Un giorno nella vita di un truffatore di SIM swap

Prendete sul serio la sicurezza informatica. Utilizzate password forti e uniche che non possono essere indovinate. I vostri account sensibili sono protetti con l'autenticazione a due fattori (2FA). I vostri dispositivi sono sempre con voi.
‍

Eppure un giorno, senza alcun preavviso, vi svegliate e scoprite che il vostro cellulare non funziona. Presto si scopre che la password della propria e-mail è stata cambiata e che si è bloccati. E con orrore, i vostri portafogli bancari o di criptovalute sono stati svuotati... senza che sia possibile risalire al responsabile.
‍

Come migliaia di altre persone, siete appena stati vittime di una frode SIM swap, una forma di attacco ATO (Account Takeover) in rapida ascesa che può superare la tradizionale 2FA. La frode SIM swap è in aumento e chiunque può esserne vittima, ma il modo migliore per essere preparati è capire come funziona.
‍

In questo articolo andremo dietro le quinte, analizzando come si arriva alle frodi con SIM swap, come si opera e come si riesce a farla franca, prima di illustrare una nuova soluzione che può aiutare le aziende a proteggere se stesse e i propri clienti.

‍

Frodi di scambio di SIM: imparare il mestiere

‍‍Quando si pensa al tipico criminale informatico, si potrebbe immaginare un hacker solitario con una felpa con il cappuccio. In realtà, le persone che commettono frodi di acquisizione di account lo fanno per lo più in comunità virtuali come le app di chat private. Qui socializzano, imparano e condividono tecniche e talvolta coordinano gli sforzi per un attacco.
‍

Alcuni sono principianti con un interesse per la programmazione che potrebbero non rendersi conto della piena illegalità di ciò che stanno facendo: incoraggiati dalla percezione che si tratta di un'attività essenzialmente "senza vittime", potrebbero pensare di stare semplicemente approfittando di una scappatoia. Altri sono criminali esperti, pienamente consapevoli ma sicuri di non poter essere rintracciati.
‍

Ex hacker black-hat Sala Alexander aveva già avuto una carriera criminale nella contraffazione e nello spaccio di droga, ma dopo una condanna ha visto la frode online come un'opzione più sicura. Come truffatore, era al comando e vedeva tutti i suoi profitti. Hall "si è impegnato a non essere appariscente con il denaro e a concentrarsi su applicazioni ripetibili e a basso rischio", finché non ha voltato pagina e ora lavora nella prevenzione delle frodi.
‍

Altri lo usano per finanziare stili di vita più appariscenti: a 21 anni, truffatore di SIM swap Nick Truglia avrebbe esibito pile di contanti sfusi, indossato un Rolex da $100.000, si sarebbe vantato apertamente su Twitter della sua attività criminale e avrebbe pensato di acquistare un jet privato, prima di essere catturato.
‍

Uno dei più noti truffatori di SIM swap aveva solo 15 anni quando ha compiuto un furto di criptovaluta da $24 milioni, guadagnando Ellis Plinsky il soprannome di "Baby Al Capone".
‍

Secondo un insider, Plinsky era un normale adolescente interessato ai videogiochi, che ha appreso l'hacking da chat online in cui gli utenti si vantavano di rubare nomi di utenti desiderabili.
‍

Ma una volta che un iniziato all'hacking ha imparato a entrare nel telefono di una vittima per il suo nome utente, l'insider suggerisceprendere i loro Bitcoin sembra ovvio. Inoltre, rubare criptovalute è impersonale. Per i ragazzi che passano tutta la vita a fissare schermi e a giocare, sembra naturale".
‍

Non solo è più difficile risalire all'autore della frode a distanza, ma il fatto di non dover mai interagire con la vittima rende più facile per l'aggressore rimanere distaccato, considerando la frode come un hack per fare soldi piuttosto che un furto serio.
‍

Mentre era ancora un liceale e lavorava dalla sua camera da letto, Plinsky stava già guadagnando milioni; i suoi genitori e i suoi amici hanno riferito che aveva avuto fortuna investendo in criptovalute.

‍

‍Profilare la vittima

‍A differenza di altri attacchi informatici che colpiscono indiscriminatamente masse di persone, gli scambi di SIM sono attentamente orchestrati e pianificati in anticipo. Le vittime con risparmi o investimenti noti, soprattutto in criptovalute, sono comunemente prese di mira, ma anche un'ampia varietà di altre persone.
‍

Secondo l'ex truffatore Hall, la giornata di un truffatore si svolge per lo più davanti al computer. Si inizia con la "costruzione del profilo", ovvero la raccolta di informazioni esaustive sull'obiettivo dai suoi social media. Queste includono informazioni di identificazione personale (PII) che potrebbero non essere disponibili pubblicamente, come il numero di telefono e l'indirizzo e-mail dell'obiettivo.
‍

Questi dati sono in genere ottenuti da successi passati di altri criminali in database acquistati sul dark web, o da truffe di social engineering e phishing - false e-mail e siti convincenti che ingannano gli utenti a condividere informazioni. Dall'avvento dei social media, molte persone mettono volontariamente a disposizione del pubblico molti dati privati, comprese le PII, senza rendersi conto delle conseguenze.
‍

Le tattiche più comuni includono l'invio di un messaggio in cui si afferma che la vittima ha perso la consegna di un pacco e deve riprogrammare la consegna, sollevando un problema con il modulo fiscale o la licenza TV, o notificando che è stato addebitato un ordine che non è mai stato effettuato. Tutti questi messaggi sono progettati per indurre l'utente a rivelare ulteriori informazioni personali senza pensarci due volte, dando così all'aggressore l'accesso a informazioni che gli consentiranno di impersonare la vittima in modo convincente.

