Procedura wymiany karty SIM rozpoczyna się obecnie na koncie u operatora, a nie w sklepie

Telefon nie wykazuje żadnego sygnału. Brak pasków zasięgu, brak możliwości wykonywania połączeń alarmowych, nic. Dwadzieścia minut później przychodzi wiadomość e-mail z informacją, że ktoś zalogował się do Państwa skrzynki odbiorczej, a kod potwierdzający został wysłany na numer, który jeszcze przed chwilą należał do Państwa. W ten sposób Państwowe Biuro Kryminalne Dolnej Saksonii opisuje skutki takiego zdarzenia, a śledczy określają przejęcie konta komórkowego i pocztowego jako całkowitą stratę. W jednym ze znanych im przypadków przejęta skrzynka pocztowa ujawniła, że ofiara posiadała kryptowalutę, a pieniądze zniknęły wkrótce potem.

Powszechny obraz ataku typu „SIM swapping” wygląda następująco: ktoś sfałszuje dokument tożsamości, wchodzi do sklepu i otrzymuje kartę zastępczą. Takie sytuacje mają miejsce, jednak sposób działania, przed którym ostrzegają śledczy, nie wymaga ani sklepu, ani żadnych formalności.

Trzy kroki, z których żaden nie wymaga dokumentu tożsamości

Drogą dostępu jest Państwa konto internetowe u operatora, a atakujący uzyskują do niego dostęp wyłącznie na podstawie numeru telefonu. Niektórzy operatorzy umożliwiają zalogowanie się na to konto za pomocą kodu jednorazowego zamiast hasła, a każdy, kto zna numer, może o niego poprosić. To właśnie ten kod atakujący uzyskują od Państwa.

Dzwonią więc i podają się za kuriera. Twierdzą, że paczka jest w drodze i ze względów bezpieczeństwa może zostać dostarczona tylko wtedy, gdy odczyta Pan/Pani kod z wiadomości tekstowej. Wiadomość rzeczywiście przychodzi, tyle że pochodzi od operatora, a nie od kuriera, co w tej chwili łatwo przeoczyć. Odczytanie kodu powoduje odblokowanie Państwa konta.

Po uzyskaniu dostępu do konta zamawiają oni kartę eSIM w ramach obowiązującej umowy. Żadna plastikowa karta nie musi być nigdzie wysyłana – profil ma postać pliku i jest aktywny w ciągu kilku minut. Gdy karta zacznie działać na urządzeniu atakującego, karta w telefonie ofiary zazwyczaj wyłącza się sama.

Od tego momentu każdy tekst trafia na inne urządzenie, a ponieważ większość usług internetowych umożliwia zresetowanie hasła za pomocą wiadomości e-mail lub SMS-a, reszta następuje sama. Na przykładzie starych numerów telefonicznych przeanalizowaliśmy, jak szybko numer staje się kluczem uniwersalnym.

Nie można włączyć blokady przeciwko przeniesieniu numeru

W tym momencie oczywistym pomysłem jest zabezpieczenie własnego numeru. W Stanach Zjednoczonych jest to możliwe. Verizon nazywa blokadę przenoszenia numerów „Number Lock”, T-Mobile oferuje ją jako „Port Out Protection”, a AT&T łączy kilka rodzajów blokad w ramach funkcji „Wireless Account Lock”, dostępnej wyłącznie w własnej aplikacji.

W Niemczech nie istnieje blokada ukierunkowana konkretnie na przenoszenie numerów i wymianę kart SIM, i istnieje ku temu powód. Przenoszenie numerów stanowi tutaj prawo wynikające z § 59 ustawy o telekomunikacji, a od 1 grudnia 2021 r. operatorzy nie mogą pobierać za to opłat. Stała blokada, którą klient sam aktywuje, wydaje się nie pasować do prawa, które ustawodawca chciał uczynić łatwym do wykonania. Niemieccy operatorzy stosują zamiast tego hasło do infolinii oraz opcję zablokowania karty SIM po jej zgubieniu. Oba rozwiązania wchodzą w życie dopiero po zaistnieniu danego zdarzenia.

Istniejący przełącznik znajduje się w panelu konta

Atak rozpoczyna się na koncie internetowym, więc to właśnie tam rozstrzyga się kwestia obrony. Wszyscy trzej najwięksi operatorzy wprowadzili obecnie dwuskładnikowe uwierzytelnianie przy logowaniu, jednak istotne są tutaj różnice.

