Як не дати SIM-шахраям спустошити ваш банківський рахунок

Якщо ви не стикалися з шахрайством зі зміною SIM-картки, вважайте, що вам пощастило. Це відносно нова, складна форма шахрайства, яка дозволяє хакерам отримати доступ до банківських рахунків, номерів кредитних карток та інших персональних даних. Її важко виявити, а ще важче відшкодувати завдані збитки.

Це зростаюча тенденція. За даними Комісії з чесної торгівлі США, у січні 2013 року було зареєстровано 1038 випадків крадіжки особистих даних через підміну SIM-карт, що становило 3,2 відсотка випадків крадіжки особистих даних у тому місяці. До січня 2016 року ця кількість зросла до 2,658.

Але є надія. Знання основ шахрайства з SIM-картами може допомогти захистити вас від найпоширеніших форм, а розпізнавання атаки, що відбувається, може допомогти вам уникнути найгірших наслідків.

• Що таке Amazon Music: все, що потрібно знати
• iOS 16.2 вже тут, додаючи Apple Music Sing (плюс багато іншого) на ваш iPhone
• Spotify Wrapped 2022: що це таке і як його переглянути

Що таке шахрайство зі зміною SIM-карти?

SIM-карта мобільного телефону зберігає дані користувача в телефонах GSM (Global System for Mobile). Вони в основному використовуються для аутентифікації підписки на мобільний зв’язок – без SIM-карти GSM-телефони не можуть підключатися до жодної мобільної мережі.

Шахрайство з підміною SIM-картки – це тип крадіжки особистих даних, який використовує найбільшу вразливість SIM-системи: Агностицизм платформи.

“На відміну від мобільного шкідливого програмного забезпечення, атаки з підміною SIM-карт, як правило, спрямовані на прибуткові жертви, які були спеціально обрані за допомогою соціальної інженерії”.

“Таким чином зловмисники намагаються отримати доступ до мобільного зв’язку своєї жертви”, – розповів Digital Trends Ендрю Блайч, дослідник з питань безпеки в компанії Lookout. “Існує багато публічних випадків, коли зловмисники за допомогою соціальної інженерії намагаються через представника стільникової компанії отримати SIM-карту, випущену для облікового запису, яким зловмисник не володіє або до якого не має доступу. Виявляється, це легко зробити, оскільки все, що вам потрібно – це добровільний/сприйнятливий представник у будь-якому магазині стільникового зв’язку”.

Емма Мохан-Сатта, консультант із запобігання шахрайству в “Лабораторії Касперського”, розповіла Digital Trends, що зростаюча залежність від телефонної аутентифікації робить підміну SIM-карт все більш прибутковою справою.

“Велика частка банківських клієнтів зараз мають номери мобільних телефонів, пов’язані з їхніми рахунками, і тому ця атака стає поширеною в деяких регіонах, де вона раніше не була настільки поширеною”, – сказав Мохан-Сатта. “На відміну від мобільного шкідливого програмного забезпечення, атаки з використанням SIM-карт зазвичай спрямовані на прибуткові жертви, які були спеціально обрані за допомогою успішної соціальної інженерії”.

Підготовка схеми підміни SIM-картки передбачає збір якомога більшої кількості інформації про жертву. Шахраї можуть надсилати фішингову пошту – повідомлення, які видають себе за легальні компанії, такі як компанії, що видають кредитні картки, та медичні страхові компанії – з метою обдурити жертв і змусити їх викласти свої справжні імена, дати народження, адреси та номери телефонів. На жаль, багато людей не можуть відрізнити справжній електронний лист від фішингового. Крім того, злочинці, які спеціалізуються на зборі персональних даних, можуть використовувати загальнодоступні веб-сайти, соціальні мережі та звалища даних.

Після того, як SIM-злочинці зібрали достатньо інформації про жертву, вони створюють фальшиву особистість. Спочатку вони телефонують до оператора мобільного зв’язку жертви і заявляють, що його або її SIM-карта була загублена або пошкоджена. Потім вони просять представника служби підтримки клієнтів активувати SIM-карту або номер, що знаходиться у них у володінні.

Більшість операторів мобільного зв’язку не задовольняють такі прохання, якщо абонент не відповідає на питання безпеки, але SIM-шахраї готуються до цього, використовуючи персональні дані, які вони зібрали в Інтернеті, щоб обійти перевірку безпеки оператора, не викликаючи жодної тривоги.

Отримавши безперешкодний доступ до номера телефону жертви, злочинці переходять до банківських рахунків.

“Зловмисник може читати ваші SMS-повідомлення і бачити, з ким і про що ви спілкуєтеся”, – сказав пан Блайх. “Багато банків надсилають вам код для входу в обліковий запис або скидання пароля на мобільний телефон через SMS, а це означає, що зловмисник, який вчиняє SIM-шахрайство, може запросити і отримати код та отримати доступ до вашого банку”.

Далі СІМ-шахраї маскують зняття грошей за допомогою паралельної системи. Вони створюють другий банківський рахунок на ім’я жертви (у банках, де жертва вже є клієнтом, менше перевірок безпеки). Коли злочинці здійснюють переказ між двома рахунками, комп’ютерній системі банку здається, що жертва переказує кошти між двома паралельними рахунками.

Ознаки шахрайства з підміною SIM-картки

Виявити шахрайство з SIM-картами до того, як воно станеться, досить складно. Більшість жертв виявляють, що їхні дані скомпрометовані, коли намагаються зателефонувати або надіслати повідомлення. Як тільки зловмисники деактивують SIM-карту, повідомлення та дзвінки не проходять. Але деякі банки та оператори встановили захист, який запобігає шахрайству з підміною SIM-картки до того, як це станеться.

