Федеральная комиссия по связи (FCC) призывает операторов связи обеспечить более эффективную защиту от атак с заменой и переносом SIM-карт.
Эти атаки являются обычным способом для злоумышленников осуществить кражу личных данных и захватить все, от Apple ID до банковского счета …
Фон
Атака с заменой SIM-карты — это когда злоумышленник убеждает оператора связи назначить ваш номер телефона новой SIM-карте. Атака с переносом — это когда на ваше имя создается учетная запись с новым оператором связи, и злоумышленник заставляет оператора перенести ваш номер ячейки в новую учетную запись, которую он контролирует.
В обоих случаях злоумышленник получит коды двухфакторной аутентификации (2FA) для ваших учетных записей, которые можно комбинировать с фишинговыми атаками для кражи вашей личности. Худшим аспектом этого типа мошенничества является то, что для жертвы может быть практически невозможно подтвердить свою личность, поскольку злоумышленник получит любые коды подтверждения SMS, отправленные для сброса пароля. (Это лишь одна из причин, почему SMS — ужасная форма двухфакторной аутентификации.)
Исследование, проведенное в прошлом году, показало, что американские операторы связи не смогли должным образом защитить своих клиентов от этих атак.
Использованный метод был до смешного прост: звонивший утверждал, что забыл ответ на основной секретный вопрос, а затем продолжал утверждать, что причина, по которой они не могут ответить на такие вопросы, как дата и место рождения, заключается в том, что они должны иметь ошиблись при настройке учетной записи.
Невероятно, но тогда представители службы поддержки клиентов позволили им пройти аутентификацию, просто назвав два последних набранных номера телефона. Как отмечается в исследовании, было бы довольно просто убедить кого-то позвонить на неизвестный номер, просто оставив голосовую почту или отправив текстовые сообщения. Три оператора связи даже иногда принимали входящие вызовы в качестве аутентификации, то есть злоумышленнику не нужно было ничего делать, кроме как позвонить на телефон жертвы с записывающего телефона.
FCC призывает к лучшей защите от атак с заменой SIM-карт
FCC заявляет, что очевидно, что проблема требует решения.
В FCC поступило множество жалоб от потребителей, которые понесли существенные страдания, неудобства и финансовый ущерб в результате подмены SIM-карты и мошенничества с переносом. Кроме того, недавние утечки данных раскрыли информацию о клиентах, которая потенциально может облегчить проведение подобных атак.
Комиссия хочет заставить перевозчиков использовать более безопасные методы для проверки личности клиентов, отправляющих эти запросы.
Федеральная комиссия по связи сегодня начала формальный процесс нормотворчества с целью противодействия мошенничеству с подменой модуля идентификации абонента (SIM) и мошенничеству с переносом, которые злоумышленники используют для кражи учетных записей сотовых телефонов потребителей, никогда не получая физического контроля над ними. Телефон […]
В нем предлагается внести поправки в правила информации о собственной сети клиента (CPNI) и переносимости местного номера, чтобы операторы связи использовали безопасные методы аутентификации клиента перед перенаправлением телефонного номера клиента на новое устройство или оператора связи. Он также предлагает потребовать от провайдеров немедленно уведомлять клиентов о смене SIM-карты или запросе порта в учетных записях клиентов.
Следующим шагом является процесс общественных консультаций.
А пока вы можете свести к минимуму риск стать жертвой этого типа атаки, приняв несколько мер предосторожности:
Если ваш оператор связи позволяет вам установить PIN-код или пароль для вашей учетной записи, сделайте это. Для двухфакторной аутентификации всегда используйте приложение-аутентификатор, а не SMS, когда вам предлагается этот вариант. С подозрением относитесь к любым звонкам, текстовым сообщениям или электронным письмам с просьбой предоставить личные данные. Следуйте нашим советам по защите от фишинговых атак,
которые часто сочетаются с SIM-заменой.
Фото: Бретт Джордан / Unsplash
