Νομίζεις ότι κάνεις όλες τις σωστές κινήσεις. Είστε έξυπνοι με την ασφάλειά σας. Έχετε ενεργοποιημένο τον έλεγχο ταυτότητας δύο παραγόντων σε όλους τους λογαριασμούς σας. Αλλά οι χάκερ έχουν έναν τρόπο να το παρακάμψουν: την ανταλλαγή SIM.
Είναι μια καταστροφική μέθοδος επίθεσης με τρομερές συνέπειες για όσους πέφτουν θύματα. Ευτυχώς, υπάρχουν τρόποι να προστατεύσετε τον εαυτό σας. Δείτε πώς λειτουργεί και τι μπορείτε να κάνετε.
Πίνακας περιεχομένων
Τι είναι μια επίθεση SIM-Swap;
Δεν υπάρχει τίποτα εγγενώς λάθος με την “ανταλλαγή SIM”. Εάν χάσετε ποτέ το τηλέφωνό σας, η εταιρεία κινητής τηλεφωνίας σας θα πραγματοποιήσει μια αλλαγή SIM και θα μετακινήσει τον αριθμό του κινητού σας τηλεφώνου σε μια νέα κάρτα SIM. Είναι μια εργασία ρουτίνας εξυπηρέτησης πελατών.
Το πρόβλημα είναι ότι οι χάκερ και οι οργανωμένοι εγκληματίες έχουν βρει πώς να ξεγελάσουν τις εταιρείες τηλεφωνίας για να πραγματοποιήσουν ανταλλαγή SIM. Στη συνέχεια, μπορούν να έχουν πρόσβαση σε λογαριασμούς που προστατεύονται από έλεγχο ταυτότητας δύο παραγόντων που βασίζεται σε SMS (2FA).
Ξαφνικά, ο αριθμός τηλεφώνου σας συσχετίζεται με το τηλέφωνο κάποιου άλλου. Στη συνέχεια, ο εγκληματίας λαμβάνει όλα τα μηνύματα κειμένου και τις τηλεφωνικές κλήσεις που προορίζονται για εσάς.
Ο έλεγχος ταυτότητας δύο παραγόντων σχεδιάστηκε ως απάντηση στο πρόβλημα των κωδικών πρόσβασης που διέρρευσαν. Πολλοί ιστότοποι αποτυγχάνουν να προστατεύσουν σωστά τους κωδικούς πρόσβασης. Χρησιμοποιούν κατακερματισμό και salting για να αποτρέψουν την ανάγνωση των κωδικών πρόσβασης στην αρχική τους μορφή από τρίτους.
Ακόμη χειρότερα, πολλοί άνθρωποι επαναχρησιμοποιούν κωδικούς πρόσβασης σε διαφορετικούς ιστότοπους. Όταν ένας ιστότοπος παραβιάζεται, ένας εισβολέας έχει πλέον όλα όσα χρειάζεται για να επιτεθεί σε λογαριασμούς σε άλλες πλατφόρμες, δημιουργώντας ένα εφέ χιονόμπαλας.
Για λόγους ασφαλείας, πολλές υπηρεσίες απαιτούν από τα άτομα να παρέχουν έναν ειδικό κωδικό πρόσβασης μίας χρήσης (OTP) κάθε φορά που συνδέονται σε έναν λογαριασμό. Αυτά τα OTP δημιουργούνται on the fly και ισχύουν μόνο μία φορά. Λήγουν επίσης μετά από σύντομο χρονικό διάστημα.
Για ευκολία, πολλοί ιστότοποι στέλνουν αυτά τα OTP στο τηλέφωνό σας με ένα μήνυμα κειμένου, το οποίο έχει τους δικούς του κινδύνους. Τι συμβαίνει εάν ένας εισβολέας μπορεί να αποκτήσει τον αριθμό τηλεφώνου σας, είτε κλέβοντας το τηλέφωνό σας είτε πραγματοποιώντας αλλαγή SIM; Αυτό δίνει σε αυτό το άτομο σχεδόν απεριόριστη πρόσβαση στην ψηφιακή σας ζωή, συμπεριλαμβανομένων των τραπεζικών και οικονομικών λογαριασμών σας.
