Cómo funciona SIM Swap y por qué es peligroso

Un nuevo tipo de ataque pone en peligro nuestra identidad y la SIM del teléfono. Averigüemos cómo funciona.

Entre los ciberataques que se llevan a cabo en los teléfonos móviles modernos, el más peligroso de todos es sin duda el Cambio de SIM, un ataque dirigido y bien diseñado por ciberdelincuentes o ladrones digitales que le permite comerciar tomando el control de un número de teléfono asociado con una persona específica y robando la identidad asociada con la SIM, anulando todos los sistemas de seguridad de dos factores activos hasta ese momento (considerando que muchos sitios ahora piden al usuario que active este sistema de seguridad).

En esta guía vemos juntos cómo funciona el intercambio de SIM, qué lo hace tan peligroso para nuestros teléfonos móviles, cómo podemos darnos cuenta de que somos víctimas de un ataque SIM Swap y qué podemos hacer para evitar sufrir este ataque, capaz de poner realmente a todos los titulares de cuentas corrientes, cuentas para e- comercio o, en general, todos los titulares de cuentas con autenticación activa de dos factores.

Como se puede adivinar, este tipo de ataques es muy complejo de realizar, pero una vez nos golpea se vuelve muy difícil volver al número de teléfono de uno, comprometiendo todos los servicios en los que lo habíamos utilizado. Por tanto, vale la pena presta mucha atención a lo que hemos descrito en los capítulos siguientes, para ser plenamente conscientes del peligro y evitar el intercambio de SIM.

Índice

    ¿Qué es el intercambio de SIM?

    El intercambio de SIM indica el ciberataque llevado a cabo por el atacante que obtiene ilegalmente una tarjeta SIM con nuestro número de teléfono.

    La posibilidad de el cambio de SIM manteniendo el mismo número nace con fines legítimos: cuando sufrimos un mal funcionamiento, rompemos la tarjeta SIM original o perdemos la tarjeta SIM (en muchos casos junto con el teléfono), podemos ir a la tienda de cualquier operador o solicitar en línea una SIM de reemplazo. El operador proporcionará la nueva SIM y realizar la portabilidad del número de teléfono, desactivando la tarjeta antigua (donde sea que esté).

    Esta técnica también puede ser utilizada por un atacante.: el delincuente en cuestión obtiene una SIM con el número de la víctima a través de una tienda o en línea, haciéndose pasar por nosotros. En la mayoría de los casos el intercambio es exitoso y nos encontramos con nuestra SIM legítima desconectada de la red, ya que ahora nuestro operador la considera deshabilitada.

    Conseguir el número de la víctima es la culminación de un ataque mucho más grande y peligroso: antes de hacer el intercambio de SIM el atacante ya ha obtenido las credenciales de acceso a uno de nuestros servicios donde corre dinero (credenciales de cuenta bancaria, cuenta de Amazon o cuenta de PayPal), utilizando mensajes de phishing, llamadas falsas o correos electrónicos no deseados; una vez obtenidas estas credenciales, pueden realizar el intercambio de SIM por omitir el sistema de autenticación de dos factores, obteniendo el código de seguridad que normalmente llega al número de teléfono asociado al servicio ... ¡lástima que mientras tanto este número haya sido literalmente robado! Para completar este intercambio es necesaria la complicidad de un operador de tienda (que inicia la portabilidad sin siquiera verificar documentos o confía en documentos falsos) o mediante vulnerabilidad del sistema de cambio de SIM en línea, donde basta con entregar los documentos (también estos robados) a Inicie el procedimiento de portabilidad automático a la nueva SIM.

    A menudo, el ataque se lleva a cabo con tanta rapidez que no le da tiempo al usuario legítimo para bloquear la autenticación de dos factores en los servicios financieros; después de unos minutos desde el intercambio de SIM la cuenta corriente se agota o las transacciones se iniciarán en PayPal o Amazon (con cupones de descuento comprados con nuestro dinero y canjeados por usuarios desconocidos).

    ¿Qué podemos hacer para evitar el intercambio de SIM?

    AGCOM ha obligado a todos los operadores móviles a proporcionar herramientas mucho más efectivas para detener el intercambio de SIM, pero el riesgo es real para todos los usuarios que utilizan el número de teléfono para acceder a los servicios bancarios. Para limitar el riesgo de cambio de SIM, le recomendamos que siga los siguientes consejos:

    • Evitamos ingresar el número de teléfono en los perfiles públicos: el número de teléfono es personal y no debe exponerse en Facebook u otras redes sociales, ya que el atacante podría recuperar de inmediato el número de teléfono preparando la trampa necesaria para recuperar las credenciales de acceso de una cuenta corriente.
    • Usamos aplicaciones de autenticación en lugar de SMS: en lugar de SMS le recomendamos que utilice el aplicación de autenticación para 2FA, como ejemplo Autenticador de Google. Estas aplicaciones proporcionan un código de seguridad sincronizado real basado en el tiempo, que ofrece un método muy seguro para iniciar sesión con autenticación de dos factores.
    • Usamos un sistema de verificación por correo electrónico: en lugar de recibir el código vía SMS, podemos recibir el mismo código en un correo electrónico seguro como Gmail o Outlook, utilizando códigos preimpresos como sistemas de seguridad para estos servicios (para que el acceso siempre se pueda recuperar en caso de emergencia).
    • Desactivamos el envío de códigos vía SMS al banco: si el banco lo permite, configuramos elacceso seguro de dos factores a través de la aplicación bancaria, que puede usar la huella digital del teléfono o un PIN secreto para autorizar todos los inicios de sesión y transacciones, lo que hace que el envío de SMS sea obsoleto.

    Junto con estos consejos, le recomendamos que tenga mucho cuidado con los correos electrónicos falsos o los correos electrónicos de phishing: recuerda que el atacante no hace nada con nuestro número de teléfono si no tiene ya las credenciales de la cuenta corriente en la mano! Para evitar el phishing y los correos electrónicos no deseados, le recomendamos que lea nuestras guías. Cómo evitar el spam y la estafa por SMS es Reconocer correos electrónicos falsos, fraudulentos y no genuinos.

    Conclusiones

    El intercambio de SIM puede ser muy peligroso si se implementa después de un ataque de phishing o después de una fuga de datos que involucre nuestra cuenta: se necesita muy poco para que la SIM legítima no funcione y, después de unos minutos del hecho, el la cuenta corriente se secó de todo el dinero que habíamos ahorrado con esmero. Los operadores están fortaleciendo los procedimientos para poder cambiar la SIM en caso de robo o pérdida, pero si están bien organizados, los malos aún pueden hacer el intercambio de SIM, por lo que es mejor deshabilitar la autenticación a través de códigos SMS siempre que sea posible y habilite la autenticación de dos factores a través de la aplicación Authenticator o mediante códigos de correo electrónico.

    Para obtener más información sobre el aspecto de seguridad de la autenticación de dos factores, le recomendamos que lea nuestras guías Sitios / aplicaciones donde puede activar la verificación de contraseña en dos pasos es Las mejores aplicaciones para generar OTP, para un acceso seguro a los sitios.

    ¡Haz clic para puntuar esta entrada!
    (Votos: 0 Promedio: 0)

    Deja una respuesta

    Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

    Subir

    Este sitio web utiliza cookies para asegurar que tengas una mejor experiencia al navegar por él. Leer más