SMS és SIM biztonság: Hogyan működnek a SIM-csere támadások

2024 januárjában eltérítették a SEC hivatalos X (Twitter) fiókját. A Bitcoin ETF jóváhagyásáról szóló hamis bejegyzés dollármilliárdokkal mozgatta meg a piacokat. A támadás vektora? Egy SIM-csere – a támadó meggyőzött egy szolgáltatót, hogy vigye át a SEC telefonszámát a SIM-kártyájára, majd a fiók jelszavának visszaállítására használta azt.

A telefonszáma nem csak egy módja annak, hogy elérje Önt. Ez egy vázkulcs az e-mailekhez, bankszámlákhoz, kriptopénztárcákhoz és közösségi médiához. És megdöbbentően könnyű ellopni.

A SIM-csere támadások működése

A SIM-csere támadás a személyazonosság-lopás egyik formája, amikor egy támadó átveszi az Ön telefonszámát. Íme a folyamat:

1. lépés: Személyes adatok gyűjtése

A támadó gyűjti az Ön személyes adatait – név, cím, születési dátum, SSN utolsó négy számjegye – adatvédelmi incidensekről, közösségi médiáról vagy adatközvetítői oldalakról. Ez az információ gyakran elegendő a szolgáltató biztonsági kérdéseinek átadásához.

2. lépés: Lépjen kapcsolatba a szolgáltatóval

A támadó felhívja a mobilszolgáltatóját (vagy felkeres egy üzletet), és kiadja magát. Azt állítják, hogy elvesztették a telefonjukat, vagy új SIM-kártyára van szükségük. Az összegyűjtött személyes adatok felhasználásával átmennek a személyazonosság-ellenőrzésen.

3. lépés: Vegye át a számot

A szolgáltató átviszi az Ön számát a támadó SIM-kártyájára. Azonnal elveszíti a szolgáltatást. A támadó mostantól megkapja az összes hívását és szöveges üzenetét – beleértve a SMS-ellenőrző kódokat.

Innentől a támadó SMS-alapú jelszó-helyreállítással visszaállítja az Ön e-mail-, bank- és kriptofiókjainak jelszavait. A teljes folyamat kevesebb mint 30 percet vesz igénybe.

SMS-elfogási módszerek

A SIM-kártya cseréje nem az egyetlen módja annak, hogy az SMS-t rontsuk. A támadóknak több eszközük is van:

SS7 protokoll kihasználása

SS7 (Signaling System 7) a telefonhálózatokat globálisan összekötő protokoll. 1975-ben tervezték zéró biztonsággal. Azok a támadók, akik hozzáférnek az SS7 hálózathoz (gyakran korrupt távközlési alkalmazottakon keresztül vagy hozzáférés megvásárlása révén):

• SMS-üzenetek elfogása valós időben
• Telefonok helyének nyomon követése globálisan
• Hívások átirányítása különböző számokra

2017-ben a bűnözők SS7 támadásokat használtak a német bankszámlák kiürítésére SMS 2FA kódok lehallgatásával. Ez nem elméleti – nagy léptékben történik.

Rosszindulatú program a telefonon

A mobil rosszindulatú programok közvetlenül a telefonjáról képesek olvasni a bejövő SMS-eket. Néhány változat:

• SMS-engedélyek kérése a telepítés során
• Hamis képernyők lefedése banki alkalmazásokon
• Az üzeneteket csendben továbbítsa a támadónak

Hamis bázisállomások (IMSI Catcherek)

Az olyan eszközök, mint a Stingrays, mobiltornyokat adnak ki, és a közeli telefonokat kényszerítik a csatlakozásra. A csatlakozás után a támadó elfoghatja a hívásokat és az SMS-eket. Ezek az eszközök mindössze 1000 dollárba kerülnek, és nyílt forráskódú szoftverrel is megépíthetők.

Miért nem elég biztonságos az SMS 2FA

Sok szolgáltatás alapértelmezés szerint továbbra is SMS-t használ a kétfaktoros hitelesítéshez. Íme, miért veszélyes ez:

• SMS is not encrypted — messages travel in plaintext across the carrier network
• A SIM-kártya cseréje egyszerű – a szolgáltatókat beperelték cseretámadások hanyagságáért
Az
• SS7 meghibásodott – és nem javítható a teljes globális telefoninfrastruktúra cseréje nélkül
• A helyreállítási kódok SMS-re mennek – még ha hitelesítő alkalmazást is használ, a fiók helyreállítása gyakran SMS-re megy vissza

A NIST (az Egyesült Államok Nemzeti Szabványügyi és Technológiai Intézete) 2016 óta javasolja az SMS-alapú hitelesítés mellőzését. Ennek ellenére a legtöbb bank továbbra is csak SMS-t kínál.

Az alternatíva? Authenticator alkalmazások (Google Authenticator, Authy) vagy hardver biztonsági kulcsok (YubiKey). Olvassa el teljes 2FA útmutatónkat a beállítási utasításokért.

Valós SIM-csere tokok

SEC Twitter Hack (2024)

SIM-csere révén eltérítették az Egyesült Államok Értékpapír- és Tőzsdefelügyeletének X számláját. Egy hamis Bitcoin ETF jóváhagyási bejegyzést tettek közzé, ami hatalmas piaci volatilitást okozott.

400 millió dolláros titkosítási lopás (2023)

Egy koordinált SIM-csere támadás a kriptobefektetőket célozta, kiürítve az SMS 2FA által védett pénztárcákat. Az FBI letartóztatta a gyűrűt, de a legtöbb pénz nem került vissza.

Jack Dorsey Twittere (2019)

A Twitter saját vezérigazgatójának fiókját SIM-csere révén eltérítették. Ha egy technológiai vállalat vezérigazgatója nincs biztonságban, senki sem.

Hogyan védheti meg magát

1. Állítson be PIN-kódot szolgáltatói fiókjában

Hívja fel szolgáltatóját, és állítson be egy PIN-kódot vagy jelszót, amelyet meg kell adni a fiókmódosításokhoz. Ez az egyetlen legfontosabb lépés:

• T-Mobile: Fiók PIN-kódja a beállításokban
• AT&T: Extra biztonsági kód
• Verizon: Fiók PIN-kódja
• A legtöbb szolgáltató: Hívja az ügyfélszolgálatot biztonsági PIN-kód kéréséhez

2. Váltás a Hitelesítő alkalmazásokra

Cserélje le az SMS 2FA-t egy hitelesítő alkalmazásra, ahol csak lehetséges. A kódok az Ön eszközén generálódnak, és soha nem utaznak a hálózaton.

Ajánlott alkalmazások: Google Authenticator, Authy (felhőbeli biztonsági mentéssel rendelkezik), Microsoft Authenticator[. A maximális biztonság érdekében használjon YubiKey hardverkulcsot.