Λοιπόν, πώς λειτουργεί μια επίθεση SIM-swap; Λοιπόν, εξαρτάται από το ότι ο εισβολέας θα εξαπατήσει έναν υπάλληλο τηλεφωνικής εταιρείας να μεταφέρει τον αριθμό τηλεφώνου σας σε μια κάρτα SIM που ελέγχει. Αυτό μπορεί να συμβεί είτε μέσω τηλεφώνου είτε αυτοπροσώπως σε ένα τηλεφωνικό κατάστημα.
Για να το πετύχει αυτό, ο εισβολέας πρέπει να γνωρίζει λίγα πράγματα για το θύμα. Ευτυχώς, τα μέσα κοινωνικής δικτύωσης είναι γεμάτα με βιογραφικά στοιχεία που είναι πιθανό να ξεγελάσουν μια ερώτηση ασφαλείας. Το πρώτο σας σχολείο, το κατοικίδιο ή η αγάπη σας και το πατρικό όνομα της μητέρας σας είναι πιθανό να βρεθούν στους λογαριασμούς κοινωνικής δικτύωσης. Φυσικά, αν αυτό αποτύχει, υπάρχει πάντα phishing.
Οι επιθέσεις ανταλλαγής SIM εμπλέκονται και είναι χρονοβόρες, γεγονός που τις καθιστά πιο κατάλληλες για στοχευμένες εισβολές εναντίον ενός συγκεκριμένου ατόμου. Είναι δύσκολο να τα βγάλεις σε κλίμακα. Ωστόσο, υπήρξαν ορισμένα παραδείγματα εκτεταμένων επιθέσεων ανταλλαγής SIM. Μια βραζιλιάνικη συμμορία οργανωμένου εγκλήματος ήταν μπορεί να ανταλλάξει SIM 5.000 θύματα σε σχετικά σύντομο χρονικό διάστημα.
Μια απάτη “port-out” είναι παρόμοια και περιλαμβάνει την πειρατεία του αριθμού τηλεφώνου σας με τη “μεταφορά” του σε μια νέα εταιρεία κινητής τηλεφωνίας.
Ποιος κινδυνεύει περισσότερο;
Λόγω της απαιτούμενης προσπάθειας, οι επιθέσεις ανταλλαγής SIM τείνουν να έχουν ιδιαίτερα θεαματικά αποτελέσματα. Το κίνητρο είναι σχεδόν πάντα οικονομικό.
Πρόσφατα, οι ανταλλαγές κρυπτονομισμάτων και τα πορτοφόλια ήταν δημοφιλείς στόχοι. Αυτή η δημοτικότητα επιδεινώνεται από το γεγονός ότι, σε αντίθεση με τις παραδοσιακές χρηματοοικονομικές υπηρεσίες, δεν υπάρχει αντιστροφή χρέωσης με το Bitcoin. Μόλις σταλεί, έχει φύγει.
Επιπλέον, οποιοσδήποτε μπορεί να δημιουργήσει ένα πορτοφόλι κρυπτονομισμάτων χωρίς να χρειάζεται να εγγραφεί σε τράπεζα. Είναι όσο πιο κοντά μπορείτε να φτάσετε στην ανωνυμία όσον αφορά τα χρήματα, γεγονός που διευκολύνει το ξέπλυμα κλεμμένων κεφαλαίων.
Ένα πολύ γνωστό θύμα που το έμαθε με τον δύσκολο τρόπο είναι Ο επενδυτής του Bitcoin, Michael Tarpin, ο οποίος έχασε 1.500 νομίσματα σε μια επίθεση ανταλλαγής SIM. Αυτό συνέβη λίγες εβδομάδες πριν το Bitcoin φτάσει στην υψηλότερη τιμή όλων των εποχών. Εκείνη την εποχή, τα περιουσιακά στοιχεία του Tarpin ήταν αξίας άνω των 24 εκατομμυρίων δολαρίων.
