SIM卡交換攻擊
![本頁使用了標題或全文手工轉換](http://images.weserv.nl/?url=//upload.wikimedia.org/wikipedia/commons/thumb/c/cd/Zh_conversion_icon_m.svg/35px-Zh_conversion_icon_m.svg.png)
SIM卡交換攻擊(英語:SIM swap attack),又稱SIM卡劫持,是透過冒用身份向電訊供應商提出申請,將被害者的電話號碼從對方的SIM卡轉移至攻擊者的一種詐騙攻擊手段。[1]攻擊者可藉此在被害者不知情的情況下,收取一次性密碼並盜取網站帳號與銀行帳戶。
2022年初,聯邦調查局對這種日漸猖獗的攻擊手段提出警告,稱旗下的網絡犯罪投訴中心在2018年到2020年間共收到320件相關投訴、損失金額達1200萬美元,但在2021年共收到1610件相關投訴、損失金額達6800萬美元,是過去三年間的五倍以上。[2]
方法
這種攻擊手段源自互聯網的發展,許多線上服務開始以電話號碼作為註冊或登入帳號的依據,而非使用電子郵件或讓用戶自行輸入帳號和密碼。例如已有超過7億用戶使用的即時通訊軟件Telegram,在首次開啟時便會要求輸入電話號碼。[3]
攻擊者會從數據泄露事件中,或是透過網絡釣魚,取得被害者的身份證等詳細個人資料。[4]此外,也能透過被害者公開的社交媒體取得姓名、出生年月日或地址等資料。[5]
隨後,攻擊者會藉由這些資訊冒充被害者,運用社交工程說服電訊供應商將電話號碼轉移至自己的SIM卡上,例如聲稱自己弄丟了手機而需要進行轉移。隨着eSIM的出現,攻擊者可以在線上完成申辦和開通,讓攻擊變得更加容易。[6]在印度,需要實體SIM卡上的20位號碼才能進行轉移,因此攻擊者也會運用社交工程誘使被害者給出相關資料。[7]
一旦攻擊者成功轉移,攻擊者便可以使用自己的裝置接收被害者的電話和短訊,從而收取一次性密碼、繞過基於短訊的雙重認證。攻擊者可以透過「忘記密碼」功能重設密碼並奪取被害者的網絡服務帳號,甚至進入被害者的銀行帳戶或加密貨幣錢包盜取資產。[8]
案例
這種攻擊手段於2014年即有案例。[9]近期較知名的案例是在2019年,Twitter聯合創始人傑克·多西的Twitter帳號被這種手段駭入,並在短時間內發佈了大量種族歧視的推文。[10]
2018年,區塊鏈新創公司Transform Group創辦人Michael Terpin被盜取了價值2400萬美元的加密貨幣,他隨即起訴美國電訊供應商AT&T未能充分保護用戶安全,並求償2.24億美元;兩年後,盜取其資產的一名紐約高中生被起訴,他在犯案時年僅15歲。目前,該名攻擊者已表示願意歸還其盜取的資產,而對AT&T的求償則被法院駁回。[11][12]
2020年,普林斯頓大學資訊科技政策中心的四位研究員發表了一份研究,他們在美國的五大電訊供應商申辦了共50張預付卡,再嘗試對其進行攻擊,結果有39張SIM卡成功轉移,且有兩家電訊供應商完全未進行身份查核。研究中還測試了140個線上服務,其中有17個可以透過這種攻擊手段來盜取帳號。[13][14]
2022年1月,台灣出現首起攻擊案例。攻擊者繞過台灣相對嚴格的身份認證機制,冒用被害者的身份證和健保卡影本、出入境證明、委託書等資料,掛失SIM卡後盜取網絡銀行資產,更冒用身份申辦信用卡、領取振興五倍券和接種2019冠狀病毒病疫苗。[15][16]
應對
對民眾而言,可以使用Google身份驗證器這類的TOTP服務,取代原先基於短訊的兩步驟驗證;此外防範網絡釣魚和網絡詐騙的意識亦不可少。[17]
在企業方面,電訊供應商也需要擬定更完整的身份查核機制,並進行教育訓練,防止業者員工收賄協助進行攻擊。[18]
相關條目
參考資料
- ^ SIM swapping attacks | CERT NZ. CERT NZ. [2023-02-25]. (原始內容存檔於2023-03-28).
