Come proteggere i vostri clienti dalla crescente minaccia delle frodi con SIM swap
SIM Swap fraud happens when an attacker convinces a mobile carrier to transfer a victim’s phone number to a SIM card controlled by the attacker — giving them access to every SMS OTP sent to that number. Preventing SIM Swap fraud requires detection at the network layer: a direct API query to the mobile operator that identifies whether a SIM card change has happened recently. This is typically performed before a high-risk or high-value transaction is allowed to proceed. SMS-based two-factor authentication has no defence against a successful SIM swap. SNA is also unable to detect or prevent SIM Swap fraud; a specific additional carrier-level API call is required.
Aumentano le frodi per lo scambio di SIM
Nel Regno Unito, le segnalazioni di frodi per lo scambio di SIM sono raddoppiate di anno in anno, secondo quanto riportato da Azione antifrode. Ormai più che decennale, questo tipo di frode colpisce anche chi utilizza le eSIM, poiché i malintenzionati possono convincere le reti mobili a passare un numero da una SIM fisica a una eSIM.
Negli Stati Uniti, i truffatori che scambiano le SIM sono sempre più spesso Rivolgersi ai dirigenti di alto livello utilizzando sofisticate tecniche di phishing, con quasi $50 milioni di perdite derivanti da 1.075 attacchi di SIM-swapping investigati dall'FBI nel 2023. La frode ha persino spinto la Commissione federale per le comunicazioni a prendere in considerazione rafforzare la regolamentazione per proteggere i consumatori e le imprese negli Stati Uniti.
Come funziona la frode SIM Swap?
La frode SIM swap è un tipo di attacco di account takeover (ATO) in cui i criminali prendono il controllo del numero di telefono della vittima ingannando o corrompendo un dipendente dell'MNO per trasferirlo su una nuova SIM. In genere raccolgono i dati personali attraverso il phishing, l'ingegneria sociale, le violazioni dei dati o una combinazione di questi metodi.
Una volta controllato il numero, intercettano le chiamate e gli sms: il vero premio è la possibilità di ricevere messaggi vulnerabili. SMS one-time password (OTP) utilizzati per l'autenticazione a due fattori (2FA), invalidando il livello di sicurezza fornito dai codici di autenticazione a due fattori. In questo modo possono resettare le password, accedere a conti bancari, portafogli di criptovalute, dati personali e persino richiedere prestiti. Cercano anche di sfruttare i sistemi di pagamento rapido come Apple/Android Pay e di effettuare transazioni nei punti vendita (POS). L'impatto finanziario dello scambio di SIM può essere significativo, con perdite che vanno da centinaia di euro fino a casi gravi come il presunto $24M di furti di criptovalute nel 2018.
Le truffe di phishing sono il metodo preferito dai truffatori, che inducono le vittime a inserire informazioni personali sensibili in siti web falsi che assomigliano sapientemente a siti autentici, come quelli dei servizi assicurativi, governativi o di finanziamento auto. I truffatori utilizzano tecniche sempre più sofisticate per simulare servizi ad alta richiesta su base regionale, con alcuni che dichiarano un 100% tasso di successo sulle vittime.
Una volta raccolte le informazioni necessarie dalla vittima, richiedono il cambio di una nuova SIM con l'MNO, spesso utilizzando l'applicazione mobile dell'MNO stesso. Le vittime vengono poi ingannate o manipolate per approvare le richieste di verifica quando i truffatori si fingono funzionari o rappresentanti. Una volta che la vittima approva inconsapevolmente la richiesta, l'MNO disattiva la SIM originale e ne attiva una nuova controllata dal truffatore.
Proteggete i vostri clienti con l'autenticazione basata su SIM
Affinché la frode dello scambio di SIM funzioni, il criminale deve possedere una carta SIM con il numero di cellulare della vittima.
Ma ogni carta SIM ha anche un numero di identità univoco (denominato Identità internazionale dell'abbonato mobile (IMSI)) - quindi la nuova carta SIM rilasciata al criminale avrà un IMSI diverso da quello originale.
