Co je SIM swapping a jak se proti němu bránit?

Ztratíte signál, nepřicházejí SMS a během pár minut může někdo jiný ovládat účty, ke kterým jste dosud používali svoje číslo. Tento scénář má jméno. SIM swapping (někdy také SIM jacking). Je to jeden z těch útoků, které nevyžadují žádné hi-tech hackování vašeho počítače. Útočník využije slabinu v identitě, komunikaci s operátorem nebo lhostejnost kolem osobních údajů a převezme kontrolu nad vaším číslem.

Základní princip je překvapivě banální. Útočník získá dostatek informací o oběti (jméno, telefonní číslo, datum narození, případně další osobní údaje) často díky úniku dat, z veřejných profilů nebo cíleného phishingu, a obrátí se na mobilního operátora s žádostí o přepnutí čísla na novou SIM nebo aktivaci eSIM. Pokud operátor žádosti vyhoví, původní karta přestane fungovat a útočník okamžitě začne přijímat hovory i SMS pro dané číslo. Pak už je to jen o čase, kdy ověřovací kódy posílané přes SMS přijdou k útočníkovi a on může zkusit obnovit heslo k e-mailu, sociálním sítím nebo dalším službám, které používáte.

Důležité je vědět, že moderní bankovní aplikace už často nepoužívají jen SMS, ale vázání na konkrétní zařízení nebo jiné bezpečnostní klíče, takže samostatné převzetí SIM nemusí vždy znamenat přímý přístup k účtu v bankovní aplikaci. Nicméně u mnoha služeb, které na SMS kódy stále spoléhají, je riziko reálné a akutní.

Jak poznat, že se něco děje?

Zde je několik situací, které vám mohou naznačit, že se děje něco špatného:

náhlý a nevysvětlitelný výpadek signálu (žádné volání, žádné SMS),
hláška „Žádná SIM“ nebo „Není registrováno v síti“,
běžné SMS nepřicházejí,
upozornění o přihlášení z nového zařízení, změně hesla nebo jiné neočekávané notifikace.

Pokud je některá z těchtoch situací reálná a zažijete ji -nečekejte a okamžitě jednejte.

Co v takové situaci dělat?

Náslelujte tyto jednoduché kroky, které sníží šanci, že se útočníkovi podaří vaše číslo převzít.

Bezpečnostní kód u operátora — u většiny operátorů jde nastavit PIN nebo bezpečnostní fráze, bez nichž nelze vydat novou SIM.
Používejte ověřovací aplikace (Google Authenticator, Authy) nebo hardwarové klíče místo SMS.
Dejte si pozor co zveřejňujete na sociálních sítích a veřejných profilech**. Omezte sdílení osobních údajů -** tel. číslo, datum narození nebo adresu.
Projděte veřejné záznamy, staré inzeráty a své profily a zjistěte, co o vás jde dohledat. Pravidelný audit online stop je důležitý.
Pozor na phishing. Nikdy neklikejte na podezřelé odkazy a nevyplňujte citlivé údaje v e-mailech nebo SMS, i když vypadají přátelsky.
Mnoho operátorů nabízí notifikace o změnách účtu a možnost sledovat, zda nedošlo k žádosti o novou SIM. Využijte této možnosti a používejte aplikaci operátora.
I nenápadný výpadek signálu berte vážně.
Zabezpečte e-mail. Nastavte si silné heslo a dvoufaktorové ověření spíše než SMS ověření.
Kontrolujte pravidelně nastavení zabezpečení u banky, e-shopů, sociálních sítí i cloudových úložišť.
Pokud situace zneužití vaší SIM nastane, kontaktujte operátora, banku, změňte hesla a zvažte nahlášení incidentu Policii ČR; některé instituce doporučují i nahlásit případ NÚKIB. Rychlá reakce je důležitá.

Pokud k útoku došlo?

Volejte svého operátora a ověřte, zda nebyla aktivována nová SIM.
Okamžitě změňte hesla u e-mailu a dalších služeb. V první řadě e-mail, ten bývá vstupní branou k dalším resetům.
Kontaktujte banku a informujte je o možném podvodu.
Zvažte podání trestního oznámení na Policii ČR a nahlášení incidentu příslušným orgánům (NÚKIB).
Zkontrolujte všechna připojená zařízení a obnovte bezpečnostní nastavení.

S rozšířením eSIM a možností aktivace přes mobilní aplikaci se objevují nové varianty útoku. Útočník nemusí ani fyzicky převzít kartu, stačí vzdálená aktivace. To posouvá důraz právě na to, aby operátoři měli robustní procesy a uživatelé silné dodatečné ověřování. Buďte obezřetní při udělování přístupů aplikacím a při nastavování možnosti vzdálené správy SIM.

SIM swapping nevyžaduje technicky zdatného hackera. Stačí dobře provedená sociální manipulace, veřejně dostupné informace a chyba v procesu u operátora. Oproti tomu prevence je dostupná pro každého. Nastavte si bezpečnostní PIN u operátora, přejdětě na ověřovací aplikace místo SMS, chraňte svůj e-mail a hlídejte své online informace. To jsou kroky, které nezaberou mnoho času, ale mohou zásadně snížit riziko.

Autor/ka obrázku: Freepik.com