полезные статьи

Как предотвратить мошенничество с SIM-картами и ответить на них

Когда Мэтью Миллер из ZDNet получил удар по SIM-карте, он описал это как «ужасную историю», из-за которой он потерял «данные за десятилетия». И он не гиперболичен; более чем через неделю он все еще имеет дело с последействиями, и некоторые крупные технологические игроки, включая Twitter и Google, не могут гарантировать, что он когда-нибудь сможет получить доступ к тому, что его нападающие испортили.

Смена SIM-карты - это серьезная задача, особенно если вы также активно участвуете в сообществе криптовалют - отличный способ для злоумышленника немного испортить вашу жизнь. К счастью, несколько небольших настроек безопасности вашей учетной записи могут помочь снизить вероятность того, что эта раздражающая проблема когда-нибудь испортит ваш день (или месяц).

Что такое замена SIM-карты?

Смена SIM-карты подразумевает, что хакер обманывает вашего сотового оператора, заставляя его поверить, что вы активируете свою SIM-карту на другом устройстве. Другими словами, они крадут ваш номер телефона и связывают его с SIM-картой.

В случае успеха эта атака деактивирует ваше устройство, и теперь его устройство станет пунктом назначения для всех текстов, телефонных звонков, данных и учетных записей, привязанных к вашему номеру телефона и SIM-карте. С помощью этой информации злоумышленник может легко получить доступ к учетным записям вашего приложения, личным данным и финансовой информации. Они могут даже заблокировать вас от ваших услуг навсегда.

Подумайте о том, сколько приложений и учетных записей используют ваш номер телефона для проверки вашей личности, и даже не когда вы заходите в систему со своим именем пользователя и паролем, что злоумышленник не узнает, но сами механизмы восстановления, которые вы использовали бы для сброса этого ключевая информация. Вся безопасность аккаунта в мире не принесет много пользы, если злоумышленник может притвориться, что вы, просто взяв свой номер телефона.

Как выглядит мошенничество с обменом SIM-карт

Человеку не требуется физический доступ к вашему телефону для выполнения замены SIM-карты - он может делать все это удаленно, независимо от марки и модели вашего устройства или вашего поставщика услуг. Им просто нужно иметь достаточно информации, чтобы убедить агента поддержки клиентов, что это вы. Возможно, вы не увидите мошенничества с обменом SIM-карт, пока не станет слишком поздно.

Самый простой способ сказать, что вы были выбраны при смене SIM-карты, - это когда вы видите странное поведение со своего телефона, например, невозможность отправлять или получать текстовые сообщения и звонки, несмотря на то, что сервис не отключен; получение уведомлений от вашего провайдера о том, что ваш номер телефона или SIM-карта были активированы в другом месте; или не может войти ни в одну из ваших важных учетных записей. Рассмотрим недавний пример Мэтью Миллера из ZDNet:

Предотвращение атаки подкачки SIM-карты

Сейчас гораздо проще настроить защиту от атаки подкачки с SIM-карты, чем справиться с последствиями одного - одно - незначительное раздражение, другое потребляет вашу неделю (или больше).

Остерегайтесь фишинга

Первый шаг в атаке подкачки SIM-карты - это обычно (но не всегда) фишинг. Схематичные электронные письма со злонамеренными ссылками, поддельные экраны входа в систему, поддельные адресные строки - есть много форм фишинг-атак, но их легко обнаружить, если вы знаете, на что обратить внимание. Не нажимайте ссылки, не загружайте программы и не заходите на сайты, которые вы не узнаете. Если злоумышленник получит достаточно ключевых данных о вас от этих атак, у него будет то, что ему нужно, чтобы попробовать обмен SIM-карты.

Сократить чрезмерное количество личных данных в Интернете

В дополнение к фишингу или вместо него, другая ранняя часть обмена SIM-картами включает социальную инженерию - в основном сбор как можно большего количества данных о вас, чтобы хакер мог надежно передать вас по телефону или по электронной почте.

Чтобы предотвратить это, не указывайте свой номер телефона, дату рождения, почтовый адрес и всю другую компрометирующую информацию на максимально возможном количестве ваших учетных записей, и не делитесь этой информацией публично, если вы можете ее избежать. Некоторые из этих данных необходимы для определенных услуг, но вам не нужно, чтобы какие-либо из них были доступны для поиска в социальных сетях. Вы должны отменить и удалить любые учетные записи, которые вы больше не используете в качестве дополнительной меры предосторожности.