“Існує багато організаційних та технічних способів боротьби з шахрайством із SIM-картами – від запровадження оповіщення користувачів та додаткових перевірок при перевипуску SIM-карт до обміну інформацією про підміну SIM-карт між банками та телефонними компаніями”, – сказав Мохан-Сатта. “Банки також можуть розглянути можливість пошуку поведінкових змін за допомогою технології поведінкового аналізу, які можуть вказувати на скомпрометований пристрій. Ця інформація може бути використана банком, щоб уникнути надсилання SMS-паролів на скомпрометовані пристрої та як ранній спосіб попередження справжнього клієнта”.

Деякі установи телефонують клієнтам, щоб визначити, чи отримали вони нову SIM-карту, або попередити їх про те, що хтось потенційно видає себе за них.

Мартін Уорвік (Martin Warwick), керівник відділу FICO по боротьбі з шахрайством в Європі, на Близькому Сході і в Африці, повідомив CreditCards.com, що все більше банків використовують IMSI (International Mobile Subscriber Identity) – унікальний номер, пов’язаний з конкретним GSM-телефоном – для того, щоб гарантувати, що одноразові коди будуть відправлені тільки законним абонентам.

“Можна перевірити, чи збігаються номер вашої SIM-картки та міжнародний ідентифікатор мобільного абонента (IMSI)”, – сказав Уорвік. “Якщо є розбіжності, ваш банк може зв’язатися з вами електронною поштою або стаціонарним телефоном для перевірки”.

Банки Великобританії, в тому числі Lloyds Banking Group і Santander, кажуть, що вони працюють з постачальниками послуг мобільного зв’язку над цим питанням. Такі групи, як Financial Fraud Action UK, активно співпрацюють з телекомунікаційними компаніями для інформування абонентів про підміну SIM-карт.

Як запобігти шахрайству зі зміною SIM-картки

Основні оператори в США пропонують засоби безпеки, які можуть допомогти захиститися від підміни SIM-карт.

• У AT&T є “додаткова безпека” – функція, яка вимагає надання пароля для будь-якої взаємодії з клієнтським представником AT&T в Інтернеті або по телефону. Ви можете увімкнути її, увійшовши до веб-панелі управління AT&T або додатку myAT&T.
• Sprint просить клієнтів встановити PIN-код та питання безпеки при підключенні до послуги.
• T-Mobile дозволяє абонентам створити “захисний пароль”, який буде потрібен, коли вони зв’яжуться зі службою підтримки клієнтів T-Mobile по телефону. Ви можете встановити його, відвідавши магазин T-Mobile або зателефонувавши до служби підтримки клієнтів.
• Verizon дозволяє клієнтам встановлювати PIN-код облікового запису, що вони можуть зробити, редагуючи свій профіль у своєму онлайн-акаунті, зателефонувавши до служби підтримки клієнтів або відвідавши магазин Verizon.

За словами Мохан-Сатта, найпростіший спосіб запобігти шахрайству з SIM-картами – це дотримуватися кількох правил здорового глузду.

“Користувачам слід уникати розкриття занадто великої кількості персональних даних в Інтернеті, а також перевірити, які сповіщення можна налаштувати у своєму банку або телефонній компанії для виявлення будь-яких спроб отримати доступ до свого облікового запису”, – сказала вона.

“Уникайте використання SMS як основного способу зв’язку, оскільки дані не зашифровані”.

Ще однією хорошою практикою є використання зашифрованих додатків для обміну повідомленнями, які не так схильні до шпигунства, як SMS-повідомлення. Блайх пропонує увімкнути двофакторну автентифікацію, яка вимагає випадково згенерованого пароля на додаток до імені користувача та пароля, для конфіденційних соціальних мереж, кредитних карток та банківських рахунків.

“Користувачі можуть найкраще захистити себе, використовуючи сервіси, які не використовують SMS для своїх кодів, а використовують програми-аутентифікатори, такі як Google Authenticator або будь-які інші програми, які надають подібні послуги”, – сказав він. “Також слід уникати використання SMS як основного способу зв’язку, оскільки дані в SMS не зашифровані і можуть бути легко перехоплені. Користувачам слід переключитися на додатки або сервіси обміну повідомленнями, такі як iMessage, WhatsApp, Signal тощо, для будь-яких повідомлень, які ви бажаєте залишити приватними”.

Ніколи не завадить проявити належну обачність. Блайх рекомендує кожні пару тижнів перевіряти в компанії мобільного зв’язку, чи не було видано жодної SIM-карти без вашого відома.

Якщо ви стали жертвою шахрайства з підміною SIM-карти, це не кінець світу. Мохан-Сатта каже, що швидкі дії можуть мінімізувати розмір збитків, завданих шахраями.

“Повідомте банк або телефонну компанію, як тільки у вас виникли будь-які підозри, щоб зменшити вплив атаки”, – сказала вона.

Рекомендації редакції

• Що таке оперативна пам’ять? Ось все, що вам потрібно знати
• Tidal дає бета-тестерам функцію живого діджея
• Sunbird виглядає як додаток iMessage для Android, на який ви так довго чекали
• Найкращі програми для зміни голосу для Android та iOS
• Нова політика оновлення Android від OnePlus відповідає Samsung, ганьбить Google

Source: digitaltrends.com