W przypadku Telekom funkcja ta nosi nazwę „Mehr-Faktor-Authentifizierung” i zaczyna działać dopiero po samodzielnej konfiguracji przez użytkownika. Wybierają Państwo metodę – aplikację lub SMS – oraz częstotliwość jej stosowania: przy każdym logowaniu lub tylko przy ważnych działaniach. Vodafone zaleca natychmiastowe wygenerowanie kodów zapasowych po włączeniu tej funkcji, aby utrata telefonu nie wiązała się również z utratą dostępu do konta. W sieci O2 drugi czynnik uwierzytelniający jest obowiązkowy, a weryfikacja odbywa się na podstawie numeru klienta, jeśli w systemie nie figuruje ani numer O2, ani zweryfikowany adres e-mail.

Dlaczego dwuskładnikowe uwierzytelnianie za pomocą wiadomości SMS nie sprawdza się w tym przypadku

Proszę teraz zestawić ze sobą atak i ustawienia. Przedmiotem kradzieży jest numer telefonu, a drugim czynnikiem zabezpieczającym konto jest wiadomość SMS wysyłana właśnie na ten numer – domyślnie w sieci O2 oraz na żądanie w sieci Telekom. Dopóki utracone jest jedynie hasło, system działa prawidłowo. Jednak gdy utracony zostanie numer telefonu, drugi czynnik zabezpieczający chroni atakującego zamiast Państwa.

W tym samym komunikacie, w którym wprowadzono obowiązkowy drugi czynnik uwierzytelniający, operator O2 zamieścił zdanie, które łatwo przeoczyć. „Nigdy nie podawaj kodu przez telefon ani na czacie” – głosi ono – „zespół obsługi nigdy o niego nie prosi w tych kanałach”. Właśnie tam dzwoni fałszywy kurier.

Każdy, kto ma wybór, korzysta z aplikacji. Kod z aplikacji uwierzytelniającej pozostaje na urządzeniu i nie jest powiązany z numerem telefonu. Każdy, kto nie ma wyboru, przenosi ciężar odpowiedzialności na konto e-mailowe. Konto to wymaga wówczas silnego hasła oraz drugiego czynnika uwierzytelniającego, który nie jest ponownie powiązany z tym samym numerem.

Wystarczy pięć minut, aby to załatwić

Zaloguj się do portalu swojego operatora i sprawdź, czy skonfigurowano drugi czynnik uwierzytelniający. W Telekomie znajdziesz go w ustawieniach logowania, w Vodafone w sekcji „Mein Konto” i „Login-Daten”, a w O2 jest on domyślnie aktywny. Jeśli widnieje opcja SMS, a dostępna jest aplikacja, przełącz się na nią. W Telekomie należy również ustawić tę opcję tak, aby była wymagana przy każdym logowaniu.

Skoro już tam Pan/Pani jest, proszę sprawdzić, czy hasło do konta operatora nie jest używane nigdzie indziej. Jest ono kluczem do zamówienia karty eSIM, więc należy je traktować na równi z hasłem do bankowości internetowej. Następnie proszę sprawdzić, co pełni rolę zabezpieczenia w telefonie. W Telekomie jest to „Kundenkennwort”, które ustawia się i zmienia za pośrednictwem formularza kontaktowego. Vodafone zastąpiło je w aplikacji mobilnej kodem „Service-PIN”, który można wyświetlić w „MeinVodafone”, ale nie można go zmienić – można jedynie poprosić o nowy, a ten zostanie następnie dostarczony pocztą.

A teraz zasada, która nie jest ustawieniem. Żadna osoba dzwoniąca do Państwa nie potrzebuje kodu z Państwa wiadomości tekstowych. Ani kurier, ani zespół serwisowy, ani bank. Każdy, kto o to prosi, potrzebuje tego kodu, ponieważ w danej chwili potwierdza coś w Państwa imieniu. Proszę się rozłączyć, samodzielnie wybrać oficjalny numer i zapytać. Ta sama logika dotyczy hasła do weryfikacji dwuetapowej w aplikacji WhatsApp, które od końca sierpnia zastępuje stary sześciocyfrowy kod PIN.