Che cos'è lo scambio di SIM?
Una scheda SIM (Subscriber Identity Module) è la scheda fisica che associa un numero di telefono cellulare a un particolare dispositivo. I numeri di telefono sono collegati a una particolare carta SIM, rendendo possibile agli utenti cambiare o aggiornare i telefoni semplicemente spostando la carta da un dispositivo all'altro.
In un attacco di SIM swapping, un aggressore trasferisce l'account e il numero di telefono di un cellulare su una nuova carta SIM. Poiché questa nuova carta SIM è sotto il controllo dell'aggressore, questi può inserirla in un dispositivo e inviare o ricevere messaggi SMS e telefonate dirette alla vittima.
Un attacco di SIM swapping può avere un impatto significativo sulla sicurezza della vittima e dei suoi amici, familiari e colleghi. Alcuni dei potenziali impatti di un attacco di SIM swapping includono:
- Bypass MFA: Per gli account che utilizzano i messaggi SMS per l'MFA, lo scambio di SIM fornisce all'aggressore il controllo sul secondo fattore utilizzato per l'accesso all'account. Se l'aggressore riesce a indovinare la password associata all'account o a farsi inviare un link di reset, può assumere il controllo dell'account dell'utente.
- Impersonificazione: Alcune organizzazioni, come le istituzioni finanziarie, utilizzano un numero di telefono fidato per verificare l'identità di un utente. Ad esempio, una nuova carta di credito può essere attivata solo da un determinato telefono. Un attacco di SIM swapping potrebbe consentire all'aggressore di impersonare la vittima, creando opportunità di frode e furto.
- Smishing e Vishing: Dopo un attacco di SIM swapping, l'aggressore può effettuare chiamate o inviare messaggi dal numero della vittima. Questo può essere utilizzato negli attacchi di smishing e vishing per ingannare i colleghi e indurli a divulgare informazioni sensibili o ad aprire file dannosi.
Come funziona lo scambio di SIM?
L'account di telefonia mobile di un utente è collegato a una particolare carta SIM, quindi il possesso di quella carta SIM equivale al controllo di quell'account. Tuttavia, il potenziale di smarrimento o furto del dispositivo (e delle schede SIM) e l'aggiornamento del telefono fanno sì che i provider di telefonia mobile permettano di trasferire un account su un'altra scheda SIM.
Prima di trasferire un account di telefonia mobile su una nuova carta SIM, il gestore di telefonia mobile dovrebbe effettuare una verifica dell'identità. Ciò può includere la richiesta di vedere la patente di guida o la richiesta del numero PIN del conto o delle ultime quattro cifre del numero di previdenza sociale (SSN) del proprietario o di altre informazioni personali.
However, sometimes this verification is not performed by a trained specialist. A story about forgetting the account PIN number and asking for an alternative form of verification is likely to succeed. Since the last four digits of a person’s SSN, their past addresses, and other identifying information have likely been leaked in a data breach, the attacker can presumably answer the question and successfully authenticate as the user.
After identity verification, the mobile provider will swap the victim’s account over to a new SIM card. Once the attacker has inserted this card into their mobile phone, they now own the victim’s phone number.
Come può capire se è stato scambiato?
Dopo un attacco di SIM swapping, il numero di telefono della vittima viene trasferito all'aggressore. Ciò significa che non riceveranno più chiamate o messaggi a quel numero.
Se l'assenza di chiamate e di messaggi non è sufficiente a rendere evidente l'attacco, è possibile rilevare un attacco di SIM swapping basato sulle e-mail relative agli account modificati. Un aggressore probabilmente sfrutterà la SIM scambiata per aggirare l'MFA e reimpostare le password sugli account online, e questi account probabilmente invieranno notifiche via e-mail.
Come prevenire lo scambio di SIM
I provider di telefonia mobile potrebbero avere delle protezioni contro gli attacchi di SIM swapping. Il modo migliore per proteggersi da questi attacchi è chiamare il suo provider e chiedere quali soluzioni sono disponibili o già in atto. Spesso, può impostare un PIN che sarà necessario per modificare il suo conto.
Beyond protecting against the SIM swapping attack itself, it is also possible to mitigate the effects of these attacks. Some ways to do so include:
- Alternativa MFA: SMS-based MFA has many security issues that are not limited to its vulnerability to SIM swapping attacks. When possible, choose an MFA option that does not rely on SMS messages.
- Password più forti: Lo scambio di SIM aiuta l'aggressore a intercettare il codice una tantum inviato via SMS. L'utilizzo di una password casuale e unica rende più difficile per un aggressore violare un account, anche se dispone di un codice unico.
- Sicurezza dei social media: Le risposte alle domande poste durante un attacco di SIM swapping possono essere pubblicamente visibili sui social media. Bloccare le impostazioni di condivisione dei social media e limitare le informazioni pubbliche esposte online.
Feedback