Autoryzował transakcje kodami z SMS. Chiński inwestor przez SIM swap stracił równowartość niemal 200 milionów PLN!

23 lutego 2020, 11:18 | W biegu | komentarze 2
: oglądaj sekurakowe live-streamy o bezpieczeństwie IT.

Wg tych relacji – chiński inwestor stracił około 200 milionów PLN (w kryptowalutach BTC / BCH). Oryginalny wątek tutaj, kopia tutaj. Z kolei nieco więcej analizy można zobaczyć w tym wątku:

Wg relacji hack został wykonany poprzez sklonowanie karty SIM ofiary (tzw. SIM swap). Scenariusze mogą być różne, ale jeśli np. ktoś potrzebuje mieć dostęp do konta ofiary oraz kodów potwierdzających transakcje, może wykonać takie operacje:

  1. Sklonowanie karty SIM (przestępca dzwoni do operatora telco, podając się za ofiarę. „Ofiara” prosi o przeniesienie numeru na inną kartę SIM – przestępcy. Jeśli pracownik operatora telco zostanie skutecznie przekonany do wykonania takiej operacji, ofiara nagle traci sygnał w telefonie, a przestępca na możliwość odbierania SMS-ów przychodzących do ofiary).
  2. Reset hasła na koncie mailowym ofiary:

    SIM Swap

  3. Posiadając konto e-mailowe – reset hasła w atakowanym serwisie (ew. te dane przestępcy zdobywają również w inny sposób – np. malware na komputerze ofiary).
  4. Podczas wykonania transakcji – podanie kodu 2FA z telefonu.
  5. Game Over.

Co robić? Najlepiej nie polegać na SMSach jako elemencie, który zabezpiecza cały nasz majątek (w przypadku banków znacznie lepsza jest np. tzw. autoryzacja mobilna transakcji; generalnie warto rozważyć też klucze sprzętowe czy hybrydowe) – szczególnie że atak znany jest i w Polsce.

–ms

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. tao

    Trudno nie używać telefonu jako 2FA skoro niektóre serwisy wymuszają wręcz logowanie za jego pomocą.

    Odpowiedz
  2. Twój nick

    Jak mawia starochińskie przysłowie: „Nie wrzucaj wszystkich jajek do jednego portfela”.

    Odpowiedz

Odpowiedz