Qu'est-ce que l'échange de cartes SIM ?
La carte SIM (subscriber identity module) est la carte physique qui associe un numéro de téléphone portable à un appareil particulier. Les numéros de téléphone sont liés à une carte SIM particulière, ce qui permet aux utilisateurs de changer de téléphone ou de le mettre à niveau simplement en déplaçant la carte d'un appareil à l'autre.
Lors d'une attaque par échange de carte SIM, un pirate transfère un compte et un numéro de téléphone mobile vers une nouvelle carte SIM. Comme cette nouvelle carte SIM est sous le contrôle de l'attaquant, il peut l'insérer dans un appareil et envoyer ou recevoir des messages SMS et des appels téléphoniques destinés à la victime.
Une attaque par échange de cartes SIM peut avoir des conséquences importantes sur la sécurité de la victime, de ses amis, de sa famille et de ses collègues. Voici quelques-uns des effets potentiels d'une attaque par échange de cartes SIM :
- Contournement de l'AMF : Pour les comptes utilisant des messages SMS pour l'AMF, l'échange de SIM permet à l'attaquant de contrôler le deuxième facteur utilisé pour l'accès au compte. Si le pirate parvient à deviner le mot de passe associé au compte ou si un lien de réinitialisation lui est envoyé par SMS, il peut prendre le contrôle du compte de l'utilisateur.
- Usurpation d'identité : Certaines organisations, comme les institutions financières, utilisent un numéro de téléphone de confiance pour vérifier l'identité d'un utilisateur. Par exemple, une nouvelle carte de crédit ne peut être activée qu'à partir d'un certain téléphone. Une attaque par échange de cartes SIM pourrait permettre à l'attaquant d'usurper l'identité de la victime, créant ainsi des possibilités de fraude et de vol.
- Smishing et Vishing : Après une attaque par échange de cartes SIM, l'attaquant peut passer des appels ou envoyer des SMS à partir du numéro de la victime. Cela peut être utilisé dans des attaques de smishing et de vishing pour inciter des collègues à divulguer des informations sensibles ou à ouvrir des fichiers malveillants.
Comment fonctionne l'échange de cartes SIM ?
Le compte mobile d'un utilisateur est lié à une carte SIM particulière, de sorte que la possession de cette carte SIM équivaut au contrôle de ce compte. Toutefois, en raison du risque de perte ou de vol des appareils (et des cartes SIM) et des mises à niveau des téléphones, les fournisseurs de téléphonie mobile autorisent le transfert d'un compte vers une autre carte SIM.
Avant de transférer un compte mobile vers une nouvelle carte SIM, l'opérateur de téléphonie mobile doit procéder à une vérification d'identité. Il peut s'agir de demander à voir un permis de conduire ou de demander le code PIN d'un compte ou les quatre derniers chiffres du numéro de sécurité sociale (SSN) du propriétaire ou d'autres informations personnelles.
However, sometimes this verification is not performed by a trained specialist. A story about forgetting the account PIN number and asking for an alternative form of verification is likely to succeed. Since the last four digits of a person’s SSN, their past addresses, and other identifying information have likely been leaked in a data breach, the attacker can presumably answer the question and successfully authenticate as the user.
After identity verification, the mobile provider will swap the victim’s account over to a new SIM card. Once the attacker has inserted this card into their mobile phone, they now own the victim’s phone number.
Comment savoir si vous avez été échangé ?
Après une attaque par échange de cartes SIM, le numéro de téléphone de la victime est transféré à l'attaquant. Cela signifie qu'ils ne recevront plus d'appels ou de SMS à ce numéro.
Si l'absence d'appels et de textos ne suffit pas à rendre l'attaque évidente, une attaque par échange de cartes SIM peut être détectée sur la base de courriels concernant des comptes modifiés. Un attaquant profitera probablement du remplacement de la carte SIM pour contourner le MFA et réinitialiser les mots de passe sur les comptes en ligne, et ces comptes enverront probablement des notifications par courrier électronique.
Comment éviter les échanges de cartes SIM
Les fournisseurs de téléphonie mobile peuvent avoir mis en place des mesures de protection contre les attaques par échange de cartes SIM. La meilleure façon de se protéger contre ces attaques est d'appeler votre fournisseur et de lui demander quelles sont les solutions disponibles ou déjà en place. Souvent, vous pouvez définir un code PIN qui sera nécessaire pour modifier votre compte.
Beyond protecting against the SIM swapping attack itself, it is also possible to mitigate the effects of these attacks. Some ways to do so include:
- MFA alternatif : SMS-based MFA has many security issues that are not limited to its vulnerability to SIM swapping attacks. When possible, choose an MFA option that does not rely on SMS messages.
- Des mots de passe plus forts : L'échange de cartes SIM permet uniquement à un pirate d'intercepter le code à usage unique envoyé par SMS. L'utilisation d'un mot de passe aléatoire et unique complique la tâche d'un pirate qui voudrait s'introduire dans un compte, même s'il dispose du code à usage unique.
- Sécuriser les médias sociaux : Les réponses aux questions posées lors d'une attaque par échange de cartes SIM peuvent être rendues publiques sur les médias sociaux. Verrouillez les paramètres de partage des médias sociaux et limitez les informations publiques exposées en ligne.
Commentaires