Scambio di informazioni

‍Per effettuare lo scambio di SIM, il truffatore deve convincere un dipendente dell'operatore di rete mobile (MNO) della vittima a trasferire il suo numero di telefono su una nuova scheda SIM. In alcuni casi, il truffatore corrompe semplicemente un dipendente dell'MNO promettendogli una parte dei profitti.
‍

In caso contrario, il truffatore fingerà di essere la vittima e affermerà che il suo telefono è stato smarrito o rubato e che ha bisogno di una sostituzione urgente. A volte questo significa chiedere la spedizione di una nuova carta SIM al loro indirizzo, sostenendo che si sono trasferiti - ma molte reti non lo autorizzeranno, e i truffatori vogliono portare a termine la loro truffa il più velocemente possibile, prima che la vittima abbia la possibilità di notare qualcosa di strano.
‍

Quindi, più comunemente, il truffatore si reca in un negozio o contatta l'MNO da remoto con una SIM già acquistata. Utilizza quindi le informazioni raccolte per aggirare i problemi di sicurezza: molte persone utilizzano date memorabili come la nascita dei figli come codice PIN, ad esempio. Anche quando queste informazioni sono incomplete, alcuni dipendenti dei negozi possono essere lassisti nelle procedure di sicurezza o dare suggerimenti per aiutare l'apparentemente frenetico truffatore.

‍

Realizzare un profitto

‍Una volta completato lo scambio, il danno è immediato: il telefono dell'obiettivo perde il segnale e il suo numero di telefono collegherà i messaggi SMS e le chiamate in entrata alla nuova SIM del truffatore. In che modo questo permette di rubare il denaro e l'identità dell'obiettivo?
‍

La falla è nel protocollo stesso progettato per mantenere l'identità degli utenti al sicuro. Se si dimentica la password, o si pensa di essere stati compromessi e di doverla cambiare, si dimostra la propria identità inviando un codice da un'altra parte: di solito il cellulare.
‍

Per arrivare a questo punto, il truffatore è già dotato di sufficienti informazioni di ingegneria sociale per conoscere l'indirizzo e-mail, i nomi utente e le probabili risposte di sicurezza dell'obiettivo. Ora può lavorare rapidamente per attivare i codici di reimpostazione della password per l'e-mail della vittima, recuperarli sul telefono scambiato con la SIM e modificare le credenziali della vittima prima che questa si accorga di qualcosa che non va.
‍

Se i conti della vittima sono protetti con 2FA basato su SMS o telefonateNon c'è problema: il truffatore riceverà anche questi. Il solo fatto di aver ottenuto l'accesso all'indirizzo e-mail della vittima sblocca ogni sorta di altro account online, compresi, cosa fondamentale, portafogli di criptovalute e altre app finanziarie.
‍

Poiché la criptovaluta è completamente digitale e non è regolamentata come le banche, è l'obiettivo ideale per i truffatori, in quanto la transazione è molto difficile da annullare. Inoltre, scavando nelle e-mail della vittima alla ricerca di ulteriori dettagli personali, il truffatore può continuare a costruire un profilo convincente e causare ulteriori danni.

‍

Cosa possiamo fare?

‍Sebbene gli sforzi anti-frode siano in costante evoluzione, lo sono anche i metodi dei criminali per essere sempre all'avanguardia. Il modo migliore per evitare di essere presi di mira è quello di essere diligenti riguardo alla propria sicurezza personale e a ciò che si condivide online: leggete i nostri consigli principali. qui.
‍

Ma se siete un'azienda che vuole proteggere il proprio marchio e i propri clienti, la buona notizia è che ora esiste un modo semplice per rilevare le attività di scambio di SIM e impedire ai truffatori di entrare nella vostra piattaforma.
‍

Se utilizzate già gli SMS OTP per l'autenticazione, potete usare IDlayr per verificare che la carta SIM non sia cambiata prima di inviare un codice all'utente. E se non avete ancora aggiunto la 2FA, potete usare la verifica più forte della prova di possesso, che cattura anche lo scambio di SIM attraverso un'unica API: Controllo abbonati forte. Con entrambi i prodotti, la vostra app o il vostro sito passano il numero di cellulare verificato a IDlayr tramite la nostra API, e quest'ultima vi fornisce una risposta immediata e perseguibile.
‍

Se l'utente registrato è ancora in possesso della stessa carta SIM, la verifica avrà esito positivo e si potrà inviare l'SMS OTP come di consueto. Se invece è stata cambiata la carta SIM, la verifica non avrà esito positivo e potrete seguire il vostro flusso di sicurezza step-up. Per saperne di più su come IDlayr combatte l'acquisizione di account, prenotate una demo. qui.

‍

Informazioni su IDlayr

IDlayr sta reinventando l'identità online per l'era mobile, aiutando banche e grandi imprese a ridurre le frodi, i costi operativi e a migliorare l'esperienza degli utenti. IDlayr consente di utilizzare il proprio numero di cellulare, anziché l'e-mail, per dimostrare la propria identità online; perché l'identità mobile è più sicura, più facile da usare e sempre con sé.

‍

Prenotate una demo oggi stesso per scoprire come IDlayr può aiutare la vostra azienda.