SIM swap como serviço: preços anunciados, intermediários internos e o que um número sequestrado desbloqueia
Um SIM swap transfere um número de celular para um chip controlado por outra pessoa. O Departamento de Justiça dos EUA descreve o esquema sem rodeios: os invasores tomam o controle do número da vítima, vinculam-no a um SIM próprio, e as chamadas e mensagens de texto da vítima - inclusive os códigos de uso único - passam a chegar a um aparelho que ela nunca vê. O que começou como trabalho sob medida para tomada de contas virou um serviço listado em fóruns underground, com tabelas de preços por operadora, revendedores e recrutadores que colocam infiltrados nas equipes de suporte das operadoras.
O que um número sequestrado desbloqueia
Um número de telefone é a chave de recuperação de quase tudo ligado a ele. Quem intercepta códigos SMS geralmente consegue entrar em caixas de e-mail, contas bancárias e de corretoras e em qualquer serviço que trate um código recebido por mensagem como prova de identidade. O Internet Crime Complaint Center do FBI registrou 320 denúncias de SIM swap entre janeiro de 2018 e dezembro de 2020, com prejuízos ajustados de cerca de 12 milhões de dólares; só em 2021 foram 1.611 denúncias, com prejuízos ajustados acima de 68 milhões de dólares. O alerta público do órgão cita expressamente o suborno de funcionários de operadoras entre os métodos usados, junto com phishing e malware. O teto é alto. Em janeiro de 2024, invasores usaram um número sequestrado para tomar a conta da SEC, o regulador do mercado americano, no X e publicar uma aprovação falsa de ETF de bitcoin, segundo a empresa de inteligência de ameaças Intel 471. E a estimativa de dano que a Europol atribuiu a um único número sequestrado na operação de 2021 - mais de 100 mil euros - ajuda a explicar por que o mercado underground cobra o serviço em valores de quatro dígitos.Preços anunciados, por operadora
Segundo o relatório de abril de 2024 da Intel 471, serviços de SIM swap são anunciados abertamente em fóruns underground e canais de Telegram. Um ator oferecia swaps em contas da AT&T, T-Mobile e Verizon por 2.500 dólares por número e dizia contar com um infiltrado em uma empresa americana que não identificou. Outro vendedor, cobrindo AT&T, O2, Sprint, T-Mobile e Verizon, focava em alvos de criptomoedas e pedia taxas a partir de 5.000 dólares por conta. Um terceiro anunciava operadoras americanas a partir de 2.000 dólares. Segundo o relatório, o preço depende da operadora, do valor das contas do alvo e, sobretudo, da existência de um infiltrado em posição. São afirmações de vendedores, não capacidade verificada - mas o volume de ofertas e os compradores recorrentes indicam um comércio ativo.O mercado dos infiltrados
Do lado da oferta, o SIM swap deixa de ser golpe de consumo e começa a parecer aquisição. A reportagem de Brian Krebs em 2018 descrevia três métodos recorrentes: subornar ou chantagear atendentes de loja, funcionários ativos ou ex-funcionários que abusam de acesso a bancos de dados, e funcionários corruptos que enganam colegas desavisados para executar a troca. Um suborno de 400 dólares tenta o pessoal mal pago das lojas, anotava Krebs, e a T-Mobile reconheceu naquele ano três acessos não autorizados, um deles atingindo cerca de 2,5 milhões de clientes. Um detetive citado na mesma reportagem mencionou alegações sobre um 'software especializado' vendido em mercados da dark web com acesso disfarçado a um banco de dados de operadora - alegação nunca comprovada.«Enganar ou subornar funcionários de telecom ou abusar diretamente do acesso interno nas operadoras» - foi assim que a Europol descreveu os métodos do grupo por trás das prisões de 2021 pelos SIM swap de celebridadesO padrão chega aos balcões das operadoras. O relatório da Intel 471 documenta um funcionário de telecom de Nova Jersey que se declarou culpado em março de 2024 de acesso não autorizado a computadores, depois que investigadores afirmaram que recebeu 5.000 dólares em bitcoin para executar SIM swaps contra cinco vítimas em 2021, com um recrutador que supostamente prometeu uma fatia dos lucros. No mesmo mês, promotores acusaram um jovem da Flórida, então com 19 anos, apontado como autor de ao menos 800 mil dólares em criptomoedas por meio de números sequestrados, e um grupo acusado de usar documentos falsificados para fazer as trocas dentro de lojas das operadoras. O regulador americano agora escreve o risco interno em regra: a ordem da FCC de 2023 sobre fraude de SIM swap e portabilidade fala, literalmente, em 'atendentes de suporte complacentes, desatentos ou maliciosos'.
Um número de 20 milhões de dólares
A contabilidade mais clara do que custa um número vem de um único réu. Nicholas Truglia, então com 25 anos, declarou-se culpado por participar de um esquema de SIM swap em janeiro de 2018 que esvaziou a carteira de criptomoedas de uma vítima em mais de 20 milhões de dólares. Em dezembro de 2022, o Ministério Público federal para o distrito sul de Nova York anunciou que ele havia sido sentenciado a 18 meses de prisão, três anos de liberdade supervisionada, confisco de 983.010,72 dólares e indenização de 20.379.007 dólares. O investidor de tecnologia Michael Terpin, cujo número teria sido sequestrado na mesma onda, seguiu a via civil paralela: um tribunal arbitral teria concedido a ele, segundo relatos compilados no resumo da Wikipédia sobre fraudes de SIM swap, 23,8 milhões de dólares contra Truglia em 2019.Que defesa realmente funciona
Desde janeiro de 2024, as operadoras americanas cobertas pela ordem da FCC devem verificar a identidade do cliente de forma segura antes de transferir ou portar um número, avisar o cliente antes de efetuar a mudança e oferecer gratuitamente um bloqueio de portabilidade e de troca de SIM. As regras são um piso, não um escudo, e são posteriores à maioria dos casos acima. As mitigações práticas recomendadas pelo FBI não mudaram:- Peça à sua operadora um PIN de portabilidade ou bloqueio de transferência de número, e pergunte sobre proteção de eSIM onde for oferecido.
- Use um app autenticador, uma chave de segurança física ou biometria em vez de códigos SMS nas contas críticas.
- Nunca compartilhe códigos de uso único ou PINs de contas e evite divulgar criptoativos publicamente.
- Mantenha um número separado para contas críticas e não repasse a ninguém.