¿Qué es el intercambio de SIM?
Una tarjeta de módulo de identidad de suscriptor (SIM) es la tarjeta física que asocia un número de teléfono celular con un dispositivo en particular. Los números de teléfono están vinculados a una tarjeta SIM particular, lo que permite a los usuarios cambiar o actualizar teléfonos simplemente moviendo la tarjeta de un dispositivo a otro.
En un ataque de intercambio de SIM, un atacante transfiere una cuenta de teléfono móvil y un número de teléfono a una nueva tarjeta SIM. Dado que esta nueva tarjeta SIM está bajo el control del atacante, este puede insertarla en un dispositivo y enviar o recibir mensajes SMS y llamadas telefónicas dirigidas a la víctima.
Un ataque de intercambio de SIM puede tener impactos significativos en la seguridad de la víctima y sus amigos, familiares y compañeros de trabajo. Algunos de los impactos potenciales de un ataque de intercambio de SIM incluyen:
- Bypass MFA: Para las cuentas que usan mensajes SMS para MFA, el intercambio de SIM proporciona al atacante control sobre el segundo factor utilizado para el acceso a la cuenta. Si el atacante puede adivinar la contraseña asociada a la cuenta o se le ha enviado un enlace de restablecimiento por mensaje de texto, puede hacerse cargo de la cuenta del usuario.
- La suplantación de identidad: Algunas organizaciones, como instituciones financieras, utilizan un número de teléfono de confianza para verificar la identidad de un usuario. Por ejemplo, una nueva tarjeta de crédito solo puede activarse desde un determinado teléfono. Un ataque de intercambio de SIM podría permitir que el atacante se suplantar a la víctima, creando oportunidades de fraude y robo.
- Smishing y Vishing: Después de un ataque de intercambio de SIM, el atacante puede hacer llamadas o enviar mensajes de texto desde el número de la víctima. Esto se puede usar en ataques de smishing y vishing para engañar a los compañeros de trabajo para que filen información confidencial o abran archivos maliciosos.
¿Cómo funciona el intercambio de SIM?
La cuenta móvil de un usuario está vinculada a una tarjeta SIM en particular, por lo que la posesión de esa tarjeta SIM equivale a controlar esa cuenta. Sin embargo, la posibilidad de pérdida o robo de dispositivos (y tarjetas SIM) y actualizaciones del teléfono significa que los proveedores de servicios móviles permitirán que una cuenta se transfiera a otra tarjeta SIM.
Antes de transferir una cuenta móvil a una nueva tarjeta SIM, el proveedor de telefonía móvil debe realizar alguna verificación de identidad. Esto puede incluir pedir ver una licencia de conducir o solicitar un número PIN de cuenta o los últimos cuatro dígitos del número de seguro social (SSN) del propietario u otra información personal.
However, sometimes this verification is not performed by a trained specialist. A story about forgetting the account PIN number and asking for an alternative form of verification is likely to succeed. Since the last four digits of a person’s SSN, their past addresses, and other identifying information have likely been leaked in a data breach, the attacker can presumably answer the question and successfully authenticate as the user.
After identity verification, the mobile provider will swap the victim’s account over to a new SIM card. Once the attacker has inserted this card into their mobile phone, they now own the victim’s phone number.
¿Cómo puede saber si ha sido interpuesto?
Después de un ataque de intercambio de SIM, el número de teléfono de la víctima se transfiere al atacante. Esto significa que ya no recibirán llamadas o textos a ese número.
Si esta falta de llamadas y mensajes de texto no es suficiente para hacer evidente el ataque, entonces se puede detectar un ataque de intercambio de SIM basado en correos electrónicos sobre cuentas cambiadas. Es probable que un atacante aproveche la tarjeta SIM intercambiada para omitir la MFA y restablecer las contraseñas en las cuentas en línea, y es probable que estas cuentas envíen notificaciones por correo electrónico.
Cómo evitar el intercambio de SIM
Los proveedores de telefonía móvil pueden contar con protecciones contra ataques de intercambio de SIM. La mejor manera de protegerse contra estos ataques es llamar a su proveedor y preguntarle qué soluciones están disponibles o ya implementadas. A menudo, puede establecer un PIN que será necesario para modificar su cuenta.
Beyond protecting against the SIM swapping attack itself, it is also possible to mitigate the effects of these attacks. Some ways to do so include:
- MFA alternativo: SMS-based MFA has many security issues that are not limited to its vulnerability to SIM swapping attacks. When possible, choose an MFA option that does not rely on SMS messages.
- Contraseñas más fuertes: El intercambio de SIM solo ayuda a un atacante a interceptar el código de un solo uso enviado por SMS. El uso de una contraseña aleatoria y única hace que sea más difícil para un atacante violar una cuenta, incluso si tiene el código de un solo uso.
- Redes sociales seguras: Las respuestas a las preguntas formuladas durante un ataque de intercambio de SIM pueden ser visibles públicamente en las redes sociales. Bloquee la configuración para compartir en las redes sociales y limite la información pública expuesta en línea.
Comentarios