Sostituire i nomi utente con una prova di possesso per affrontare le crescenti frodi di scambio di SIM
I criminali commettono Frode con scambio di SIM trasferendo il numero di cellulare della vittima su una nuova carta SIM in suo possesso.
Attraverso l'ingegneria sociale, le e-mail di phishing, lo scraping di informazioni dai profili dei social media o il malware installato sul dispositivo, i criminali informatici rubano le informazioni personali della vittima.
Utilizzando le informazioni raccolte, si spacciano per la vittima, contattando l'operatore del gestore di telefonia mobile e richiedendo il trasferimento del numero dalla carta SIM originale a quella sostitutiva.
Da qui, possono sfruttare ulteriori livelli di sicurezza: l'autenticazione a due o più fattori (2FA o MFA) e il recupero della password collegata al numero di telefono rubato alla vittima. Recuperando questi codici con il telefono sostitutivo, si assicurano l'acquisizione dell'identità della vittima. Attacchi a distanza come questo sono incredibilmente difficile da rintracciaree devastante per il bersaglio.
La criminalità in questa zona è in aumento. Secondo il Wall Street JournalLe vittime hanno perso $68 milioni di euro a causa di truffe basate su carte SIM solo nel 2021, rispetto ai soli $12 milioni tra il 2018 e il 2020.
La maggior parte delle organizzazioni e delle aziende gestisce ancora le identità dei clienti e dei dipendenti utilizzando nomi utente e password, e questo è uno dei motivi per cui quest'area di criminalità è in crescita.
In questo blog spiegheremo come i nomi utente e le password lasciano spazio ai truffatori e come la vostra azienda può combattere le frodi di SIM swap con una prova forte e sicura del possesso della carta SIM.
I nomi utente eliminano l'anonimato
Ormai sappiamo tutti che dovremmo usare una password diversa per ogni account e che sia difficile da indovinare. Ma raramente si può dire lo stesso per i nomi utente. Sono utili anche agli aggressori, in quanto li aiutano a costruire un profilo e a compromettere le vittime su diverse piattaforme, soprattutto perché lo stesso nome utente viene spesso riutilizzato in più luoghi.
Poiché i nomi utente sono destinati a essere la parte pubblica di un'identità online, le persone non pensano a renderli sicuri allo stesso modo. Invece, la maggior parte di noi fa il contrario, utilizzando semplici dettagli che possiamo ricordare e che ci identificheranno su più piattaforme.
Di conseguenza, tendiamo a includere il nostro vero nome, la data di nascita e altre informazioni personali nei nostri nomi utente senza pensarci. Gli aggressori ne approfittano, utilizzando questi dati personali per costruire un profilo in attacchi mirati di acquisizione di account. Questo aspetto è particolarmente importante nelle frodi di scambio di SIM, che possono essere portate a termine solo con un'impersonificazione convincente dell'obiettivo.
I nomi utente ripetuti sono un collegamento ad altri account
Anche quando non rivelano informazioni personali, il fatto che i nomi utente siano pubblici e basati sulla conoscenza - il che significa che possono essere inseriti da chiunque, ovunque - rappresenta una vulnerabilità.
Ad esempio, supponiamo che lo sconosciuto abbia un conto in criptovalute. Lo tiene separato dalla sua vera identità, utilizzando il nome utente Dorsie100 e una password forte, una combinazione che ha utilizzato per alcuni conti diversi.
Gli aggressori che cercano di violare account crittografici casuali non sanno chi sia Dorsie100 e non sono in grado di indovinare la password. Ma hanno accesso a database trapelati pieni di credenziali in tutto il dark web. Cercano Dorsie100 nel database, trovano la password forte associata a una violazione di un sito meno sicuro l'anno scorso e sono dentro.
Anche con un basso tasso di successo, gli aggressori possono utilizzare nomi utente visibili al pubblico per collegare i punti e trarre profitto da questa connessione di informazioni.
In un'epoca in cui tutti noi abbiamo centinaia, se non migliaia, di account online, questo è un problema molto reale: potete verificare se le vostre credenziali sono state compromesse su Sono stato fregato?
Chi è l'utente che si nasconde dietro questo nome?
Oltre a creare potenziali minacce per le persone reali, la dipendenza dai nomi utente è un problema aziendale. Per ottenere analisi affidabili e per tenere lontani spambot e truffatori, è necessario sapere che ogni persona è un individuo unico. Ma permettere loro di scegliere un nome utente non lo garantisce.
Il rischio di sicurezza per gli utenti reali è un vantaggio per gli attori malintenzionati. JohnDoe1985 potrebbe essere qualcuno che usa i suoi veri dati ed espone informazioni personali... ma potrebbe anche essere un nome utente generato da un bot, legato a un indirizzo e-mail generato da un bot.
In nessun punto di questo processo l'utente è legato a un'identità unica e singolare che non può essere facilmente falsificata.
Un'alternativa più forte e più sicura per il recupero delle password e l'MFA
L'alternativa più semplice è quella di autenticare le persone utilizzando il loro numero di telefono cellulare e la loro carta SIM, una soluzione che garantisce loro l'anonimato e a voi la sicurezza della loro identità.
Il numero di telefono è un identificativo unico che non richiede all'utente di impostare una password, che può essere compromessa e collegata ad altri account. Il solo numero di telefono presenta comunque dei rischi: i numeri virtuali possono essere generati online, quindi un numero di telefono non garantisce un dispositivo unico. Inoltre, i truffatori di SIM swap possono dirottare il telefono di un cliente legittimo.
Affinché la frode di SIM swap funzioni, il criminale deve possedere una carta SIM di nuova emissione con il numero di cellulare della vittima mappato su di essa.
Ma ogni carta SIM ha anche un numero di identità univoco (denominato Identità internazionale dell'abbonato mobile (IMSI)) - quindi una carta SIM riemessa a un criminale avrà un IMSI diverso da quello originale.
Per risolvere questo problema, la tecnologia di IDlayr confronta il numero di telefono con la scheda SIM del dispositivo. L'autenticazione basata sulla SIM può risolvere il problema dell'identità digitale mobile senza dover memorizzare un altro nome utente e un'altra password, e segnala i cambiamenti recenti della SIM.
English 
Spanish 
Italian