Изображение: Pixabay
Издание Motherboard опубликовало материал, посвященный атакам на пользователей крупных операторов мобильной связи. По данным журналистов, все чаще киберпреступники подкупают сотрудников телеком-компаний, чтобы те переносили номера клиентов на новые SIM-карты.
SIM Swap и телеком-безопасность
В некоторых случаях мобильные номера могут «переназначаться» от одной SIM-карты другой. Это вполне легитимное действие, встречющееся в практике любого телеком-провайдера. Распространенные примеры SIM Swap — восстановление SIM-карты потерянного телефона, перевыпуск карты в случае ее поломки или необходимости в смене размера (nano-SIM, microSIM и т.п.).
Однако если возможность отвязывать номер от одной SIM-карты и привязывать его к другой появляется у злоумышленников, это может приводить к серьезным проблемам для жертв атак. В таком случае преступники могут обходить большинство систем двухфакторной аутентификации и получать доступ к самым разным аккаунтам жертв.
Недавнее исследование показало, что в настоящий момент в США наблюдается волна подобных атак. В результате пользователи мобильной связи лишаются доступа к своим аккаунтам в соцсетях, а иногда с их счетов в банках пропадают крупные суммы денег. Для проведения такой атаки хакерам зачастую не нужно совершать никаких сложных действий — главное найти работника телеком-компании с нужным уровнем доступа для осуществления SIM Swap и убедить совершить желаемое действие.
Заманчивое предложение
Злоумышленники ищут в интернете сотрудников телекоммуникационных компаний — они анализируют профили в LinkedIn, посты в Instagram и других соцсетях. А затем с подставных аккаунтов пишут сообщения с предложением подзаработать.
Журналистам удалось поговорить с несколькими работниками крупных телекоммуникационных компаний из США. Один из них, сотрудник T-Mobile, заявил, что ему предлагали $100 в криптовалюте за перепривязку одного номера. Преступник обещал ему до 10 заказов в неделю, так что недельный заработок мог составить $1000.
По данным Motherboard, с подобными предложениями сталкивались и сотрудники других компаний, например Verizon — работнику этой организации обещали «$100 тысяч за пару месяцев».
Как реагируют телеком-компании
По словам некоторых опрошенных журналистами сотрудников телекоммуникационных компаний, подобные атаки становятся возможными из-за недостаточного внимания к деятельности инсайдеров. К примеру, в платформе компании AT&T рядовые сотрудники имеют права доступа, позволяющие им обходить функции системы безопасности, вроде паролей для переноса номеров (этот пароль можно сменить и сразу же осуществить SIM Swap).
Работник T-Mobile рассказал о наличии аналогичных прав доступа. При этом, по его мнению, в компании давно знают об этой проблеме, но не предпринимают никаких действий к ее решению.
В теории, системы безопасности телекоммуникационных компаний должны отслеживать каждый случай перепривязки номера к новой SIM-карте. Однако в разговоре с Motherboard хакер под ником Moe The God — не так давно он «угнал» Twitter-аккаунт звезды рестлинга с помощью SIM Swap — рассказал, что у него есть «кроты» в AT&T и Verizon. Первый из них работает на него с февраля 2018 года, а второй — с апреля, и у преступника не возникает проблем все это время.
По данным экспертов Positive Technologies, в России проблемы, описанные в исследовании Motherboard, также встречаются довольно часто. Уровень доступа, необходимый для перевыпуска SIM-карт есть у рядовых сотрудников точек продаж телеком-компаний — поэтому злоумышленники платят своим «кротам» меньшеб чем в США. Однако, в нашей стране операторы пристально следят за активностью по замене и перевыпуску карт, действия сотрудников логируются, поэтому вероятность быть пойманным и остаться без работы очень высока.
Комментарии (23)
denis-19
10.08.2018 21:08+2У наших телекомов сотрудники ИБ тоже с этим встречаются и по возможности наказывают персонал.
Но тут дело в том, что продавцы и прочие, кто имеет доступ к сим данным, часто просто очень жадны на такую наживу, к сожалению.
lostpassword
10.08.2018 22:17+3Можете поведать, как именно наказывают? Допустим, клиенту перевыпустили симку и сняли с банковского счёта кучу денег. Будет ли кто-то за это отвечать?
altrus
11.08.2018 04:11+2Мне кажется, каждый случай необоснованного сим-своппинга должен заканчиваться увольнением того сотрудника, под аккаунтом которого прошла эта операция. Каким образом это мошенничество существует?
