SIM卡交换攻击
![本页使用了标题或全文手工转换](http://images.weserv.nl/?url=//upload.wikimedia.org/wikipedia/commons/thumb/c/cd/Zh_conversion_icon_m.svg/35px-Zh_conversion_icon_m.svg.png)
SIM卡交换攻击(英语:SIM swap attack),又称SIM卡劫持,是透过冒用身分向电信业者提出申请,将被害者的电话号码从对方的SIM卡转移至攻击者的一种诈骗攻击手段。[1]攻击者可借此在被害者不知情的情况下,收取一次性密码并盗取网站帐号与银行帐户。
2022年初,联邦调查局对这种日渐猖獗的攻击手段提出警告,称旗下的网路犯罪投诉中心在2018年到2020年间共收到320件相关投诉、损失金额达1200万美元,但在2021年共收到1610件相关投诉、损失金额达6800万美元,是过去三年间的五倍以上。[2]
方法
这种攻击手段源自网际网路的发展,许多线上服务开始以电话号码作为注册或登入帐号的依据,而非使用电子邮件或让用户自行输入帐号和密码。例如已有超过7亿用户使用的即时通讯软体Telegram,在首次开启时便会要求输入电话号码。[3]
攻击者会从数据泄露事件中,或是透过网路钓鱼,取得被害者的身分证等详细个人资料。[4]此外,也能透过被害者公开的社群媒体取得姓名、出生年月日或地址等资料。[5]
随后,攻击者会借由这些资讯冒充被害者,运用社交工程说服电信业者将电话号码转移至自己的SIM卡上,例如声称自己弄丢了手机而需要进行转移。随著eSIM的出现,攻击者可以在线上完成申办和开通,让攻击变得更加容易。[6]在印度,需要实体SIM卡上的20位号码才能进行转移,因此攻击者也会运用社交工程诱使被害者给出相关资料。[7]
一旦攻击者成功转移,攻击者便可以使用自己的装置接收被害者的电话和简讯,从而收取一次性密码、绕过基于简讯的双重认证。攻击者可以透过“忘记密码”功能重置密码并夺取被害者的网路服务帐号,甚至进入被害者的银行帐户或加密货币钱包盗取资产。[8]
案例
这种攻击手段于2014年即有案例。[9]近期较知名的案例是在2019年,Twitter联合创始人杰克·多西的Twitter帐号被这种手段骇入,并在短时间内发布了大量种族歧视的推文。[10]
2018年,区块链新创公司Transform Group创办人Michael Terpin被盗取了价值2400万美元的加密货币,他随即起诉美国电信业者AT&T未能充分保护用户安全,并求偿2.24亿美元;两年后,盗取其资产的一名纽约高中生被起诉,他在犯案时年仅15岁。目前,该名攻击者已表示愿意归还其盗取的资产,而对AT&T的求偿则被法院驳回。[11][12]
2020年,普林斯顿大学信息技术政策中心的四位研究员发表了一份研究,他们在美国的五大电信业者申办了共50张预付卡,再尝试对其进行攻击,结果有39张SIM卡成功转移,且有两家电信业者完全未进行身分查核。研究中还测试了140个线上服务,其中有17个可以透过这种攻击手段来盗取帐号。[13][14]
2022年1月,台湾出现首起攻击案例。攻击者绕过台湾相对严格的身分认证机制,冒用被害者的身分证和健保卡影本、出入境证明、委托书等资料,挂失SIM卡后盗取网路银行资产,更冒用身分申办信用卡、领取振兴五倍券和接种2019冠状病毒病疫苗。[15][16]
应对
对民众而言,可以使用Google身分验证器这类的TOTP服务,取代原先基于简讯的两步骤验证;此外防范网路钓鱼和网路诈骗的意识亦不可少。[17]
在企业方面,电信业者也需要拟定更完整的身分查核机制,并进行教育训练,防止业者员工收贿协助进行攻击。[18]
相关条目
参考资料
- ^ SIM swapping attacks | CERT NZ. CERT NZ. [2023-02-25]. (原始内容存档于2023-03-28).
- ^ Internet Crime Complaint Center (IC3) | Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public. www.ic3.gov. 2022-02-08 [2023-02-25]. (原始内容存档于2023-05-03).
- ^ Telegram FAQ. Telegram. [2023-02-25]. (原始内容存档于2014-02-09).
Each phone number is a separate account on Telegram.
- ^ Winters, Mike. This SIM card scam once fooled Jack Dorsey—here's how to avoid it. CNBC. 2022-02-19 [2023-02-25]. (原始内容存档于2023-03-06) (英语).
- ^ Tims, Anna. ‘Sim swap’ gives fraudsters access-all-areas via your mobile phone. The Guardian. 2015-09-26 [2023-02-25]. (原始内容存档于2023-05-03).
- ^ Ebert, Bastian. eSIM Swapping - höhere Gefahr für eSIM Nutzer. eSIM - Alles Wissenswerte zu Handys, Tarifen und Technik. 2021-06-05 [2023-02-25]. (原始内容存档于2023-03-23) (de-de).
- ^ SIM Swap Fraud: 13 things you must know about this online banking scam. Gadgets Now. [2023-02-25]. (原始内容存档于2023-03-06) (英语).
- ^ How Hijacked Cellphone Numbers Can Be Security Risks. npr. 2019-10-25 [2023-02-25]. (原始内容存档于2023-04-10).
- ^ Onlinebanking: Neue Betrugsserie mit der mobilen Tan-Nummer. Süddeutsche Zeitung. 2014-08-14 [2023-02-25]. (原始内容存档于2023-02-25).
- ^ Brandom, Russell. The frighteningly simple technique that hijacked Jack Dorsey’s Twitter account. The Verge. 2019-08-31 [2023-02-25]. (原始内容存档于2023-03-31).
- ^ U.S. cryptocurrency investor sues suburban NYC teen for $71.4 million over alleged swindle. Reuters. 2020-05-07 [2023-02-25]. (原始内容存档于2023-03-06) (英语).
- ^ Harkin, Oliver Knight and Christie. 'Baby Al Capone' Agrees to Pay $22M in AT&T SIM-Swap Case. www.coindesk.com. 2022-10-14 [2023-02-25]. (原始内容存档于2023-03-29) (英语).
- ^ 研究:美國電信業者放任SIM卡偷換攻擊. iThome. [2023-02-25]. (原始内容存档于2023-02-25) (中文(繁体)).
- ^ Lee, Kevin; Kaiser, Benjamin; Mayer, Jonathan; Narayanan, Arvind. An Empirical Study of Wireless Carrier Authentication for {SIM} Swaps: 61–79. 2020-08 (英语).
- ^ 一支手機毀人生…電信、銀行、警方3大破口 SIM卡被盜存款蒸發. KO-IN 智高点. 2022-01-28 [2023-02-25]. (原始内容存档于2022-07-23) (中文(台湾)).
- ^ 一支手機偷走我的人生. 商周. 2022-05-26 [2023-02-25]. (原始内容存档于2023-02-25) (中文(台湾)).
- ^ Hurtz, Simon; Hoppenstedt, Max. Handynummer geleakt - was tun?. Süddeutsche.de. [2023-02-25]. (原始内容存档于2023-02-25) (德语).
- ^ AT&T Contractors and a Verizon Employee Charged With Helping SIM Swapping Criminal Ring. www.vice.com. [2023-02-25]. (原始内容存档于2023-05-15) (英语).