- ^ Internet Crime Complaint Center (IC3) | Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public. www.ic3.gov. 2022-02-08 [2023-02-25]. (原始內容存檔於2023-05-03).
- ^ Telegram FAQ. Telegram. [2023-02-25]. (原始內容存檔於2014-02-09).
Each phone number is a separate account on Telegram.
- ^ Winters, Mike. This SIM card scam once fooled Jack Dorsey—here's how to avoid it. CNBC. 2022-02-19 [2023-02-25]. (原始內容存檔於2023-03-06) (英語).
- ^ Tims, Anna. ‘Sim swap’ gives fraudsters access-all-areas via your mobile phone. The Guardian. 2015-09-26 [2023-02-25]. (原始內容存檔於2023-05-03).
- ^ Ebert, Bastian. eSIM Swapping - höhere Gefahr für eSIM Nutzer. eSIM - Alles Wissenswerte zu Handys, Tarifen und Technik. 2021-06-05 [2023-02-25]. (原始內容存檔於2023-03-23) (de-de).
- ^ SIM Swap Fraud: 13 things you must know about this online banking scam. Gadgets Now. [2023-02-25]. (原始內容存檔於2023-03-06) (英語).
- ^ How Hijacked Cellphone Numbers Can Be Security Risks. npr. 2019-10-25 [2023-02-25]. (原始內容存檔於2023-04-10).
- ^ Onlinebanking: Neue Betrugsserie mit der mobilen Tan-Nummer. Süddeutsche Zeitung. 2014-08-14 [2023-02-25]. (原始內容存檔於2023-02-25).
- ^ Brandom, Russell. The frighteningly simple technique that hijacked Jack Dorsey’s Twitter account. The Verge. 2019-08-31 [2023-02-25]. (原始內容存檔於2023-03-31).
- ^ U.S. cryptocurrency investor sues suburban NYC teen for $71.4 million over alleged swindle. Reuters. 2020-05-07 [2023-02-25]. (原始內容存檔於2023-03-06) (英語).
- ^ Harkin, Oliver Knight and Christie. 'Baby Al Capone' Agrees to Pay $22M in AT&T SIM-Swap Case. www.coindesk.com. 2022-10-14 [2023-02-25]. (原始內容存檔於2023-03-29) (英語).
- ^ 研究:美國電信業者放任SIM卡偷換攻擊. iThome. [2023-02-25]. (原始內容存檔於2023-02-25) (中文(繁體)).
- ^ Lee, Kevin; Kaiser, Benjamin; Mayer, Jonathan; Narayanan, Arvind. An Empirical Study of Wireless Carrier Authentication for {SIM} Swaps: 61–79. 2020-08 (英語).
- ^ 一支手機毀人生…電信、銀行、警方3大破口 SIM卡被盜存款蒸發. KO-IN 智高點. 2022-01-28 [2023-02-25]. (原始內容存檔於2022-07-23) (中文(臺灣)).
- ^ 一支手機偷走我的人生. 商周. 2022-05-26 [2023-02-25]. (原始內容存檔於2023-02-25) (中文(臺灣)).
- ^ Hurtz, Simon; Hoppenstedt, Max. Handynummer geleakt - was tun?. Süddeutsche.de. [2023-02-25]. (原始內容存檔於2023-02-25) (德語).
- ^ AT&T Contractors and a Verizon Employee Charged With Helping SIM Swapping Criminal Ring. www.vice.com. [2023-02-25]. (原始內容存檔於2023-05-15) (英語).