Come Funziona La Truffa Sim Swap e Come Difendersi

Circa 2 settimane fa, la piattaforma di interessi passivi inerente criptovalute BlockFi, è stata colpita da una Sim Swap fraud.
In realtà questi attacchi abili a contrastare anche i sistemi di autenticazione a 2 fattori (cioè il classico codice numerico che ci arriva tramite SMS per confermare un'operazione che sia finanziaria o di login) sono in voga da ormai diversi mesi (i primi attacchi risalgono ad anni fa).
Semplicemente viene sostituita la sim originaria e così vengono svuotati i conti.
Questo sistema a 2 fattori si è aggiunto alle credenziali di accesso per rendere l'internet banking più sicuro.


SIM SWAP
Ma come funziona la frode Sim Swap? Basta avere dei documenti falsi della vittima per sostituire la sim card utilizzata nel fattore di autenticazione (tra l'altro attraverso lo stesso numero telefonico si ottengono dalla banca anche le credenziali per operare sul conto corrente online).
In poche parole la sim viene prima disattivata e poi sostituita.
I truffatori denunciano il furto o smarrimento e poi duplicano la scheda in un centro assistenza.
I truffatori rispondono alle domande di sicurezza raccogliendo i dati sulla vittima: attraverso email di phishing, ricerche sui social network, sul Dark Web (files zippati che contengono interi siti hackerati dove potreste esservi iscritti), social network o con malware/spyware installati sul vostro computer.
La cosa importante è impostare domande di sicurezza non riconducibili al nome dei vostri familiari o alla vostra data di nascita, etc
Una volta ottenuto il numero di cellulare, i truffatori possono accedere alle comunicazioni tra voi e la banca, e soprattutto possono intercettare i messaggi di testo. E' così che ricevono codici o reset di password inviati a quel telefono.
La vittima come primo avvertimento noterà che il segnale è assente (o riceverà notifiche per mail di attività sospette) ma potrebbe essere già troppo tardi perchè basta qualche minuto per trasferire i soldi su carte prepagate anonime.
Ovviamente ci vuole anche una certa abilità del truffatore perchè sappiamo che la duplicazione della sim in caso di furto non è istantanea (quindi vengono scelti orari e giorni ad hoc).
Qualche tempo fa ad un uomo sono stati rubati 50mila euro in un attimo. I soldi sono spariti dal conto corrente tramite quattro bonifici.
Joel Ortiz è stato accusato di avere rubato milioni di dollari in criptovalute utilizzando questa tecnica.
Nicholas Truglia è stato arrestato e accusato di aver sottratto 24 milioni di dollari da un criptowallet di Michael Terpin, che ha poi di recente ottenuto un risarcimento record di oltre 75 milioni di dollari in una causa civile intentata contro lo stesso Truglia a dicembre, dopo aver denunciato ad agosto la stessa AT&T che ha avallato il cambio di SIM richiesto dall’hacker.


COME DIFENDERSI
Visto che questo metodo di protezione potrebbe rivelarsi un'arma a doppio taglio, meglio ripiegare su app di autenticazione (Google Authenticator o Authy).
E' possibile utilizzare anche una verifica via mail (proteggendo l’autenticazione a tale casella mail con un meccanismo di autenticazione a due fattori più sicuro, basato sull’utilizzo di un’app di autenticazione).
Un’altra via è l’utilizzo di device hardware come Google Titan Security Key o YubiKey.
Inoltre se il nostro provider di telefonia mobile lo permette, è opportuno chiedere l’impostazione di un pin (o passcode) per accedere all’account e dare disposizione di richiederne sempre l’utilizzo per effettuare ogni modifica, cambio di sim card compresa.