Atar una cuenta a una tarjeta SIM se ha convertido en un estándar de seguridad en los bancos y en varios servicios financieros, incluidos los de criptomoneda. Parece que la autenticación de dos factores protege de manera confiable los datos y los activos.

Pero en realidad este no es el caso: en abril, un estudiante de California recibió 10 años de prisión por robar criptomonedas usando tarjetas SIM. Joel Ortiz, de 21 años, pudo robar alrededor de $ 7.5 millones en criptomonedas a través del llamado intercambio de SIM (intercambio de tarjetas SIM), un esquema fraudulento en el que los atacantes obtienen acceso a la información de la víctima, y luego se comunican con el operador de telefonía celular y le piden que vuelva a liberar el Tarjeta, haciéndose pasar por otra persona. Con la ayuda del intercambio de SIM, millones de dólares son robados por criptomonedas.

¿En qué medida el intercambio de tarjetas SIM amenaza a los poseedores de criptomonedas y cómo proteger sus activos criptográficos?

¿Qué hay de peligroso en el intercambio de SIM?

La primera serie de robos importantes de criptomonedas usando el intercambio de SIM ocurrió incluso en el invierno de 2016 en los Estados Unidos. Las víctimas mantuvieron las criptomonedas en varios intercambios, utilizando autenticación de dos factores, cuando necesita obtener un código en el teléfono para acceder al nuevo dispositivo.

Primero, los estafadores averiguarán el número de teléfono y los datos personales de la víctima (a través de fuentes abiertas o a través de empleados de operadores para obtener una parte de la recompensa). Después de eso, bloquean la tarjeta SIM; todo lo que necesita hacer es llamar al servicio de asistencia, presentarse y reportar la pérdida del teléfono. Entonces necesita obtener el número para transferir a su tarjeta SIM. Esto se puede hacer de diferentes maneras: engañando al gerente, haciendo connivencia con los empleados de una compañía de telecomunicaciones o simplemente contactando a un representante de servicio al cliente que cumpla con los requisitos.

Habiendo obtenido los datos necesarios, los estafadores establecen el control sobre el número. Esto les da acceso a la mayoría de los servicios bancarios y de Internet que usan autenticación de dos factores y a los que Simka está vinculado. Incluyendo carteras criptográficas y online.

“Es importante entender que el intercambio de SIM no es solo y no se trata tanto de criptomonedas. Precedentes con el secuestro de criptomoneda – un caso especial, que recibió una resonancia. En general, la amenaza es mucho más global y afecta a todos los aspectos de la protección de datos personales ”, señaló Ekaterina Malyarova, Doctora en Derecho, profesora del programa de educación complementaria BCL.

¿Qué tan común es el intercambio de SIM?

Nadie sabe los datos exactos. Los operadores celulares de Rusia no respondieron a nuestra solicitud.

La mayoría de los casos de intercambio de SIM de alto perfil ocurrieron en los Estados Unidos. Estamos hablando de varios miles de precedentes por año. Al parecer, el objetivo principal de los hackers estadounidenses es que los miembros activos de la comunidad criptográfica, que poseen grandes sumas en criptomonedas. De acuerdo con las palabras de Bitcoin empresario Semanas Joby, que no sabe una sola persona de la comunidad cripto-estadounidense, que no sería robar el número. La policía de California incluso tomó los casos de cambio de SIM para control especial, y según el informe CipherTrace, el intercambio de SIM es una tendencia entre los estafadores en 2018.

Los intrusos son en su mayoría hackers jóvenes entre las edades de 19 y 25 años. En julio de 2018, la policía arrestó a un estudiante universitario de 20 años, Joel Ortiz, quien robó unos $ 7,5 millones en criptomoneda utilizando un intercambio de SIM, del cual robó $ 5,2 millones a un empresario de Cupertino. En total, los estafadores robaron a unas 40 personas. En abril de este año, un tribunal de California lo condenó a 10 años de prisión.

También en 2018, por el cambio de SIM arrestado:

• Javier Narváez, de 19 años, acusado de robar alrededor de $ 1 millón;
• Nicholas Truly, de 21 años, acusado de piratear los simulacros de varios grandes empresarios de Silicon Valley y de robar grandes sumas de dinero de las billeteras en Coinbase y Gemini;
• Joseph Handshumacher, de 25 años, acusado de robar 57 BTC;
• Joseph Harris, de 23 años, y Robert Childers, de 21 años, acusados de robar a través de un canje de SIM de $ 14 millones de la compañía de criptomonedas Crowd Machine;
• Dawson Bakis, de 20 años, acusada de 50 casos de fraude por intercambio de SIM.

