Подмена SIM-карты (SIM swap, «угон номера») — это когда злоумышленник уговаривает мобильного оператора перевести номер жертвы на SIM-карту, которая находится у него. После этого все SMS и звонки на этот номер попадают к злоумышленнику, а прежняя SIM-карта перестаёт работать. Для любого аккаунта, защищённого SMS-кодами, это всё равно что отдать второй фактор.

Как это происходит

Злоумышленник собирает о жертве достаточно личных данных (имя, адрес, паспортные данные, иногда суммы последних платежей), чтобы пройти проверку личности у оператора. Затем обращается к оператору, заявляет, что телефон потерян или сломан, и просит перевыпустить SIM-карту — ту, что будет у него на руках. При умелой социальной инженерии всё может занять совсем немного времени.

Главное препятствие для злоумышленника — сбор личных данных. Крупные утечки персональных данных дают ему как раз те сведения, на которых строится подмена SIM. Чем больше утёкшая база, тем масштабнее атаки.

Почему это важно для криптовалюты

Подмена SIM особенно опасна для владельцев криптовалюты, потому что обходит SMS-защиту на каждой централизованной бирже, которая её ещё допускает. Широко известен случай инвестора Майкла Терпина: в 2018 году через подмену SIM у него увели криптовалюту на 23,8 млн $, после чего последовали судебные иски. Против владельцев крупных сумм этот приём применяют до сих пор.

Типичная цепочка после перехвата номера: злоумышленник получает SMS-коды, через восстановление по SMS сбрасывает пароль от почты, а уже с почтой и номером — пароли от биржевых аккаунтов. Поэтому номер телефона, к которому привязано восстановление, — такая же точка входа, как и сам пароль.

Что действительно защищает

Три уровня защиты — от самого действенного.

Первый: откажитесь от SMS-кодов на всех биржевых аккаунтах. Как минимум замените их на TOTP (Google Authenticator, Authy, Яндекс Ключ), а в идеале — на аппаратный ключ (YubiKey) или ключ доступа (passkey). Для аккаунтов, уязвимых к подмене SIM, это полностью ломает атаку.

Второй: включите защиту у оператора. Спросите, можно ли запретить замену SIM-карты и переоформление номера без личного визита или установить кодовое слово — такими опциями пользуются редко. Тогда перед любой заменой SIM нужно назвать пароль или PIN-код, и злоумышленнику, кроме всего прочего, придётся где-то его добыть.

Третий: используйте отдельный номер для восстановления самых ценных аккаунтов — вторую SIM-карту только для криптовалютных аккаунтов, которую вы нигде публично не указываете: ни в мессенджерах, ни в соцсетях, ни в объявлениях. Это заметно усложняет атаку: злоумышленнику сначала придётся выяснить, какой номер к какому аккаунту привязан.

Что делать в первый час после подмены SIM

Если телефон вдруг потерял сеть там, где такого быть не должно (режим полёта выключен, покрытие нормальное, после перезагрузки SIM-карта не регистрируется), исходите из того, что номер угнали. С любого другого устройства:

  1. Немедленно закройте доступ ко всем биржевым аккаунтам: смените пароли, отключите SMS-коды, включите белый список адресов для вывода.
  2. Закройте доступ к почте (Gmail, Яндекс): смените пароли, завершите все активные сеансы.
  3. Позвоните оператору с другого телефона: добейтесь отмены замены SIM и включите защиту от переоформления.
  4. Подайте заявление в полицию — оно понадобится и для страховой, и для возможного гражданского иска.

Дополнительное чтение: 2FA, Правда о двухфакторной защите, Ключ доступа (passkey).