Con l'autenticazione basata sulla SIM, è ora possibile verificare questa differenza e impedire ai truffatori di SIM swap di ottenere un ulteriore accesso.
La tecnologia per l'autenticazione dell'identità di ogni carta SIM è una parte fondamentale di ogni rete mobile: è il modo in cui gli MNO possono fatturare correttamente ai propri clienti. Ma solo di recente è diventata disponibile per la gestione dell'identità e la prevenzione delle frodi.
L'autenticazione basata su SIM può anche fornire solide basi per l'identità mobile, perché sfrutta la tecnologia di rete mobile crittograficamente sicura esistente. Significa anche eliminare la sicurezza dipendente dall'uomo, sostituire l'autenticazione basata sulla conoscenza con un fattore di possesso ed eliminare i rischi di phishing e ATO. I vantaggi possono ridurre le frodi per la vostra azienda, ridurre i costi operativi e offrire ai vostri clienti un'esperienza migliore.
Ulteriori informazioni sul nostro blog:
Un giorno nella vita di un truffatore di SIM swap
Frode con scambio di SIM: cos'è e come risolverla
Presentazione di IDlayr
IDlayr sta reinventando l'identità online per l'era mobile, aiutando banche e grandi imprese a ridurre le frodi, i costi operativi e a migliorare l'esperienza degli utenti. IDlayr consente di utilizzare il proprio numero di cellulare, anziché l'e-mail, per dimostrare la propria identità online; perché l'identità mobile è più sicura, più facile da usare e sempre con sé.
Per maggiori informazioni, programmare una demo con il nostro team e scoprire come possiamo aiutarvi a passare a una soluzione basata sull'identità mobile.
SIM Swap fraud is an account takeover attack where criminals convince a mobile carrier to transfer a victim’s phone number to a new SIM card they control. Once the transfer is complete, any SMS OTP sent to that number goes to the attacker, not the legitimate user, allowing them to bypass two-factor authentication and access accounts.
Attackers first gather personal information on the target through phishing, social engineering, or data breaches. They then contact the victim’s mobile carrier and use that information to impersonate the victim and request a SIM swap. Once approved, the original SIM is deactivated and the attacker’s SIM is activated on the number. All subsequent SMS messages go to the attacker.
SMS-based 2FA sends a one-time code to a phone number, not to a specific SIM card. Once a SIM swap is complete, the phone number is active on the attacker’s device. The 2FA code is delivered there, not to the legitimate user. The authentication system sees a valid code entry and has no way to detect the number has moved to a different SIM.
SIM Swap detection APIs query mobile network operators directly for recent SIM change events on a given phone number. Before a high-value transaction, the API can be used to check whether a SIM swap occurred within a defined time window. If a recent swap is detected, the transaction can be blocked, stepped up, or flagged for review.
The most effective defence pairs SIM Swap detection with Silent Network Authentication (SNA). SIM Swap detection flags accounts where a recent swap occurred. SNA verifies that the SIM currently in the user’s device matches their phone number in real time. Together they close the attack at the network layer before a fraudulent transaction can complete.
Yes. eSIMs are vulnerable to the same attack in a slightly different form. There is no physical SIM that needs to be issued, so the attack can be quicker — attackers convince carriers to re-provision the user’s number to an eSIM they control. SIM Swap detection APIs cover eSIM swap events as well as physical SIM swaps.
SIM Swap moves a number to a new SIM card on the same carrier. Port-out fraud moves the number to a different carrier entirely. Both give the attacker control of incoming SMS OTPs. SIM Swap detection APIs typically cover both, since both involve a change to the MSISDN-to-SIM binding.
A SIM swap can be completed by a carrier in minutes once an attacker has the right personal information. The attacker can then begin intercepting SMS OTPs immediately. Most fraud occurs within minutes of the swap, often before the legitimate user notices their phone has lost service.
English 
Spanish 
Italian