SIM swaping/swap (výměna SIM karty) je bezpečnostní útok vedoucí k ztrátě identity v podobě odcizení telefonního čísla. Je častým nástrojem pro následné získání přístupů k službám, které mají dvoufaktor/ověření právě pomocí telefonu. Což je velmi často e-mail, sociální sítě, bankovní aplikace.
Pokud útočník získá vaše telefonní číslo do svého mobilu, tak veškerá volání na toto číslo a veškeré SMS půjdou do jeho telefonu. Váš původní telefon se odpojí.
K získání vaší SIM (není to úplně přesně, ale viz dále) je zpravidla nutné nějak přesvědčit operátora, že jste (například) ztratili sim, rozbila se vám. A že potřebujete pro vaše telefonní číslo vydat SIM novou – ať už klasickou, nebo eSIM.
Útočníci k tomu často používají sociální inženýrství, ke kterému zpravidla potřebují údaje, které jim pomohou se za vás vydávat u operátora – jméno, adresa, telefonní číslo, datum narození. Pokud u operátora je nějaké to “heslo pro komunikaci”, nebo pokud u operátora je online systém, kde lze tyto operace provádět, tak mají o to snazší práci.
Operátor následně vystaví novou SIM pro vaše číslo. A útočník tak získá vše co potřebuje pro další útoky.
Jak se SIM swappingu bránit?
Především, v žádném případě nepoužívejte telefonní čísla pro dvoufaktor. Takže i kdyby někdo vaše číslo získal, nepomůže mu to k získání přístup do dalších služeb či systémů. Dvoufaktor je prostě zásadní v běžném užití, tedy pomocí aplikace, a pro pokročilejší, zásadně důležité účty, biometrické ověření, hardwarové klíče, atd.
Velmi podstatné je mít i silná hesla, unikátní, jak už je to roky zvykem. A platí to právě i pro hesla do samoobsluh či “pro komunikaci” u operátora. Tam ale můžete narazit na zabržděnost, kdy právě tato “hesla” bývají jen na úrovní číselného PINu s minimem číslic. A jakkoliv by se mohlo velmi hodit chránit samoobsluhy dvoufaktorem, alespoň některé funkce, nečekejte že by to bylo možné.
Nezapomeňte, že zásadní ochranu vyžadují vaše e-mailové účty. Ty je nutné chránit dvoufaktorem především, protože pokud někdo získá přístup k e-mailům, tak zpravidla získá přístupy k řadě dalších věcí. O informacích z vaší pošty raději ani nemluvě.
Velmi důležité je i nenaletět na phishing. Součástí útoků vedoucích k výměně SIM jsou běžně cílené phishing, které z cíle dostanou potřebné informace. Ať už osobní údaje nebo různorodá hesla.
Tipy týkající se Bezpečného Internetu
