Una estafa de intercambio de SIM (también conocida como estafa de portabilidad , división de SIM , [1] simjacking y intercambio de SIM ) [2] es un tipo de fraude de apropiación de cuentas que generalmente apunta a una debilidad en la autenticación de dos factores y la verificación de dos pasos en la que el segundo factor o paso es un mensaje de texto (SMS) o una llamada realizada a un teléfono móvil.
El fraude se aprovecha de la capacidad del proveedor de servicios de telefonía móvil de transferir sin problemas un número de teléfono a un dispositivo que contiene un módulo de identidad del suscriptor (SIM) diferente. Esta función de portabilidad de números móviles se utiliza normalmente cuando se pierde o se roba un teléfono, o cuando un cliente cambia de servicio a un nuevo teléfono.
La estafa comienza cuando un estafador recopila datos personales de la víctima, ya sea mediante el uso de correos electrónicos de phishing , comprándolos a delincuentes organizados, [3] aplicando ingeniería social directamente a la víctima, [4] o recuperándolos de violaciones de datos en línea . [5]
Con estos datos, el estafador se pone en contacto con el proveedor de telefonía móvil de la víctima y utiliza técnicas de ingeniería social para convencer a la compañía telefónica de que transfiera el número de teléfono de la víctima a la tarjeta SIM del estafador. Para ello, por ejemplo, se hace pasar por la víctima utilizando datos personales para parecer auténtico y afirmando que ha perdido su teléfono. En algunos países, en particular la India y Nigeria, el estafador tendrá que convencer a la víctima de que apruebe el cambio de tarjeta SIM pulsando el 1. [6] [7] [4]
Al recuperar la información de la víctima, los atacantes comúnmente se hacen pasar por ellos mientras se comunican con los servicios de soporte técnico de su proveedor de telecomunicaciones e intentan convencer a los empleados de que cambien el número de teléfono de la víctima a su tarjeta SIM. [8] [9] En algunos casos, sin embargo, los empleados de las empresas de telecomunicaciones han sido sobornados por los atacantes para cambiar directamente los números SIM por ellos. [10] [5] Los atacantes han buscado empleados para empresas como T-Mobile y Verizon a través de las redes sociales o directorios de empleados en un intento de contratarlos, prometiéndoles una cantidad fija de dinero en criptomonedas por cada número de teléfono que transfieran para el atacante. [11] [12]
Una vez que esto sucede, el teléfono de la víctima perderá la conexión a la red y el estafador recibirá todos los SMS y llamadas de voz destinados a la víctima. Esto le permite al estafador interceptar contraseñas de un solo uso enviadas por mensajes de texto o llamadas telefónicas al número de la víctima y, de este modo, subvertir los métodos de autenticación de dos factores que dependen de ellas. Dado que muchos servicios permiten restablecer contraseñas con solo acceso a un número de teléfono de recuperación, la estafa permite a los delincuentes obtener acceso a casi cualquier cuenta vinculada al número pirateado. Esto puede permitirles transferir fondos directamente desde una cuenta bancaria, extorsionar al propietario legítimo o vender cuentas en el mercado negro para el robo de identidad.
Se han producido varios ataques de alto perfil que utilizan el intercambio de SIM, incluidos algunos en los sitios de redes sociales Instagram y Twitter . En 2019, la cuenta de Twitter del exdirector ejecutivo de Twitter, Jack Dorsey, fue pirateada mediante este método. [13] [14]
En mayo de 2020, se presentó una demanda contra Ellis Pinsky , un estudiante de último año de la escuela secundaria Irvington High School en Irvington, Nueva York , quien fue acusado junto con otros 20 co-conspiradores de estafar al inversor en moneda digital Michael Terpin, el fundador y director ejecutivo de Transform Group, por 23,8 millones de dólares en 2018, cuando el acusado tenía 15 años, mediante el uso de datos robados de teléfonos inteligentes mediante intercambios de SIM. La demanda se presentó en un tribunal federal en White Plains, Nueva York y pidió el triple de daños. [15] [16] [ necesita actualización ]
A principios de 2022, el FBI de Estados Unidos informó de un marcado aumento de las pérdidas económicas de los consumidores en 2021, y que continuarán en 2022, debido a este tipo de fraude. [17] [18] Solo en 2021, las pérdidas fueron cinco veces mayores que las de los tres años anteriores sumados: “El FBI dice que las víctimas perdieron 68 millones de dólares por esta estafa basada en tarjetas SIM en 2021, en comparación con solo 12 millones de dólares en el período de tres años entre 2018 y 2020”. [17] El FBI recibió 1.600 denuncias sobre intercambio de tarjetas SIM en 2021, un marcado aumento con respecto a los tres años anteriores. Los intercambios se producen rápidamente una vez que los estafadores tienen suficiente información para persuadir a un operador de telefonía móvil para que asigne un número de teléfono robado a su teléfono; los robos de dinero ocurren cuando los ladrones reciben los códigos de dos factores enviados al propietario correcto del número de teléfono. [18]
En Corea del Sur , se han documentado presuntos incidentes de ataques de intercambio de tarjetas SIM desde principios de 2022. El patrón común incluye víctimas que enfrentan interrupciones abruptas en sus servicios móviles, junto con una notificación que sugiere un cambio. Como resultado, las personas afectadas descubren que sus cuentas bancarias y de criptomonedas han sido comprometidas. [19]
Entre los presuntos delincuentes también se encontraban dos ex empleados contratados de AT&T y un ex empleado de Verizon, que ayudaron a los presuntos delincuentes al proporcionar información privada de clientes a cambio de sobornos, según documentos judiciales.