SIM-swap-bedrägeri

Ett telefonnummer är en portabel autentiseringsuppgift: mobiloperatörer kan flytta ett nummer från ett SIM-kort till ett annat så att kunder kan ersätta en förlorad eller uppgraderad telefon. SIM-swap-bedrägeri missbrukar denna legitima portningsprocess. Angriparen övertygar operatören att omtilldela offrets nummer till ett SIM-kort i angriparens ägo, varefter alla samtal och sms till det numret, inklusive säkerhetskoder, flödar till angriparen i stället för offret.

För att utlösa bytet utger sig angriparen för att vara offret gentemot operatören, med hjälp av personuppgifter insamlade från intrång, nätfiske eller sociala medier för att svara på verifieringsfrågor, eller genom att socialt manipulera eller muta butiks- och supportpersonal. När numret väl är portat förlorar offrets egen telefon vanligtvis täckning, ett tidigt symptom som är lätt att missa eller avfärda.

Med kontroll över numret går angriparen vidare för att kapa konton. De begär lösenordsåterställningar och engångskoder för e-post-, bank-, börs- och andra konton, fångar upp sms-koderna och slutför inloggningar eller återställningsflöden som förlitar sig på telefonnumret som en betrodd faktor. Snabbhet är viktigt, eftersom fönstret innan offret återställer tjänsten och varnar leverantörerna är kort, så angripare förbereder sina mål i förväg och tömmer värde snabbt.