Hlavní navigace

Útoky typu SIM swap nepolevují, převzetí čísla je cestou k identitě

9. 4. 2021
Doba čtení: 4 minuty

Sdílet

 Autor: Depositphotos
Útoky typu SIM swap jsou často velmi propracované a vždy nepříjemné pro majitele telefonního čísla. Přitom běžný uživatel nemůže uhlídat všechny cesty k útoku vedoucí. T-Mobile má na krku další takový.

Telekomunikační obr T-Mobile zveřejnil před pár týdny informace o datovém průlomu do svých systému, který vedl k tomu, že někteří jeho uživatelé se stali obětí útoku typu SIM swap. Mechanismus toho, jak se lze dopracovat k tomu, aby útočníkovi operátor zpřístupnil SIM třetí osoby, je popsán třeba na Wikipedii. Dodat tak lze hlavně to, že s rostoucím významem mobilních telefonů v komunikaci, kdy je SIM / číslo párováno uživatelem s přístupem ke stále rostoucímu počtu služeb, nebezpečnost tohoto typu útoku rozhodně neklesá, spíše naopak.

Telefonní číslo jako identifikátor

Obecně pokud dnes někdo obere uživatele o telefonní číslo, je tento vystaven riziku týkajícího se prakticky libovolné služby, která na telefonním čísle závisí, od bankovnictví, přes kryptoměny či obecně osobní informace a údaje synchronizované s online službami. Pokud například dané telefonní číslo slouží jako jeden z faktorů v dvoufaktorové autentizaci (2FA), je cesta k údajům napadeného uživatele z poloviny vydlážděna.

Každopádně nejčerstvější případ se týká operátora T-Mobile, jehož systémy byly napadeny a neznámý útočník si odnesl údaje některých zákazníků, konkrétně osobní informace (jména, adresy, bezpečnostní otázky/odpovědi, data narození atd.) a PINy. T-Mobile samozřejmě postižené uživatele informoval a podnikl kroky k ukončení návazných aktivit útočníka.

Uživatelům bylo doporučeno změnit si PIN, heslo a bezpečnostní otázku. Postiženým uživatelům byl poskytnut dvouletý bezplatný kredit služby pro sledování a identifikaci krádeže identity.

Útočník přitom použil získané údaje pro SIM swap u 400 zákazníků T-Mobile. Incident pak dle informací neměl dopad na firemní zákazníky.

Nebylo to poprvé

Security Affairs rekapituluje, že toto není první takový incident u T-Mobile. Už v roce 2017 získal útočník osobní informace zákazníků s využitím známé bezpečnostní slabiny, kdy vedle osobních dat ulovil třeba i čísla účtů a IMEI telefonů používaných zákazníky.

V květnu 2018 zase chyba v systému webové stránky T-Mobile umožnila komukoli získat osobní údaje účtů libovolného zákazníka za použití čísla mobilního telefonu. V srpnu téhož roku T-Mobile zažil bezpečnostní průlom, který vedl k odcizení osobních údajů 2 miliónů zákazníků. Další průlom nastal v listopadu 2019 u americké pobočky tohoto operátora, kdy z firmy unikla data malého množství zákazníků s předplacenými službami.

V březnu 2020 pro změnu zamířil sofistikovaný útok na poskytovatele e-mailových služeb pro T-Mobile. Datový průnik dopadl jak na zákazníky, tak na zaměstnance T-Mobile. A nakonec v prosinci minulého roku z firmy při útoku na systémy unikla data uživatelů jako telefonní čísla či záznamy hovorů.

SIM je jen kus plastu (a často už ani to)

Že je SIM swap tak úspěšný a efektivní útok, je pochopitelné. SIM karta, i kdyby fyzicky vlastněna uživatelem třeba déle než 10 let někde uprostřed pustiny v dosahu vysílače, není nic jiného než pouhá falešná jistota, že uživatel opravdu vlastní telefonní číslo. SIM karta jen říká systému operátorů při svém připojení něco jako mám toto identifikační číslo a operátoři jej následně spárují s telefonním číslem.

Stejně jako může být číslo přeneseno od operátora k jinému během pár hodin, stejně jako může být u stejného operátora přeneseno na jinou SIM (správně řečeno bude u operátora pro dané číslo registrována jiná fyzická SIM), může být i toto přenesení podvodně vylákáno. A ještě větší chaos v tom bude s příchodem eSIM, které už ani nebudou mít žádnou fyzicky oddělitelnou, jakkoli dočasnou reprezentaci v podobě plastové kartičky s čipem uvnitř.

Je to vlastně stejné jako platební karta. Ten, kdo si myslí, že fyzické držení kusu plastu, na němž je napsáno číslo karty, je podstatné, se samozřejmě mýlí. Dokazuje to už prostá povaha internetových plateb, kdy zadání tří údajů plně identifikuje nefyzickou platební kartu a veškerý zbytek ochran stojí a padá se znalostí PINu (a jeho zabezpečení), případně dalších údajů.

Stejně jako je možné v jednu chvíli vybrat 100 kun v bankomatu v Chorvatsku, aby útočník se čtečkou na tom bankomatu už o minutu později vyzvedával dolary někde v Argentině, je možné z minuty na minutu přijít o SIM a přístup ke svému telefonnímu číslu se všemi důsledky.

Ostatně před rokem udělali na Princetonu studii, ze které vyplynulo, že pět velkých amerických operátorů je na útok typu SIM swap náchylných. O tématu SIM swap jsme psali i v únoru v souvislosti s posledním takovým útokem v Británii, nebo v roce 2018 v souvislosti s nekalou činností skupiny v USA.

Tip do clanku cloud

Docela rozumný soubor opatření, která může jednotlivec podniknout pro snížení rizika, že na něj někdo použije SIM swap, shrnuje video nad tímto odstavcem. Nutno ale podotknout, že v podstatě neexistuje žádný 100% bezpečný způsob, jak nikdy o SIM nepřijít. Jedině žádnou SIM vůbec nemít.

Autor článku

Příznivec open-source rád píšící i o ne-IT tématech. Odpůrce softwarových patentů a omezování občanských svobod ve prospěch korporací.