Nøglepunkter
- Ved et SIM-swap får en kriminel overført offerets nummer til et andet SIM-kort og modtager derefter offerets opkald og tekstbeskeder.
- Angrebet rammer telefonnummeret og ikke selve SMS-beskeden.
- Kontrollerne hører hjemme i dit login og dine kontoændringer: ekstra tjek, forsinkelser og besked via en anden kanal.
- En beskedudbyder leverer beskeden; den kan ikke stoppe en, der styrer nummeret.
Sådan virker angrebet
Angriberen samler personlige oplysninger om offeret og overtaler derefter operatøren eller en medarbejder til at flytte nummeret til et nyt SIM-kort. Fra det øjeblik mister offerets telefon forbindelsen, og angriberen modtager tekstbeskederne.
Angriberen starter så en nulstilling af adgangskode eller et login hos en tjeneste og bruger koden, der kommer til det nye SIM-kort. Svagheden ligger ikke i SMS som beskedformat, men i hvor let et nummer kan flyttes.
Advarselstegn
- En kunde melder, at telefonen pludselig mistede forbindelsen
- En nulstilling af adgangskode eller et login fra en ny enhed følges straks af ændringer af kontaktoplysninger eller betalingsmodtagere
- Telefonnummeret er for nylig overflyttet eller ændret
- Login fra en ny enhed og en ny placering lige efter en kodeanmodning
Kontroller, du kan tilføje
- Kræv en stærkere faktor før handlinger med høj værdi, fx en authenticator-app eller en passkey
- Forsink eller tilføj besvær til følsomme ændringer kort efter en kodebaseret gendannelse, fx tilføjelse af en modtager eller ændring af telefonnummer
- Giv kunden besked via en anden kanal, fx e-mail eller en app, når et nummer eller en sikkerhedsindstilling ændres
- Hvor dine lande og partnere kan give et signal om, at et nummer for nylig er swappet eller overflyttet, så brug det som input til risikovurderingen
- Lad ikke SMS alene låse op for de mest værdifulde handlinger
Det kan du fortælle dine kunder
- Spørg operatøren om en pinkode eller ekstra beskyttelse på abonnementet
- Vær forsigtig med personlige oplysninger, der deles offentligt
- Kontakt straks operatøren, hvis en telefon mister forbindelsen uden forklaring
- Tjek enhver besked om et ændret nummer eller en ændret sikkerhedsindstilling, og anmeld dem, der ikke blev bedt om
Hvordan ZafeConnect passer ind
ZafeConnect leverer engangskoder og andre A2P-beskeder til 190+ lande og tilbyder Numbers Lookup og SenderID Protection som separate produkter. Registrering af SIM-swap er en kontrol i dine egne flows; tal med os om, hvilke signaler der findes i de lande, du betjener.