Con un attacco di tipo sim swap i criminali informatici possono, anche senza possedere particolari competenze tecniche, associare il numero di cellulare di una vittima su una nuova scheda SIM da loro controllata. Lo scopo di questa attività è ottenere l’accesso fraudolento a quanto più account online possibili dell’utente fidando sulla possibilità che questo utilizzi gli sms come mezzi per l’autenticazione a doppio fattore. Infatti in tal caso i messaggi di verifica potrebbero essere intercettati con la nuova SIM e utilizzati per operare illecitamente.
Le raccolta delle informazioni
Per procedere nell’intento, l’attaccante deve poter individuare in via preliminare la vittima e raccogliere informazioni precise sul suo conto:
- attraverso collezioni di violazioni/fughe di dati note. Questi DB spesso contengono tra i dati trafugati, estremi anagrafici, e-mail, numeri telefonici e specifiche tecniche delle SIM;
- sfruttando tecniche di ingegneria sociale, in cui il truffatore può carpire elementi informativi utili direttamente alla vittima;
- eseguendo una ricerca di dati che la potenziale vittima potrebbe aver condiviso sul web.
In possesso di tutte le informazioni necessarie il truffatore può così richiede all’operatore telefonico la sostituzione della SIM card con una nuova (spacciandosi per il proprietario legittimo), presentando una richiesta falsificata e motivata, ad esempio, da uno smarrimento o danneggiamento. Qualora la richiesta venisse accolta la vittima perderà l’accesso alla rete cellulare e al numero di telefono, mentre l’impostore prenderà possesso anche della sua identità telefonica.
I segnali a cui prestare attenzione
Nella maggior parte dei casi un sim swap lo si scopre quando ormai è troppo tardi. Risulta fondamentale pertanto la prevenzione, prestare attenzione a possibili segnali di allarme e intervenire il prima possibile:
- Se il telefono perde in modo anomalo il segnale risultando non raggiungibile, la prima cosa da fare è contattare immediatamente il proprio gestore, per verificare che il problema non sia dovuto a interruzioni generali di rete;
- scoperta una richiesta di cambio SIM non autorizzata, attivare subito le procedure di blocco previste dall’operatore, oltre che per tutti gli eventuali servizi che abbiano meccanismi di protezione collegati al numero di cellulare violato, provvedere alla modifica delle relative impostazioni di sicurezza.
I consigli dell’FBI
L’IC3 (Internet Crime Complaint Center) dell’FBI ha diramato di recente un comunicato dal quale emerge un dato allarmante su questa tipologia di frode che ha permesso nel 2021 ai criminali un incremento dei propri illeciti guadagni con perdite, ai danni dei conti correnti degli utenti, stimate di oltre $ 68 milioni.
Esistono comunque diversi accorgimenti che ciascuno di noi può seguire per proteggersi e ridurre le possibilità di cadere vittima di un attacco sim swapping, eventualità che può coinvolgere chiunque anche per responsabilità terze.
L’FBI allo scopo raccomanda in particolare agli utenti di prendere le seguenti precauzioni:
- non fornire le informazioni sull’account del proprio numero di cellulare per telefono ai rappresentanti che richiedono la password o il PIN dell’account. Verificare la chiamata componendo la linea del servizio clienti del proprio operatore di telefonia mobile;
- evitare di pubblicare informazioni personali online, come numero di cellulare, indirizzo o altre informazioni di identificazione personale;
- utilizzare metodi di autenticazione a più fattori efficaci come dati biometrici, token di sicurezza fisici o applicazioni di autenticazione standalone per accedere agli account online;
- non memorizzare password, nomi utente o altre informazioni per un facile accesso alle applicazioni per dispositivi mobili.
Mentre ai gestori di telefonia mobile consiglia di:
- ispezionare attentamente gli indirizzi e-mail in arrivo contenenti corrispondenza ufficiale per leggere modifiche che possono far sembrare gli indirizzi fraudolenti legittimi e assomigliare ai nomi dei clienti reali;
- impostare rigorosi protocolli di sicurezza che consentano ai dipendenti di verificare in modo efficace le credenziali dei clienti prima di modificare i loro numeri su un nuovo dispositivo;
- autenticare le chiamate da rivenditori autorizzati di terze parti che richiedono informazioni sui clienti.
È bene comunque precisare che in Italia l’AGCOM per contrastare la reale possibilità di uno scambio SIM fraudolento e per maggiore tutela dell’utenza ha imposto delle regole più stringenti negli ultimi anni, fornendo così, con un nuovo modo di procedere per le richieste di sostituzione, presentate di persona o per via telematica, una maggiore difesa contro questa tipologia di truffa.
