren van na de meeste zaken hierboven. De praktische maatregelen die de FBI aanraadt zijn onveranderd:- Vraag je provider om een portering-pin of nummeroverdrachtslot, en informeer naar eSIM-bescherming waar die wordt aangeboden.
- Gebruik een authenticator-app, een fysieke beveiligingssleutel of biometrie in plaats van sms-codes voor kritieke accounts.
- Deel nooit eenmalige codes of account-pins en maak je cryptobezit niet publiekelijk bekend.
- Houd een apart nummer voor kritieke accounts en geef het aan niemand.