Підміна SIM-картки (SIM swap, або «викрадення номера») — це коли зловмисник умовляє мобільного оператора перенести номер жертви на SIM-картку, яку контролює він. Якщо це вдалося, усі SMS і дзвінки на цей номер надходять зловмисникові, а стара SIM-картка перестає працювати. Для будь-якого акаунта, захищеного SMS-2FA, це все одно що віддати другий фактор автентифікації.
Як це відбувається на практиці
Зловмисник збирає про жертву достатньо особистих даних (ім'я, адресу, паспортні дані, іноді суми останніх платежів), щоб пройти перевірку особи в оператора. Потім звертається до оператора, каже, що телефон загублено чи зламано, і просить перевипустити SIM-картку, яка опиняється в його руках. Якщо соціальна інженерія вдала, усе може відбутися дуже швидко.
Найважче для зловмисника — зібрати особисті дані. Саме такі дані й дають великі витоки баз даних, і що більший витік, то більше потенційних жертв.
Чим це загрожує власникам криптовалюти
Підміна SIM-картки особливо небезпечна для власників криптовалюти, бо обходить SMS-2FA на будь-якій централізованій біржі, де цей спосіб ще дозволено. Типовий сценарій: зловмисник бере персональні дані з витоку, через кол-центр оператора перевипускає SIM-картку «через втрату телефона», а потім скидає пароль біржового акаунта через відновлення по пошті й SMS.
Що справді захищає
Три рівні захисту за ефективністю:
По-перше, відмовтеся від SMS-2FA на всіх біржових акаунтах. Мінімум — TOTP-коди (Google Authenticator, Authy), в ідеалі — апаратний ключ (YubiKey) або ключ доступу (passkey). Так ця атака на вразливі акаунти стає неможливою.
По-друге, захистіть номер на боці оператора. Дізнайтеся у свого оператора, чи можна встановити пароль або PIN-код, без якого SIM-картку не перевипустять і номер не перенесуть, і ввімкніть цей захист. Тоді зловмисникові, крім усього іншого, знадобиться ще й цей пароль.
По-третє, використовуйте окремий номер для відновлення доступу до найцінніших акаунтів. Друга SIM-картка, яку ви використовуєте лише для криптоакаунтів і яка ніде публічно з вами не пов'язана, помітно ускладнить атаку: спершу зловмисникові доведеться з'ясувати, який номер до якого акаунта прив'язаний.
Що робити в першу годину після підміни SIM-картки
Якщо телефон раптом втратив зв'язок там, де мав би працювати (режим польоту вимкнено, покриття нормальне, після перезавантаження SIM-картка більше не реєструється в мережі), вважайте, що SIM-картку підмінили. З будь-якого іншого пристрою:
- Негайно захистіть кожен біржовий акаунт: змініть паролі, вимкніть SMS-2FA, увімкніть білий список адрес для виведення.
- Захистіть поштові скриньки (Gmail, Outlook, Ukr.net): змініть паролі, завершіть усі активні сеанси.
- Зателефонуйте оператору з іншого телефона: вимагайте скасувати перевипуск SIM-картки й увімкніть захист номера.
- Подайте заяву до кіберполіції. Вона знадобиться і для страхових вимог, і для будь-якого подальшого позову.
Що почитати далі: 2FA, Правда про 2FA, Ключ доступу (passkey).