Zamena SIM-aSIM Swapping

Opis

Šteta dolazi kroz sadržaj. Kodovi za potvrdu koji se šalju SMS-om i resetovanja lozinki preko SMS-a, sada stižu napadaču. On zahteva reset lozinke na tvojoj elektronskoj pošti, banci, kripto novčaniku — primi kod porukom — i preuzme nalog. Na udaru su naročito vlasnici kriptovaluta i visokoprofilne mete. Slaba tačka nije uređaj, nego površna provera identiteta kod operatera.

Odbrana počiva na tome da se SMS poruke ne koriste kao drugi faktor autentifikacije. Aplikacije-autentikatori ili hardverski ključevi (FIDO2) ne zavise od broja telefona. Kod operatera vredi postaviti PIN ili zaključavanje prenosa broja (zaštita od „port-out“-a). Broj telefona ne treba javno vezivati za osetljive naloge. I jedno upozorenje: iznenadni gubitak signala bez razloga može da znači da je prenos broja u toku.

Primeri

• Napadač sa procurelim podacima zove operatera, prijavljuje izgubljenu SIM karticu, dobija i preuzima novu. Preko SMS MFA isprazni kripto novčanik.
• Ciljani rukovodilac: broj se prenosi na napadačevu karticu, kodovi za reset elektronske pošte se presreću, nalog preuzet.
• Telefon iznenada pokazuje nema mreže tamo gde bi moralo da je bude — mogući znak da je prenos broja već u toku.

Napomene

• Napada operatera i broj, ne telefon — bezbednost samog uređaja ovde ne pomaže.
• Najjači argument protiv SMS potvrde: aplikacija i hardverski ključ ne zavise od broja telefona, pa ih SIM zamena ne dotiče.