Эти нелегальные SIM-карты упрощают взломы, подобные Twitter

В следующий раз, когда ваш телефон зазвонит и ID номера покажет, что это ваш банк, телекоммуникационная компания или ИТ-отдел работодателя, это может быть кто-то другой.

Это потому, что малообсуждаемые типы SIM-карт предлагают возможность подделывать любой номер, могут быть зашифрованы и в некоторых случаях позволяют изменять и маскировать голос пользователя. Такие SIM-картылюбимое преступникамии они могут облегчить проведение атак с использованием социальной инженерии, подобных тем, которые были совершены против Twitter в прошлом месяце.

SIM-карта (модуль идентификации абонента) по сути является хранилищем информации о пользователе телефона, включая страну, поставщика услуг и уникальное представление, которое сопоставляет его с владельцем.

Хотя подделка телефонного номера — старый трюк, эти SIM-карты предлагают оптимизированный способ сделать это. Они подчеркивают широкий спектр уязвимостей, с которыми сталкиваются компании и частные лица, пытаясь защититься от атак социальной инженерии.

Твиттер былжертва телефонной фишинговой атаки, в котором человек, выдающий себя за инсайдера компании (часто якобы из ИТ-отдела), звонит настоящему сотруднику, чтобы получить информацию. Эта атака, которая привела к захвату 130 аккаунтов, включая такие известные, как ELON Маск и Канье Уэст, чтобы обмануть их подписчиков на сумму 120 000 долларов Bitcoin, привлекла повышенное внимание к этой практике. Такие инструменты, как SIM-карты, являются ONE из способов для злоумышленников попытаться опередить подозрительные компании.

Смотрите также:«Криптo Instagram» становится реальностью, мошенничество и все такое

«Другие компании могут оказаться более легкой целью для этих же методов», — сказала Эллисон Никсон, главный научный сотрудник Unit221B, фирмы по кибербезопасности. «И они просто не будут готовы так же, как были подготовлены закаленные в боях телекоммуникационные компании».

Действительно, после взлома Twitter,как сообщается наблюдается рост числа фишинговых атак на компании, частных лиц и Криптовалюта биржи.

Белые SIM-карты

Карты известны как «белые SIM-карты» из-за их цвета и отсутствия брендинга.

«Белые SIM-карты позволяют чрезвычайно легко совершать исходящие поддельные звонки», — сказал Хартей Сохни, директор агентства кибербезопасности Zokyo. «Они незаконны практически везде».

Учитывая широкий спектр услуг, которые предлагают такие SIM-карты, они немного упрощают социальную инженерию, и иногда это все, что нужно злоумышленнику. SIM-карты обычно можно купить наDark Web или связанные с ним сайты, используя Bitcoin.

Социальная инженерия часто основана на том, что злоумышленник обманом заставляет кого-то делать то, что он или она не должны T. Это может выглядеть так же просто, как фишинговая атака, но может также включать в себя более сложные средства, такие как подмена SIM-карты, подмена голоса или обширные телефонные разговоры, все для того, чтобы получить доступ к чьей-то информации или данным.

Смотрите также:Студент получил 10 лет тюрьмы за кражу Криптo с помощью SIM-карты на сумму 7,5 миллионов долларов

На протяжении многих лет сообщество Криптовалюта было цель подмены SIM-карт, подвид социальной инженерии. Он заключается в том, что злоумышленник обманывает сотрудника телекоммуникационной компании, заставляя его перенести номер жертвы на устройство злоумышленника, что позволяет ему обойти двухфакторную аутентификацию для учетной записи Exchange или профиля в социальной сети.

«Поддельные звонки — это недостаток на уровне протокола, и это не то, что можно исправить за одну ночь. Это требует, по сути, переписывания интернета», — сказал Сохни. «Интересно отметить, что 99% сотрудников телекоммуникационных компаний имеют доступ ко всем учетным записям клиентов, то есть вам нужно провести социальную инженерию только для ONE из них».

Эти SIM-карты представляют собой проблему для тех, кто работает над защитой от социальной инженерии, включая банки и другие финансовые учреждения.

Бизнес как и любой другой

По словам Пола Уолша, генерального директора компании MetaCert, занимающейся кибербезопасностью, злоумышленники, использующие социальную инженерию, выбирают свои цели, взвешивая деньги, время и усилия, необходимые для их обмана, по сравнению с выгодой.

«Проще, дешевле и быстрее скомпрометировать человека с помощью социальной инженерии, чем пытаться воспользоваться компьютером или компьютерной сетью», — сказал Уолш. «Поэтому любые инструменты или процессы, подобные этим, которые ускоряют и облегчают им эту работу, очевидно, хороши в их глазах».

Возможность имитировать определенный номер телефона делает эти SIM-карты опасными. Например, спамеры часто подделывают свой номер, чтобы создать впечатление, что они звонят сномер в районе получателя. Однако эти SIM-карты позволяют злоумышленнику подделать определенный номер, что повышает вероятность того, что кто-то ответит на звонок.

Смотрите также:Новый ультразвуковой хак может использовать ваш Siri

Человек с SIM-картой, подменяющей номер, может легко подделать номер Bank of America, например, сказал Уолш, что повышает вероятность того, что люди выдадут конфиденциальную личную информацию. Если номер оказывается Bank of America, почему у вас есть основания сразу же думать иначе?

Уолш также сказал, что многие системы автоматически определяют номер, с которого вы звоните, и используют эту информацию как подтверждение вашей личности.

«Итак, вы звоните в свой банк и, если можете подтвердить это своим номером телефона и, возможно, еще какой-то информацией, вы получаете доступ ко всем видам информации, например, к вашему банковскому балансу и последней транзакции», — сказал Уолш. «Эта информация сама по себе может быть полезна в контексте социальной инженерии, когда вы звоните в банк без дополнительной информации, необходимой для того, чтобы нацелиться на кого-то, и получаете ее через банк».

Технология имитации голоса уже в пути

Что беспокоит Хасиба Авана, генерального директора Efani, компании, которая специально работает над защитой от взломов SIM-карт, так это то, как эти SIM-карты могут использоваться с другими технологиями, такими как подделка голоса. Технологии , которая может быть использована для воссоздания чьего-либо голоса, легко доступно онлайн, а голоса людей можно восстановить всего лишь по нескольким фрагментам речи.

«Если вы можете скопировать чей-либо голос и связать это с номером телефона, это то, что начинает беспокоить меня больше всего», — сказал Аван. «Многие компании теперь используют ваш голос в качестве метода аутентификации, так что именно здесь риск мошенничества станет действительно высоким».

Смотрите также:Северокорейские хакеры активизировали усилия по краже Криптo на фоне пандемии коронавируса

И хотя большинство людей думают, что они смогут определить, был ли чей-то голос изменен или звучал не так, Аван, родившийся в Пакистане, но живущий в США, QUICK указывает на то, что технология стала настолько совершенной, что он видел, как она может воспроизвести его акцент. На самом деле, ONE исследование обнаружили, что наш мозг плохо справляется с распознаванием поддельного голоса от ONE, даже когда нам говорят, что это подделка.

В отличие от практически повсеместно нелегальных White SIM, зашифрованные анонимные SIM, которые также изменяют ваш голос в реальном времени, можно легко купить в открытом доступе. Например, британская компанияБезопасные симы,которая не ответила на Request пресс-службы прокомментировать ситуацию, предлагает на продажу ONE , которое отключает определение вашего местоположения и шифрует данные, а также имеет ряд других функций.

Он выставлен на продажу за 600–1000 фунтов стерлингов (794–1322 доллара США).