SIM swap jako usługa: ogłaszane ceny, pośrednicy od środka i co odblokowuje przejęty numer
SIM swap przenosi numer telefonu komórkowego na kartę SIM kontrolowaną przez kogoś innego. Amerykańskie Ministerstwo Sprawiedliwości opisuje schemat wprost: napastnicy przejmują kontrolę nad numerem ofiary, przypinają go do własnej karty SIM, a rozmowy i SMS-y ofiary - łącznie z jednorazowymi kodami - trafiają na urządzenie, którego ofiara nigdy nie zobaczy. To, co zaczynało się jako szyte na miarę przejmowanie kont, stało się usługą z cennikami na podziemnych forach: stawki według operatorów, odsprzedawcy i rekruterzy, którzy umieszczają ludzi od środka w działach wsparcia sieci komórkowych.
Co odblokowuje przejęty numer
Numer telefonu to klucz odzyskiwania do niemal wszystkiego, co jest do niego podpięte. Kto przechwytuje kody z SMS-ów, zwykle wejdzie do skrzynek pocztowych, kont bankowych i giełdowych oraz do każdej usługi, która traktuje kod z wiadomości jako dowód tożsamości. Internet Crime Complaint Center FBI odnotowało 320 zgłoszeń SIM swap od stycznia 2018 do grudnia 2020, ze skorygowanymi stratami rzędu 12 milionów dolarów; sam w 2021 r. wpłynęło 1 611 zgłoszeń ze skorygowanymi stratami ponad 68 milionów dolarów. Publiczne ostrzeżenie urzędu wprost wymienia przekupywanie pracowników operatorów wśród stosowanych metod, obok phishingu i malware. Sufit jest wysoki. W styczniu 2024 r. napastnicy za pomocą przejętego numeru przejęli konto amerykańskiego regulatora SEC na platformie X i opublikowali fałszywą zgodę na ETF bitcoinowy - donosi firma Intel 471, zajmująca się analizą zagrożeń. A szacunek szkody, który Europol przypisał jednemu przejętemu numerowi w operacji z 2021 r. - ponad 100 tysięcy euro - wyjaśnia, dlaczego podziemny rynek wycenia tę usługę kwotami czterocyfrowymi.Ogłaszane ceny według operatorów
Według opracowania Intel 471 z kwietnia 2024 r. usługi SIM swap są otwarcie reklamowane na podziemnych forach i kanałach Telegrama. Jeden sprzedawca oferował swapy dla numerów AT&T, T-Mobile i Verizon po 2 500 dolarów i twierdził, że działa przez człowieka w nienazwanej amerykańskiej firmie. Inny, obejmujący AT&T, O2, Sprint, T-Mobile i Verizon, celował w posiadaczy kryptowalut i podawał stawki od 5 000 dolarów za konto. Trzeci reklamował amerykańskich operatorów od 2 000 dolarów. Cena miałaby zależeć od operatora, wartości kont celu, a przede wszystkim od tego, czy człowiek od środka już jest. To twierdzenia sprzedawców, nie zweryfikowane możliwości - ale skala ofert i powracający klienci wskazują na czynny handel.Rynek ludzi od środka
Po stronie podaży SIM swap przestaje być oszustwem konsumenckim, a zaczyna przypominać zaopatrzenie. Brian Krebs opisał w 2018 r. trzy powtarzalne metody: przekupywanie lub szantażowanie pracowników salonów, obecnych albo byłych pracowników nadużywających dostępu do baz danych oraz nieuczciwych pracowników, którzy wprawią w błąd niczego niepodejrzewających współpracowników, by wykonali przeniesienie. Łapówka 400 dolarów kusi słabo opłacany personel salonów, zauważał Krebs, a T-Mobile przyznało w tamtym roku trzy nieautoryzowane dostępy, z czego jeden obejmował około 2,5 miliona klientów. Cytowany w tej samej relacji detektyw wspominał twierdzenia o 'wyspecjalizowanym oprogramowaniu' z rynków darknetu, mającym dawać backdoorowy dostęp do bazy operatora - twierdzenie, którego nigdy nie potwierdzono.«Wprowadzanie w błąd lub przekupywanie pracowników telekomów albo bezpośrednie nadużywanie wewnętrznego dostępu u operatorów» - tak Europol opisał metody grupy stojącej za aresztowaniami z 2021 r. w sprawie SIM swapów celebrytówSchemat sięga biur operatorów. Opracowanie Intel 471 dokumentuje pracownika telekomów z New Jersey, który w marcu 2024 r. przyznał się do nieautoryzowanego dostępu do komputerów - według śledczych miał dostać 5 000 dolarów w bitcoinach za wykonanie SIM swapów na pięciu ofiarach w 2021 r., a rekruter miał mu obiecać udział w zyskach. W tym samym miesiącu prokuratorzy postawili zarzuty wówczas 19-letniemu mieszkańcowi Florydy, przypisując mu co najmniej 800 tysięcy dolarów w kryptowalutach przez przejęte numery, oraz grupie oskarżanej o używanie podrobionych dokumentów do wykonywania przeniesień w salonach operatorów. Amerykański regulator zapisuje dziś ryzyko od środka w przepisach: rozporządzenie FCC z 2023 r. o oszustwach SIM swap i portingu mówi dosłownie o 'ustępliwych, nieuważnych lub złośliwych pracownikach obsługi klienta'.
Numer wart 20 milionów dolarów
Najjaśniejsze rozliczenie kosztów numeru daje sprawa jednego oskarżonego. Nicholas Truglia, wówczas 25-letni, przyznał się do udziału w schemacie SIM swap ze stycznia 2018 r., który opróżnił kryptowallet ofiary o ponad 20 milionów dolarów. W grudniu 2022 r. federalna prokuratura dla południowego dystryktu Nowego Jorku ogłosiła, że został skazany na 18 miesięcy więzienia, trzy lata dozoru, przepadek 983 010,72 dolara i restytucję 20 379 007 dolarów. Inwestor technologiczny Michael Terpin, którego numer miał zostać przejęty w tej samej fali, wybrał równoległą drogę cywilną: według relacji zebranych w przeglądzie Wikipedii o oszustwach SIM swap trybunał arbitrażowy przyznał mu w 2019 r. 23,8 miliona dolarów od Trugli.Jaka obrona naprawdę działa
Od stycznia 2024 r. objęci rozporządzeniem FCC amerykańscy operatorzy muszą bezpiecznie weryfikować tożsamość klienta przed przeniesieniem lub portowaniem numeru, powiadamiać klienta przed wykonaniem zmiany i bezpłatnie oferować blokadę portingu i wymiany SIM. Przepisy to podłoga, nie tarcza, i powstały po większości opisanych wyżej spraw. Praktyczne zabezpieczenia zalecane przez FBI pozostają bez zmian:- Ustaw u operatora PIN portowania lub blokadę przeniesienia numeru, a tam gdzie jest oferowana, zapytaj o ochronę eSIM.
- Do krytycznych kont używaj aplikacji uwierzytelniającej, fizycznego klucza albo biometrii zamiast kodów z SMS.
- Nigdy nie przekazuj jednorazowych kodów ani PIN-ów do kont i nie chwal się publicznie kryptowalutami.
- Trzymaj osobny numer do krytycznych kont i nikomu go nie podawaj.