Όταν ο δημοσιογράφος του ZDNet, Μάθιου Μίλερ, έπεσε θύμα επίθεσης ανταλλαγής SIM, ο χάκερ προσπάθησε να αγοράσει Bitcoin αξίας 25.000 δολαρίων χρησιμοποιώντας την τράπεζά του. Ευτυχώς, η τράπεζα μπόρεσε να αντιστρέψει τη χρέωση προτού φύγουν τα χρήματα από τον λογαριασμό του. Ωστόσο, ο επιτιθέμενος κατάφερε να εξαφανίσει ολόκληρη τη διαδικτυακή ζωή του Μίλερ, συμπεριλαμβανομένων των λογαριασμών του στο Google και στο Twitter.
Μερικές φορές, ο σκοπός μιας επίθεσης ανταλλαγής SIM είναι να φέρει σε δύσκολη θέση το θύμα. Αυτό το σκληρό μάθημα πήρε ο ιδρυτής του Twitter και της Square, Jack Dorsey, στις 30 Αυγούστου 2019. Χάκερ υπέκυψε τον λογαριασμό του και δημοσίευσε ρατσιστικά και αντισημιτικά επιθέματα στη ροή του, την οποία ακολουθούν εκατομμύρια άνθρωποι.
Πώς ξέρετε ότι έχει γίνει μια επίθεση;
Το πρώτο σημάδι ενός λογαριασμού που αλλάζει SIM είναι ότι η κάρτα SIM χάνει όλες τις υπηρεσίες. Δεν θα μπορείτε να λαμβάνετε ή να στέλνετε μηνύματα κειμένου ή κλήσεις ή να έχετε πρόσβαση στο διαδίκτυο μέσω του προγράμματος δεδομένων σας.
Σε ορισμένες περιπτώσεις, ο πάροχος τηλεφώνου σας μπορεί να σας στείλει ένα μήνυμα κειμένου που θα σας ενημερώνει ότι πραγματοποιείται η ανταλλαγή, λίγα λεπτά πριν μεταφέρετε τον αριθμό σας στη νέα κάρτα SIM. Αυτό συνέβη στον Μίλερ:
«Στις 23:30 τη Δευτέρα 10 Ιουνίου, η μεγαλύτερη κόρη μου κούνησε τον ώμο μου για να με ξυπνήσει από έναν βαθύ ύπνο. Είπε ότι φαινόταν ότι ο λογαριασμός μου στο Twitter είχε χακαριστεί. Αποδεικνύεται ότι τα πράγματα ήταν πολύ χειρότερα από αυτό.
Αφού σηκώθηκα από το κρεβάτι, σήκωσα το Apple iPhone XS μου και είδα ένα μήνυμα κειμένου που έγραφε «Ειδοποίηση T-Mobile: Η κάρτα SIM για xxx-xxx-xxxx έχει αλλάξει. Εάν αυτή η αλλαγή δεν είναι εξουσιοδοτημένη, καλέστε το 611.»
Εάν εξακολουθείτε να έχετε πρόσβαση στον λογαριασμό email σας, μπορεί επίσης να αρχίσετε να βλέπετε περίεργη δραστηριότητα, συμπεριλαμβανομένων ειδοποιήσεων για αλλαγές λογαριασμού και ηλεκτρονικές παραγγελίες που δεν έχετε υποβάλει.
Πώς πρέπει να ανταποκριθείτε;
Όταν συμβαίνει μια επίθεση αντικατάστασης SIM, είναι σημαντικό να λαμβάνετε άμεσα, αποφασιστικά μέτρα για να αποτρέψετε τα πράγματα από το να επιδεινωθούν.
