Una estafa de intercambio de SIM (también conocida como estafa de transferencia , división de SIM , [1] secuestro de SIM y intercambio de SIM ) [2] es un tipo de fraude de apropiación de cuentas que generalmente apunta a una debilidad en la autenticación de dos factores y la verificación en dos pasos. en el que el segundo factor o paso es un mensaje de texto (SMS) o llamada realizada a un teléfono móvil.
El fraude aprovecha la capacidad de un proveedor de servicios de telefonía móvil para transferir sin problemas un número de teléfono a un dispositivo que contiene un módulo de identidad de abonado (SIM) diferente. Esta función de portabilidad de número de teléfono móvil se utiliza normalmente cuando se pierde o le roban un teléfono, o cuando un cliente cambia el servicio a un teléfono nuevo.
La estafa comienza cuando un estafador recopila datos personales sobre la víctima, ya sea mediante el uso de correos electrónicos de phishing , comprándolos a delincuentes organizados [3] o mediante ingeniería social directa a la víctima. [4]
Con estos datos, el estafador se pone en contacto con el proveedor de telefonía móvil de la víctima. El estafador utiliza técnicas de ingeniería social para convencer a la compañía telefónica de que transfiera el número de teléfono de la víctima a la tarjeta SIM del estafador. Esto se hace, por ejemplo, haciéndose pasar por la víctima utilizando datos personales para parecer auténtico y afirmando que ha perdido su teléfono. En algunos países, especialmente India y Nigeria, el estafador tendrá que convencer a la víctima para que apruebe el intercambio de SIM presionando 1. [5] [6] [4]
En muchos casos, los números SIM son cambiados directamente por empleados de empresas de telecomunicaciones sobornados por delincuentes. [7]
Una vez que esto suceda, el teléfono de la víctima perderá la conexión a la red y el estafador recibirá todos los SMS y llamadas de voz destinados a la víctima. Esto permite al estafador interceptar cualquier contraseña de un solo uso enviada a través de mensajes de texto o llamadas telefónicas enviadas a la víctima y, por lo tanto, le permite eludir muchos métodos de autenticación de dos factores de cuentas (ya sean cuentas bancarias, cuentas de redes sociales, etc.) que confiar en mensajes de texto o llamadas telefónicas. Dado que muchos servicios permiten restablecer la contraseña con solo acceso a un número de teléfono de recuperación, la estafa permite a los delincuentes obtener acceso a casi cualquier cuenta vinculada al número secuestrado. Esto puede permitirles transferir fondos directamente desde una cuenta bancaria, extorsionar al propietario legítimo o vender cuentas en el mercado negro para el robo de identidad.
Se han producido varios ataques de alto perfil mediante el intercambio de SIM, incluidos algunos en los sitios de redes sociales Instagram y Twitter . En 2019, la cuenta de Twitter del ex director ejecutivo de Twitter, Jack Dorsey , fue pirateada mediante este método. [8] [9]
En mayo de 2020, se presentó una demanda contra un estudiante de último año de 18 años de la escuela secundaria Irvington High School en Irvington, Nueva York , Ellis Pinsky , quien fue acusado junto con 20 cómplices de estafar al inversionista en moneda digital Michael Terpin, el fundador y director ejecutivo de Transform. Group – de 23,8 millones de dólares en 2018, cuando el acusado tenía 15 años, mediante el uso de datos robados de teléfonos inteligentes mediante intercambios de SIM. La demanda se presentó en un tribunal federal de White Plains, Nueva York , y pedía una indemnización triple. [10] [11]
A principios de 2022, el FBI de EE. UU. informó de un fuerte aumento de las pérdidas de dinero de los consumidores en 2021, y que continuará en 2022, debido a este tipo de fraude. [12] [13] Las pérdidas solo en 2021 fueron cinco veces mayores que las sumadas en los tres años anteriores: “El FBI dice que las víctimas perdieron $68 millones a causa de esta estafa basada en tarjetas SIM en 2021, en comparación con solo $12 millones en los tres años anteriores. período de un año entre 2018 y 2020”. [12] El FBI recibió 1.600 quejas sobre el intercambio de SIM en 2021, un fuerte aumento con respecto a los tres años anteriores. Los intercambios se realizan rápidamente una vez que los estafadores tienen suficiente información para persuadir a un operador de telefonía móvil a asignar un número de teléfono robado a su teléfono; Los robos de dinero ocurren cuando los ladrones reciben los códigos de dos factores enviados al propietario adecuado del número de teléfono. [13]
En Corea del Sur , se han documentado presuntos incidentes de ataques de intercambio de SIM desde principios de 2022. El patrón común incluye que las víctimas enfrenten interrupciones abruptas en sus servicios móviles, junto con una notificación que sugiere un cambio. Como resultado, las personas afectadas descubren que sus cuentas bancarias y de criptomonedas se han visto comprometidas. [14]
Entre los presuntos delincuentes también se encontraban dos ex empleados contractuales de AT&T y un ex empleado de Verizon, quienes ayudaron a los presuntos delincuentes proporcionándoles información privada de los clientes a cambio de sobornos, según documentos judiciales.