“Este vector de ataque es bastante antiguo, antes de que se usara para robar fondos a través de la banca en línea. Las tarjetas SIM están muy mal protegidas y se clonan fácilmente. También es fácil hacer una copia de la tarjeta SIM en el propio operador ", dijo Edward Bark, cofundador del intercambio de criptomonedas EXMO.

Aún no hay referencias a tales arrestos en Rusia, pero si usted o sus conocidos se enfrentan a un intercambio de SIM, escríbanlo en los comentarios.

¿Es posible devolver los fondos robados?

Si alguien roba dinero de su cuenta bancaria, es muy probable que pueda devolverlo. Si un estafador tiene acceso a su billetera criptográfica, es poco probable que pueda compensar las pérdidas. De hecho, en el caso del intercambio de tarjetas SIM, no está claro quién debe ser responsable de la pérdida de fondos: ¿el operador, la bolsa o el propietario de la cartera? Por lo que sabemos, hasta ahora ningún operador bursátil ha compensado a las víctimas por sus pérdidas.

“Creo que el papel clave en el proceso de garantizar la seguridad de los titulares de tarjetas SIM debe asignarse no a los propietarios, sino a los operadores móviles. Los estudios muestran que en un número significativo de casos, el intercambio de SIM es posible debido a las filtraciones internas de información, así como a la participación de los empleados de las compañías de telecomunicaciones en estos ataques ", dijo Ekaterina Malyarova.

Edward Bark, cofundador del intercambio de criptomonedas EXMO, en caso de un robo comprobado mediante el intercambio de SIM, recomendó " contactar al operador, ya que el atacante utilizó todos los datos que el usuario (aunque no intencionalmente, pero por descuido) le proporcionó ".

En agosto de 2018, el empresario y CEO de TransformGroup, Michael Turpin, quien fue víctima de estafadores, decidió que el operador debía responder. Demandó $ 224 millones contra la compañía de telecomunicaciones AT&T. Turpin culpó al proveedor por permitir que los hackers se apoderaran de su número. En una demanda de 69 páginas, Turpin afirma que perdió $ 24 millones debido a dos ataques de piratas informáticos mediante el intercambio de SIM. Ahora el empresario requiere que AT&T devuelva los fondos robados y pague una indemnización de $ 200 millones.

La misma ley se adhiere a la firma de abogados estadounidense Silver Miller, que presentó demandas de arbitraje contra AT & T y T-Mobile en nombre de varias víctimas que perdieron $ 621,000, $ 400,000 y $ 250,000 en criptomoneda debido al intercambio de SIM. Silver Miller culpa a los operadores por crear condiciones favorables para el fraude.

¿De qué otra manera pueden los estafadores obtener acceso a la criptomoneda de la víctima a través de tarjetas SIM?

Desafortunadamente, el intercambio de SIM no es la única amenaza que emana de las tarjetas SIM.

Interceptar SMS con una contraseña . Para obtener acceso a las cuentas, no siempre es necesario robar un número. Usando el protocolo del sistema de señalización 7 (SS7), los estafadores pueden interceptar códigos y mensajes de texto en SMS. En 2017, Positive Technologies realizó experimentos sobre la interceptación de SMS y la conexión a cuentas Coinbase, que demostraron lo fácil que es iniciar sesión en las cuentas de otras personas.

Reenvío de mensajes . Los estafadores también pueden piratear la cuenta personal del usuario en el sitio del operador y configurar el reenvío de todos los mensajes a otro número.

Robo simple . Al final, simplemente puede robar una tarjeta SIM o un teléfono. Mientras la víctima note la pérdida, los atacantes pueden retirar todos los medios.

¿Cómo evitar ser víctima de un intercambio de SIM?

El consejo más simple y obvio es no vincular su cuenta a una tarjeta SIM. Pero, desafortunadamente, muchos servicios requieren un número de teléfono móvil sin falta. En este caso, se le ayudará a mantener seguros sus activos y datos personales mediante el cumplimiento de las recomendaciones que se enumeran a continuación.

