Kraków: pani Ewie ktoś zduplikował kartę SIM i wykradł 400 000 PLN.

Kolejny przykład tzw. SIM swap opisuje Gazeta Krakowska. My niedawno pisaliśmy o analogicznym ataku, który wg relacji skutkował stratą o wartości około 200 milionów PLN. Wracając do głównego wątku – zacytujmy większy fragment:

Pokrzywdzona, majętna mieszkanka Krakowa Ewa G. w czasie wakacji 2018 r. wyjechała do Szklarskiej Poręby. Nie miała pojęcia, że 26 lipca o 10.22 do salonu Play w Grodzisku Mazowieckim zgłosiła się inna kobieta i przedstawiła się jako Ewa G., podała swój numer telefonu i przekonała pracownika, że karta SIM nie działa jak należy i chciała jej duplikatu. Po reklamacji dokonano wymiany karty SIM dla jej numeru abonenckiego. Jeszcze tego samego dnia oszuści dzięki tak zdobytej karcie SIM i wiedzy na temat numeru rachunku bankowego pokrzywdzonej dokonali autoryzacji przelewu z konta Ewy G. i na rachunek Roberta P. przelali 400 tys. zł.

Dla przypomnienia, w tzw. SIM swap chodzi o to, aby mieć możliwość odczytania SMSów wysyłanych do ofiary. W jakim celu? Aby móc je wykorzystać do autoryzacji transakcji. Do „szczęścia” brakuje jednak jeszcze np. znajomości loginu i hasła do bankowości elektronicznej, z której korzysta ofiara (możliwe jest jej pozyskanie w wyniku np. instalacji malware na komputerze ofiary). Z kolei jeśli bank miałby niezbyt fortunnie przygotowany reset hasła (np. do resetu hasła wystarczy możliwość odbierania SMS-ów przesłanych na numer telefonu zarejestrowany w banku + lekka socjotechnika) – to i ten krok przestępca mógłby pominąć.

Wracając do pani Ewy, krakowski sąd wydał (prawomocny obecnie) wyrok skazujący Roberta P. na półtora roku więzienia. W jaki sposób wpadł? Najpierw testowo wypłacił ze swojego konta blisko 20 000 PLN (na konto wpłynęły wcześniej środki wykradzione pani Ewie), a po sukcesie postanowił iść na całość i wypłacić w gotówce kilkaset tysięcy. Tu jednak pracownik banku wykazał się czujnością (pan Robert musiał zachowywać się nieco podejrzanie…) i w momencie pojawienia się przestępcy w banku, został zatrzymany.

Jak się ustrzec tego typu problemów? Obecnie chyba najlepsza rekomendacja to przejście na tzw. autoryzację mobilną transakcji (czyli zamiast SMS-ów, akceptujecie transakcje w aplikacji mobilnej banku).

–ms