Защитите свои аккаунты

Многие цифровые учетные записи имеют настройки, которые могут помочь вам забрать свои учетные записи, если они когда-либо были украдены, но они должны быть должным образом настроены, учетная запись украдена, чтобы иметь какую-либо помощь. Они могут включать в себя:

  • Создание ПИН-кода, необходимого для входа в систему и смены пароля. Это особенно важно для настройки с оператором сотовой связи, поскольку это отличная защита от угона SIM-карты.
  • Подходящий метод двухфакторной безопасности, основанный на физическом устройстве, таком как Google Authenticator или Authy, а не проверка на основе SMS для входа в систему. Вы также можете приобрести аппаратный токен для защиты своих учетных записей, если вы хотите стать действительно модным.
  • Strong отвечает на вопросы восстановления безопасности, которые не связаны с вашей личной информацией.
  • Отключение номера телефона вашего смартфона от ваших учетных записей, где это возможно. (Вы всегда можете использовать бесплатный номер Google Voice, если он требуется для ваших конфиденциальных аккаунтов.)
  • Использование длинных, случайных и уникальных паролей для каждой учетной записи.
  • Используйте зашифрованный менеджер паролей.
  • Не используйте ваши любимые сервисы (Google, Facebook и т. Д.) Для входа в другие сервисы; все, что нужно злоумышленнику, - это взломать его, чтобы получить доступ к гораздо большей части вашей цифровой жизни.

Вы также должны отметить важную информацию, связанную с учетной записью, которая может быть использована для идентификации вас как законного владельца учетной записи, например:

  • Месяц и год, когда вы создали аккаунт
  • Предыдущие имена экранов в учетной записи
  • Физические адреса, связанные с учетной записью
  • Номера кредитных карт, которые использовались со счетами или банковскими выписками, которые могут подтвердить, что вы были тем, кто совершил покупки
  • Содержимое, созданное учетными записями, например имена персонажей, если учетная запись предназначена для онлайн-видеоигр.

Аналогичным образом, ведение списка всех ваших критически важных учетных записей облегчит реагирование на подмену SIM-карты или аналогичную кражу идентификатора, поскольку вы сможете безопасно прочесывать каждую учетную запись и изменять пароли, адреса электронной почты и так далее. Храните всю эту информацию в надежном месте - возможно, даже в виде физической распечатки текстового файла - вместо того, чтобы сохранять ее в службе, связанной с цифровым объектом (который может быть взломан).

Децентрализация вашего онлайн следа

Подумайте об использовании зашифрованных приложений и сервисов с открытым исходным кодом, а не только приложений от Google, Apple, Microsoft, чтобы обеспечить распространение важных данных, при этом наиболее конфиденциальные данные хранятся в местах с высочайшей безопасностью. Это относится к электронной почте, приложениям для обмена сообщениями, банковским приложениям и т. Д. Google Drive и iCloud хороши, но если все объединяется в один диск - включая личную финансовую информацию и так далее - вы облажались.

Кроме того, вы должны хранить определенные данные вне облака полностью. Не выбрасывайте свои налоговые декларации в Google Диск, потому что, если кто-то получит доступ, он внезапно получит тонну критической информации о вас (и множество информации, которую они могут использовать, чтобы представить себя вами). И, пожалуйста, несмотря ни на что, не храните список ваших общих паролей, резервных ключей входа, PDF «восстановления учетной записи» вашего менеджера паролей в простой учетной записи облачного хранилища.

Как ответить на атаку своп SIM

Если вы подозреваете, что стали жертвой замены SIM-карты или какой-либо формы кражи идентификатора, выполните все эти шаги быстро:

  • Подайте отчеты о краже личных данных в местное полицейское управление и FTC
  • Оповестите ваши банки / финансовые учреждения о потенциальном отчете об идентификации и запросах на ваши счета и банковские карты, затем свяжитесь со всеми тремя кредитными бюро (Experian, Equifax и TransUnion), чтобы запросить замораживание вашего кредита и пометить потенциальное кредитное мошенничество. Если вы подозреваете, что ваша налоговая идентификация или номера социального страхования скомпрометированы, обратитесь в IRS. Возможно, вы даже захотите изменить свой банковский счет или номера кредитных карт.
  • Сообщите о краже личных данных своему оператору сотовой связи. Имейте в виду, однако, что, если вы не сможете в достаточной мере доказать, что это произошло, и что вы являетесь законным владельцем учетной записи, они не смогут многое сделать (начиная с хакера, как ваш номер телефона, и все).
  • Если у вас есть автономный / аналоговый список ваших учетных записей и их информации, измените адрес электронной почты и пароль каждой учетной записи (убедитесь, что новый адрес электронной почты не привязан к вашему номеру телефона; новый работает лучше всего), и обновите любую другую защиту учетной записи. меры. Наиболее важные места для начала - это ваш адрес (а) электронной почты и финансовые учреждения, включая PayPal, Venmo и т. Д., А также любые учетные записи, связанные с вашим номером телефона или учетными записями Google / Apple.
  • Важное замечание: При наличии опции НЕ отправляйте коды подтверждения и ссылки для сброса на ваш номер телефона. Они будут отправлены хакеру, а не вам.
  • Если вы не можете войти в учетную запись или сбросить пароль, свяжитесь со службой поддержки этой учетной записи как можно скорее и объясните ситуацию. Вам будет предложено подтвердить свою личность, поэтому наличие как можно больше информации об учетной записи поможет вам вернуть контроль.