Αρχικά, καλέστε την τράπεζά σας και τις εταιρείες πιστωτικών καρτών και ζητήστε δέσμευση των λογαριασμών σας. Αυτό θα αποτρέψει τον εισβολέα από το να χρησιμοποιήσει τα χρήματά σας για δόλιες αγορές. Εφόσον πέσατε και εσείς ουσιαστικά θύμα κλοπής ταυτότητας, είναι επίσης συνετό να επικοινωνήσετε με τα διάφορα πιστωτικά γραφεία και να ζητήσετε πάγωμα της πίστωσής σας.
Στη συνέχεια, προσπαθήστε να «προλάβετε» τους εισβολείς μετακινώντας όσο το δυνατόν περισσότερους λογαριασμούς σε έναν νέο, ακάθαρτο λογαριασμό email. Αποσυνδέστε τον παλιό σας αριθμό τηλεφώνου και χρησιμοποιήστε ισχυρούς (και εντελώς νέους) κωδικούς πρόσβασης. Για τυχόν λογαριασμούς που δεν μπορείτε να επικοινωνήσετε εγκαίρως, επικοινωνήστε με την εξυπηρέτηση πελατών.
Τέλος, θα πρέπει να επικοινωνήσετε με την αστυνομία και να υποβάλετε αναφορά. Δεν μπορώ να το πω αρκετά—είσαι θύμα εγκλήματος. Πολλά ασφαλιστήρια συμβόλαια ιδιοκτήτη σπιτιού περιλαμβάνουν προστασία για κλοπή ταυτότητας. Η υποβολή μιας αστυνομικής αναφοράς μπορεί να σας επιτρέψει να υποβάλετε αξίωση κατά του συμβολαίου σας και να ανακτήσετε κάποια χρήματα.
Πώς να προστατεύσετε τον εαυτό σας από μια επίθεση
Φυσικά, η πρόληψη είναι πάντα καλύτερη από τη θεραπεία. Ο καλύτερος τρόπος προστασίας από επιθέσεις ανταλλαγής SIM είναι απλώς να μην χρησιμοποιείτε το 2FA που βασίζεται σε SMS. Ευτυχώς, υπάρχουν μερικές συναρπαστικές εναλλακτικές.
Μπορείτε να χρησιμοποιήσετε ένα πρόγραμμα ελέγχου ταυτότητας που βασίζεται σε εφαρμογές, όπως το Google Authenticator. Για άλλο επίπεδο ασφάλειας, μπορείτε να επιλέξετε να αγοράσετε ένα διακριτικό φυσικού ελέγχου ταυτότητας, όπως το YubiKey ή το Google Titan Key.
Εάν πρέπει οπωσδήποτε να χρησιμοποιήσετε 2FA που βασίζεται σε κείμενο ή κλήσεις, θα πρέπει να εξετάσετε το ενδεχόμενο να επενδύσετε σε μια ειδική κάρτα SIM που δεν χρησιμοποιείτε πουθενά αλλού. Μια άλλη επιλογή είναι να χρησιμοποιήσετε έναν αριθμό Google Voice, αν και αυτός δεν είναι διαθέσιμος στις περισσότερες χώρες.
Δυστυχώς, ακόμα κι αν χρησιμοποιείτε 2FA που βασίζεται σε εφαρμογές ή ένα φυσικό κλειδί ασφαλείας, πολλές υπηρεσίες θα σας επιτρέψουν να τα παρακάμψετε και να αποκτήσετε ξανά πρόσβαση στον λογαριασμό σας μέσω ενός μηνύματος κειμένου που αποστέλλεται στον αριθμό τηλεφώνου σας. Υπηρεσίες όπως η Google Advanced Protection προσφέρουν περισσότερη αλεξίσφαιρη ασφάλεια για άτομα που κινδυνεύουν να στοχοποιηθούν, «όπως δημοσιογράφους, ακτιβιστές, ηγέτες επιχειρήσεων και ομάδες πολιτικών εκστρατειών».