Operatorzy narażeni na technikę przejmowania kart SIM

Badacze z Princeton ustalili, że amerykańscy operatorzy narażają swych klientów na technikę przejmowania kart SIM. Za słabo weryfikują ich tożsamość podczas wymiany karty.

Jeszcze do niedawna hakerzy wykorzystywali do ataków na nasze smartfony phising oraz różnego rodzaju malware. Przejmując kontrolę nad sprzętem, mogli wówczas dostać się do naszych usług, w tym także kont bankowych. Ostatnio jednak znaleźli dużo prostszy i skuteczniejszy sposób działania. Przejmują bowiem całe karty SIM, co zapewnia im m.in., dostęp do SMS’ów autoryzujących operacje bankowe i pozwala wyczyścić nasze konta.

Kartę SIM można przejąć zbyt łatwo

Hakerzy podszywają się pod abonenta wykorzystując różne triki i otrzymują w salonie operatora duplikat karty SIM. Użytkownik zazwyczaj nie ma pojęcia co się dzieje, gdy jego telefon nagle przestaje działać. Kiedy domyśli się o co chodzi, jest już za późno, ponieważ przestępcy opróżnili już jego konto bankowe.

Badacze z Princeton przeprowadzili badanie, które może poważnie zaniepokoić abonentów. Przebadali bowiem łącznie 50 amerykańskich operatorów, z każdym z nich podpisując 10 umów na prepaidy. Badanie wykazało, że dla obcej osoby zdobycie duplikatu karty SIM jest bardzo proste. Telekomy dość luźno podchodzą bowiem do weryfikacji tożsamości abonenta. Wymagają bowiem tylko odpowiedzi na jedno pytanie.

Badacze zgłaszali się do firm z prośbą o wymianę karty, celowo dostarczając im błędny PIN użytkownika. W ten sposób zmuszali obsługę klienta do wyboru innej metody autoryzacji. Klienci zapytani o datę urodzenia lub kod pocztowy właściciela konta odpowiadali, że popełnili błąd przy rejestracji i podawali wówczas nieprawidłowe informacje.

Obsługa klienta przechodziła wówczas do trzeciej metody autoryzacji, w której proszono klienta o podanie numerów dwóch ostatnio wykonanych połączeń. Dzięki tej metodzie naukowcom udało się przeprowadzić wymianę karty SIM. I to jest właśnie największy problem, gdyż atakujący może łatwo skłonić ofiarę do połączenia się z przypadkowym numerem, który będzie znał.

Gdy udało się już zdobyć kartę SIM, przebadano następnie 140 popularnych stron oraz usług, wykorzystujących autoryzację za pomocą telefonu. Chciano w ten sposób sprawdzić co można w ten sposób dokonać. Mając wyłącznie kartę SIM, badacze byli w stanie zresetować hasła do 17 usług, gdyż nie zadawano im dodatkowych pytań autoryzacyjnych.

Widać więc, że przejęcie karty SIM przez hakera, może być dla użytkownika niezwykle groźne i narobić mu sporo problemów.

Źródło