Tener la autenticación de dos factores (2FA) es una buena manera de mantener sus cuentas seguras, pero si es fuera de lo común, no es infalible. Es posible que la tarjeta SIM, o el intercambio de SIM, hayan sido secuestrados por un tiempo. Pero a medida que nuestra identidad financiera en línea ha crecido, se está volviendo cada vez más común robar números de teléfono y usarlos para acceder a cuentas. Es difícil despegar ya que las compañías telefónicas mejoran lentamente la seguridad y las aplicaciones 2FA como Google Authenticator y Authy se están volviendo cada vez más populares, pero a partir de 2018, el problema sigue creciendo.
¿Cómo funciona?
1. Encuentra el objetivo
El modo base es una parte importante del intercambio de SIM. Primero, los atacantes encuentran información personal sobre objetivos potenciales. Cualquier cosa, desde inicios de sesión bancarios hasta edad y ubicación, incluso números de Seguro Social, se puede encontrar flotando en la web. Si necesitan más, pueden usar un ataque de phishing para engañar a los usuarios para que revelen algo importante.
2. Estafa soporte técnico
Ahora que tiene una estrategia, el hacker llamará a su operador (es muy fácil encontrar el número en el que está el operador), usará lo que sabe sobre usted para sortear las preguntas de seguridad y luego les pedirá que transfieran el número a un nuevo Tarjeta SIM. Con un poco de ingeniería social, pueden engañar a un representante de soporte técnico para que coloque el número de un usuario en un teléfono controlado por piratas informáticos.
3. Cambio de tarjeta SIM
Si el ataque tiene éxito, el operador le dará su número y tarjeta SIM al atacante, cuyos usuarios pueden (o no) recibir un mensaje informándoles que su tarjeta SIM ha sido actualizada o desactivada. Entonces no podrán hacer llamadas ni enviar mensajes de texto, momento en el que la mayoría de las personas se dan cuenta de que algo anda mal.
4. Acceso a cuentas
Una vez que el número está bajo el control del atacante, puede usarlo para acceder a las cuentas usando sus capacidades 2FA o usarlo para restablecer sus contraseñas. Con su número de teléfono, a menudo solo necesitan saber su dirección de correo electrónico y posiblemente algunos datos personales para ingresar.
5. Agarrar
Una vez dentro, los atacantes generalmente cambian contraseñas, direcciones de correo electrónico y otra información que puede permitir a los usuarios recuperar el control de sus cuentas. Si la cuenta pirateada es un banco, un intercambio de criptomonedas u otra institución financiera, tomarán su dinero. Esto continuará hasta que obtengan lo que quieren o hasta que los usuarios sean revocados.
¿Quién/qué está siendo hackeado?
Todos corren el riesgo de que una tarjeta SIM sea pirateada, pero dado que no es el ataque más simple de realizar, solo unas pocas personas pueden ser atacadas a la vez. Claro, las personas con información personal de fácil acceso, cuentas de redes sociales de alto perfil o cuentas financieras de alto valor están en riesgo, pero eso no descarta que las personas promedio con un sentido decente de seguridad en línea tengan este problema. Incluso algo tan aparentemente insignificante como un identificador memorable de Instagram, o como "@Rainbow", puede conducir a un hackeo, donde pueden vender cantidades de dinero asombrosamente grandes.
¿Qué pasa si me pasó a mí?
Si su teléfono pierde repentinamente el servicio en un lugar donde normalmente está disponible, es posible que desee consultar con su proveedor. Si sospecha del intercambio de SIM, debe:
- Encuentre una conexión lo antes posible y comuníquese con su operador. El intercambio de SIM es un problema conocido, por lo que si encuentra evidencia de esto, probablemente sabrá qué hacer. Es posible que deba volver a consultar cada pocas horas para asegurarse de que alguien no vuelva.
- Supervise su correo electrónico y cualquier cuenta que sepa que está vinculada a su número.
- Si aparece alguna actividad sospechosa, elimine su número de teléfono de sus cuentas o, si es posible, cámbielo por un número VoIP o el número de otra persona.
- Asegúrese de que el representante de servicio al cliente haya cerrado su cuenta y haya obtenido una nueva SIM, protegida contra cambios no autorizados por el PIN.
- Incluso si no está seguro de qué cuentas han sido pirateadas, lo más seguro es seguir la práctica estándar de piratería posterior y cambio de contraseñas y cualquier información confidencial, como números de cuenta, que pueda estar involucrada.
- Tienes que estar alerta. Si sucede una vez, la información que se encuentra en la web volverá para atormentarte nuevamente.
¿Cómo me protejo?
Desafortunadamente, muchas aerolíneas, empresas e instituciones financieras aún no han implementado medidas de seguridad infalibles para evitar esto. Incluso con capas adicionales de seguridad en torno a la información del cliente, los atacantes pueden tener socios comerciales que dirijan la información del cliente a los piratas informáticos. Sin embargo, hay algunas cosas que puedes hacer.
- Puede configurar seguridad adicional con su operador, al menos un PIN, que cualquier persona que desee realizar cambios en su cuenta deberá ingresar.
- Los textos 2FA de texto o voz son mejores que nada, pero si es posible, convierta 2FA en una aplicación de autenticación como Google Authenticator o Authy. No se puede hackear con una SIM, pero desafortunadamente aún no es una opción común en el formato 2FA.
- Comience a usar un servicio de VoIP (Voz sobre Protocolo de Internet) como Google Voice. Y dado que estos números de teléfono funcionan en línea en lugar de usar una tarjeta SIM, son inmunes a ser intercambiados. Reemplace el número basado en SIM con un número de VoIP siempre que sea posible.
En conclusión: la piratería sucede
Incluso con un PIN, una aplicación de autenticación y un servicio VoIP, no está completamente en contra de la piratería: los PIN pueden ser robados, las aplicaciones de autenticación no son ampliamente compatibles y algunos servicios no le permitirán usar VoIP. En el mundo en constante cambio de la ciberseguridad, lo mejor que puede hacer es tener una buena reputación, monitorear la actividad sospechosa y reaccionar rápidamente si sucede algo. Cuanto más seguro esté, es menos probable que se convierta en un objetivo, y cuanto más rápido reaccione, menos posibilidades tendrá de encontrarse reuniendo unos pocos dólares o cuentas de Instagram más livianas.
