Vazamento de e-mail associado a número de celular torna a troca de SIM cada vez mais fácil. Veja como ela é feita, por que é popular e como se proteger.
Em nosso artigo sobre o enorme vazamento de dados do Facebook*, mencionamos o conceito do golpe de troca de SIM ou chip . Esse tipo de ataque está se tornando cada vez mais fácil, graças a vazamentos que associam endereços de e-mail aos números de telefone celular. Vamos analisar em detalhes como esse tipo de ataque é feito, por que é tão popular e o que você pode fazer para se proteger no futuro.
Todo telefone celular possui um módulo de identidade do assinante (SIM - Subscriber Identity Module). Esses chips (cartões ou SIM) vêm em três tamanhos diferentes: grande, médio e pequeno (há outros nomes para eles, mas não vamos complicar as coisas). Os celulares mais novos usam cartões menores, sendo mais ou menos do tamanho da unha do seu dedo mínimo, se você tiver dedos pequenos. Se você tiver este cartão SIM menor, ainda poderá usá-lo em telefones antigos, graças a adaptadores de papelão ou plástico que vêm com os cartões novos.
Na verdade, há uma quarta versão do SIM: é o SIM virtual ou eSIM, que pode ser encontrado nos modelos mais novos de smartphones. Ele permite usar dois SIMs no telefone durante as viagens internacionais (ainda lembra dessa época?), quando você quer ter um número local e uma segunda operadora de telefonia móvel em outro país.
Como a troca funciona
Não importa o tamanho ou a forma do SIM, é relativamente simples comprometê-lo. Por isso, esse ataque é tão popular. Os golpistas ligam para a sua operadora de celular e dizem que você perdeu seu telefone, ou que ele caiu e parou de funcionar. Eles pedem que a operadora ative um novo SIM no telefone deles, com o seu número de telefone. Se eles forem convincentes (ou se conseguirem subornar um funcionário da operadora), você estará em apuros. Porque, após a troca ser feita, você não receberá nenhuma das suas mensagens, chamadas ou outros dados. Tudo que está ligado ao seu número de celular, que, para muitos, é o único número de telefone que possuem, pode ser comprometido pelo invasor. Nesse ponto, o golpista pode alterar seu endereço de e-mail, bem como as suas informações bancárias e de crédito, fingindo ser você.
Se você pensa que tudo isso parece inacreditável demais, não se iluda. Um grupo de pesquisadores da Princeton University analisou as principais operadoras celulares dos EUA com 140 sites diferentes. Descobriram que todas as operadoras e 17 desses sites são vulneráveis. Entendemos que isso foi feito em 2019, mas mesmo assim, o artigo resultante* é uma análise assustadora sobre a ineficácia das supostas proteções que as operadoras oferecem, quando confrontadas com um hacker esperto e bom de papo.
Por exemplo, algumas operadoras pedem informações pessoais (como dados sobre o pagamento da sua conta), mas dão as orientações aos hackers se eles não adivinharem corretamente na primeira tentativa. Os pesquisadores também publicaram uma tabela que documenta vários sites* e se suas implementações possuem o nível de segurança necessário. Infelizmente, esta tabela não é tão desatualizada quanto você imagina. Embora a inovação seja rápida em algumas áreas da tecnologia, essa não é uma delas.
Vítimas famosas de troca de SIM
As trocas do SIM aconteceram com algumas pessoas famosas ao longo dos anos. Matthew Miller, um jornalista freelance da ZDNet, sofreu um ataque* em 2019. Ele perdeu seguidores do Twitter, US$ 25.000 em Bitcoin foram roubados (e, depois, devolvidos) da conta bancária e precisou mudar dezenas de senhas que estavam ligadas às contas comprometidas.
“Todo mundo que conheço no campo de criptomoedas teve o número de telefone roubado”, disse Joby Weeks, um empreendedor de Bitcoin citado nesta história sobre trocas de SIM publicada em 2017*. Essa história também cita o que aconteceu com Adam Pokornicky, um parceiro administrativo da Cryptochain Capital. Ele teve o telefone hackeado enquanto estava online e ele observou um invasor tomando posse de todas as contas em poucos minutos. A conta dele foi um alvo de ladrões por bastante tempo, porque ele tinha um nome de usuário atraente no Twitter.
Uma das primeiras e mais infames trocas do SIM aconteceu com a conta do Twitter de DeRay Mckesson em 2016*. Falando em Twitter, a conta do próprio CEO da plataforma, Jack Dorsey, foi sequestrada em 2019*. Outras celebridades que foram vítimas incluem a atriz Jessica Alba, o artista de gravação King Bach, e personalidades on-line, como Shane Dawson e Amanda Cerny. Mais algumas histórias de terror foram relatadas pelo escritor sobre tópicos de segurança, Brian Krebs*.
Como prevenir os ataques futuros
As operadoras fizeram algum progresso relativo às trocas de SIM. As principais operadoras americanas anunciaram um esforço para criar seu próprio aplicativo de autenticação de smartphone, que está agora disponível sob o nome Zenkey*.
Como sugere a FTC*, uma das primeiras linhas de defesa é ter consciência de coisas que podem dar errado. Eles recomendam que você não deve responder a nenhuma chamada ou mensagem que solicite informações pessoais. Nunca. Mesmo algo tão inócuo como uma mensagem avisando sobre uma encomenda pode ser prejudicial se você clicar no link incluído.
Recomendamos que você substitua o SMS como seu segundo fator de autenticação por um aplicativo autenticador como os da Microsoft, Google, Authy ou KeePassXC. Embora isso possa ser uma tarefa difícil, ajuda muito a prevenir os golpes. Além disso, não use Facebook, Google nem Twitter para autenticar seu login em outros serviços. Você deve configurar um processo de autenticação separado com senhas exclusivas. Para dar conta da sua coleção de senhas, use um gerenciador de senha para criar as senhas complexas que você não precisa lembrar e redigitar.
Finalmente, outra maneira de impedir que os invasores potenciais ganhem controle é colocar uma senha adicional na sua conta de celular. O problema, como a equipe de Princeton descobriu, é que os funcionários da central de atendimento da empresa podem ser facilmente convencidos a contornarem essa medida de proteção. A história do Matthew Miller* também possui muitas dicas sobre o que fazer se você for vítima de um ataque de troca de SIM.
A Avast é líder global em segurança cibernética, protegendo centenas de milhões de usuários em todo o mundo. Saiba mais sobre os produtos que protegem sua vida digital em nosso site e receba todas as últimas notícias sobre como vencer as ameaças virtuais através do nosso Blog, no Facebook ou no Twitter.
* Original em inglês.
