wyłudzenie duplikatu karty SIM

Wyłudzenie duplikatu karty SIM (SIM swap) to przeniesienie numeru telefonu ofiary na kartę SIM w rękach sprawcy przez oszukanie operatora komórkowego. FBI opisuje je jako technikę, w której przestępcy biorą na cel operatorów, żeby dostać się do kont bankowych, kont z kryptowalutami i innych wrażliwych informacji ofiar ^[1]. Od chwili wydania duplikatu SMS-y i połączenia na numer ofiary trafiają do sprawcy, a telefon ofiary traci zasięg sieci. Sekurak opisuje zjawisko jako nielegalne wyrobienie duplikatu karty SIM ofiary ^[3].

Jak działa

Sam duplikat karty SIM nie daje dostępu do konta. Jest ostatnim ogniwem: pozwala odebrać kody jednorazowe wysyłane SMS-em i przeprowadzić reset hasła przez numer telefonu. W opisanych przez Niebezpiecznika polskich przypadkach z 2018 roku sprawcy potrzebowali także loginu i hasła ofiary do banku, zdobywanych wcześniej przez złośliwe oprogramowanie, phishing albo keyloggery ^[2].

Przebieg typowego ataku pokazuje schemat poniżej.

RYS. 1Wyłudzenie duplikatu karty SIM

Odmiany

FBI wyróżnia trzy sposoby przejęcia numeru ^[1].

W Polsce opisywane przypadki dotyczyły wizyt w fizycznych salonach. Niebezpiecznik podaje, że sprawcy posługiwali się podrobionymi dokumentami, a w jednym przypadku podrobionym upoważnieniem notarialnym, i wybierali salony w innym mieście niż miejsce zamieszkania ofiary ^[2]. To odmiana kradzieży tożsamości.

W WordPressie

Dla właściciela strony WordPress wyłudzenie duplikatu karty SIM jest groźne pośrednio. Numer telefonu administratora bywa kluczem do skrzynki pocztowej, konta u rejestratora domen, panelu hostingu i bramki płatności. Mechanizm „Zapomniałeś hasła?” w WordPressie wysyła link resetu na adres e-mail przypisany do konta ^[6]. Kto przejmie numer, a przez niego pocztę, może więc przejąć także konto administratora strony. Skutkiem jest przejęcie konta bez znajomości żadnego hasła do samego WordPressa.

Rdzeń WordPressa nie ma wbudowanego drugiego składnika logowania. Dokumentacja zaleca włączenie uwierzytelniania dwuetapowego jako dodatkowego zabezpieczenia obok silnego hasła ^[7]. Wtyczka Two Factor, rozwijana w katalogu WordPress.org i mająca ponad 100 tysięcy aktywnych instalacji, oferuje kody z aplikacji uwierzytelniającej (TOTP), kody wysyłane e-mailem i kody zapasowe ^[5]. Nie ma w niej metody SMS ^[5], więc drugi składnik nie zależy od numeru telefonu. Uwierzytelnianie dwuskładnikowe oparte na kodach SMS jest natomiast podatne właśnie na SIM swap ^[4].

Zagrożenia i skutki

FBI odnotowało od stycznia 2018 do grudnia 2020 roku 320 skarg dotyczących SIM swap ze stratami około 12 milionów dolarów ^[1]. W samym 2021 roku skarg było 1611, a straty przekroczyły 68 milionów dolarów ^[1]. W polskich przypadkach z 2018 roku straty poszczególnych ofiar sięgały kilkuset tysięcy złotych ^[2].

NIST w wytycznych SP 800-63B zalicza wysyłanie kodów przez publiczną sieć telefoniczną do uwierzytelniaczy o ograniczonym zaufaniu (RESTRICTED) ^[4]. Weryfikator powinien przed wysłaniem kodu brać pod uwagę sygnały ryzyka, takie jak wymiana urządzenia, zmiana karty SIM i przeniesienie numeru ^[4]. Organizacja, która przyjmuje taki uwierzytelniacz, powinna zaoferować co najmniej jedną alternatywę bez tego ograniczenia ^[4].

Jak się bronić

FBI zaleca osobom prywatnym między innymi, by nie ujawniały publicznie informacji o swoich aktywach finansowych ani danych osobowych, nie podawały danych logowania przez telefon, używały unikatowych haseł, reagowały na utratę zasięgu sieci i stosowały silne uwierzytelnianie wieloskładnikowe, na przykład biometrię albo tokeny sprzętowe ^[1]. Operatorom zaleca szkolenie pracowników i ścisłą weryfikację tożsamości przy wymianie karty ^[1].

Dla administratora strony oznacza to kilka kroków:

• drugi składnik logowania przez aplikację TOTP, passkey albo klucz FIDO2, a nie SMS;
• zabezpieczenie skrzynki pocztowej administratora tak samo mocno jak panelu WordPressa, bo przez nią idzie reset hasła ^[6];
• unikatowe hasła w menedżerze haseł, żeby przejęcie jednego konta nie otwierało pozostałych;
• natychmiastowy kontakt z operatorem i bankiem, gdy telefon nagle traci zasięg ^[2].

Pokrewne środki to uwierzytelnianie wieloskładnikowe odporne na phishing i zastrzeżenie numeru PESEL.

Historia i przykłady

Polskie banki, 2018. Niebezpiecznik 24 lipca 2018 roku opisał serię kradzieży z kont klientów kilku banków, w tym mBanku i BZWBK, po wyłudzeniu duplikatów kart SIM ^[2]. W jednym z opisanych przypadków wyłudzenie duplikatu nastąpiło w fizycznym salonie w innym mieście niż miejsce zamieszkania ofiary ^[2].

Gdańsk, 2019. Sekurak 28 września 2019 roku opisał sprawę mieszkanki Gdańska, która straciła 275 tysięcy złotych ^[3]. Sprawcy wyrobili duplikat karty SIM na podstawie podrobionego dokumentu i zresetowali hasło do banku ^[3]. Pieniądze trafiły na konto słupa, gdzie zajął je komornik ^[3].