Единственный вариант- мошенник с сотрудником сделают поддельный скан паспорта жертвы, чтобы отвести подозрение. Тогда увольнение должно быть после 2-3 инцидента.Hardcoin
11.08.2018 10:14+2А в чем проблема для сотрудника — уволиться? Устроился, украл деньги со счетов пары крупных клиентов (сделав клон симки), уволился. Каким образом это должно остановить следующего мошенника, который будет устраиваться с такой же целью?
altrus
11.08.2018 10:19Ну, если абсолютно реальный срок за кражу или мошенничество вас (его) не пугает, если вы такого низкого мнения о СБ магазина, оператора, о возможностях органов следствия, то почему нет?
Технологические преступления научились раскрывать, кстати, очень неплохо. Куча следов — чего тут не раскрыть. Дело только в вопросе мотивации.Hardcoin
11.08.2018 10:23+2заканчиваться увольнением того сотрудника
абсолютно реальный срокУвольнение — это не срок. Вы же не написали "должен заканчиваться заведением уголовного дела", вы написали про увольнение. Отсюда и вопрос — увольнение — это разве проблема? Как увольнение поможет предотвратить целенаправленные случаи замены карт?
altrus
11.08.2018 10:34Я написал с точки зрения хозяина магазина, который себя такими вещами сильно дискредитирует.
А есть еще точка зрения государства в форме уголовного преследования. Мне кажется, она подразумевается.
mvalery
11.08.2018 14:04-2Привязкой SIM к определенному номеру должны заниматься те же органы, которые выдают паспорта. Потому, что идентификация личности по номеру телефона достигла таких же масштабов как бумажные документы удостоверяющие личность. У операторов нет подготовленного персонала для такого уровня секретности.
roscomtheend
13.08.2018 12:18И симку выдавать только после положительной характеристики с места работы и из профкома. Беспартийным — без интернета.
PS. Перечитал — увидел про «уровень персонала». Вы даже не представляете…
KostaArnorsky
11.08.2018 17:30У жены AT&T, однажды просто перестал телефон идентифицироваться в сети. Она смогла зайти в ЛК под своим аккаунтом — там чей-то левый профиль. И доступ ко всем звонкам и СМС. Такое ощущение, что номер просто отдали кому-то другому. Сходила в стор — ей дали новую симку. Там полный бардак.
Barnaby
11.08.2018 19:23Недавно переносил номер с мтс на теле2, удивило что никаких уведомлений от мтс не пришло только в момент переноса мтс бонус отключился. Они конечно звонили, но я не снял трубку.
Еще зеленый банк не заблочил вход по смс, к счастью. А пивной заблочил, пришлось судорожно вспоминать кодовое слово.
GamePad64
12.08.2018 11:09Это не к счастью, а к сожалению. Вход во всякие интернет-банкинг блокируется специально, чтобы защитить от мошеннической смены сим-карты.
volk0ff
12.08.2018 01:15+1Странный вопрос, но все же: со стороны меня, как пользователя, если мою симку угнали, разве передо мной не должен нести отвественность мой мобильный оператор, а не какой то там кассир?
Если допустим у меня из за этого пропадут деньги со счетаdobergroup
12.08.2018 11:20А разве мобильный оператор предоставляет вам услугу аутентификаци в банке? Это уже ваш риск. Оператор должен нести ответственность в пределах компенсации затраченного времени и усилий на восстановление услуги. Коррумпированный сотрудник и хакер — уголовную ответственность.
volk0ff
12.08.2018 11:24ну вот я к тому и спрашиваю, что странная истопия получается: телефон, как ни крути, привязать надо, как последнюю инстанцию, что ты — это ты, а выходит, что в сохранности банального пароля, если ты его в голове держишь, ты можешь быть уверен больше, чем в сохранности собственной симки, раз оператору по сути пофиг.
pyrk2142
13.08.2018 05:04Субъективное мнение: с учетом уровня безопасности мобильных операторов (как минимум, в РФ), использование двухфакторной авторизации с помощью СМС как дополнительной защиты — не очень надежный способ. А если при этом возможно восстановление аккаунта с помощью этого номера телефона (например, возможность получения кода восстановления аккаунта в виде СМС), то надежность защиты аккаунта наоборот снижается очень сильно.
lostpassword
LumberJack
274 УК РФ, но привлечь по ней, подозреваю, оооооочень трудно.
200sx_Pilot
Да, это вам не картинки лайкать.
[sarkasm]
altrus
Это не та статья. 274 УК РФ — если по халатности допустил. А если с умыслом (за деньги), то там куча других, включая мошенничество.
fapsi
п.3 ст 272
+ п.2 ст.158