No indique públicamente el número de teléfono al que están conectadas las cuentas en las plataformas criptográficas . No comparta este número con nadie y no lo publique en ningún lugar. Este debe ser un número de teléfono separado, comprado específicamente para vincularse a una cuenta en la bolsa de valores o una billetera criptográfica. No enlace a este número de cuentas de redes sociales, correo u otros intercambios. Una cuenta / billetera – un número.

Un teléfono con una tarjeta SIM debe almacenarse por separado, en un lugar protegido . Debe usar este número una vez cada 2 o 3 meses y no olvide reponerlo, para que el operador no lo bloquee ni se lo dé a otra persona.

Establecer una contraseña adicional . Para bloquear la tarjeta SIM, basta con llamar al operador y llamar al nombre. Pero la mayoría de los operadores ofrecen la posibilidad de establecer una contraseña adicional. Luego, si alguien solicita bloquear una tarjeta SIM o volver a emitirla, le preguntarán no solo su nombre completo, sino también su contraseña.

No utilice la autenticación de dos factores . En cambio, si la plataforma lo permite, use un programa especial para la autenticación de dos factores. Por ejemplo:

• Google Authenticator
• Authy
• Microsoft Authenticator
• Duo
• Autentificador más.

Estas aplicaciones están vinculadas al teléfono inteligente, no al número, y generan códigos temporales (30 segundos de duración) para iniciar sesión en la cuenta. Para estar seguro, escriba en algún lugar una copia de las claves de la aplicación de autenticación en caso de que pierda o rompa el teléfono. Recuerde que la autenticación que utiliza la aplicación también debe ponerse en otros servicios asociados con la cuenta en el intercambio. Por ejemplo, al buzón.

En lugar de aplicaciones, también puede usar el método de autenticación física: hardware USB y claves de seguridad NFC, por ejemplo, Yubikey.

"No utilice la autenticación de dos factores a través de SMS; en su lugar, utilice los códigos TOTP para la autenticación, no envíe su número de teléfono a extraños y no lo publique en fuentes abiertas ", recomendó Eduard Bark, cofundador del intercambio de criptomoneda EXMO.

• Deshabilitar el reenvío de llamadas . Esto hará que sea mucho más difícil para los estafadores obtener acceso rápido a sus datos.
• Guarde los fondos en carteras frías y autónomas , y las carteras en sí mismas, en un lugar seguro u otro lugar inaccesible para personas no autorizadas y ataques de hackers.
• Mantenga sus datos personales . Si los estafadores tienen sus datos de pasaporte, escaneo o copia de un pasaporte, sus posibilidades de engañar a los empleados crédulos del operador celular aumentarán dramáticamente.
• Mantener el anonimato . No tienes que estar paranoico, pero no debes decir una vez más en qué bolsa de valores tienes dinero, cuántos bitcoins tienes y cómo compraste un lambo después del próximo rally de toros.
• Estar vigilante Trillado no dejes el teléfono desatendido. Si la conexión desaparece repentinamente y no puede llegar a ninguna parte, no retrase la llamada al operador y bloquee el número.

Es importante comprender que ninguno de estos métodos es una garantía de la seguridad de los activos y los datos personales. Para proteger sus fondos, debe utilizar todo el arsenal de protección contra los estafadores criptográficos.

Edward Bark también aconsejó :

"Para evitar la pérdida de fondos debido al intercambio de SIM u otros tipos de fraude, recomendamos incluir la protección completa de la cuenta obligatoria (elegir esta posición significa que al cambiar la configuración del perfil, retirar fondos o autorización, además del inicio de sesión y la contraseña estándar para una protección adicional, utiliza códigos únicos de una sola vez a través de Google Authenticator), no use las mismas contraseñas para correo y cuentas personales, no abra correos electrónicos sospechosos y no siga enlaces desconocidos. Además, contamos con un departamento antifraude muy sólido que controla el comportamiento del usuario y, si se detecta una actividad sospechosa, puede suspender temporalmente la salida y solicitar algunos datos del usuario para su identificación adicional ".

¿Se han enfrentado usted o sus conocidos con el intercambio de SIM? Escribe en los comentarios.

Fecha de publicación 04/05/2019
Comparte este material en las redes sociales y deja tu opinión en los comentarios a continuación.