Перевыпуск SIM-карты: как мошенники крадут деньги и уводят аккаунты блогеров
Почему это происходит, что предпринимают операторы, соцсети и как себя обезопасить.
Аккаунты блогеров
В октябре 2018 года военный журналист и автор YouTube-канала Lazarev Tactical Константин Лазарев одновременно лишился и своего мобильного номера, и аккаунта во «ВКонтакте». Блогер получил от «Билайна» SMS о перевыпуске SIM-карты, после чего её заблокировали. Сотрудники салона связи в Москве подтвердили Лазареву, что SIM-карту перевыпустили без его присутствия.
Оказалось, что замену произвели в Челябинске: неизвестный написал заявление и предъявил сотруднику сервисного центра доверенность с паспортными данными Лазарева. В поддельном документе была вся необходимая информация, кроме подписи владельца — сотрудник салона не обратил внимания на её отсутствие.
Когда Константин попробовал зайти на свою страницу во «ВКонтакте», его ожидала закономерная неприятность — логин и пароль не подошли. Восстановить пароль по номеру телефона и электронной почте не вышло — мошенники отвязали данные от аккаунта. Чтобы исправить ситуацию, он попытался воспользоваться опцией «Забыл все данные» и отправил в техподдержку селфи на фоне заявки на восстановление страницы и фото с паспортом. Но получил отказ: для продолжения диалога поддержка соцсети запросила документы от «Билайна» и полиции, подтверждающие факт мошенничества.
Из-за того, что блогеру не нанесли финансового ущерба, полиция не смогла признать случившееся мошенничеством. Официальной бумаги из полиции и фотографии поддельной доверенности не хватило для того, чтобы доказать владение аккаунтом — его до сих пор не вернули.
Так Константин Лазарев стал жертвой типичного мошенничества с SIM-картами.
Для многих знаменитостей и медийных личностей аккаунты в социальных сетях являются ценным активом, иногда даже основной составляющей их бизнеса. Практика показывает, что недостаточная защита своей цифровой инфраструктуры — аккаунтов, электронной почты, смартфона и компьютера, — а также задержка с реагированием со стороны соцсетей могут привести к серьезным денежным и репутационным потерям.
Важно сработать на опережение. Например, вы можете договориться с оператором сотовой связи об ограничении выдачи копий своей SIM-карты или «условном месте» — заказать выдачу только в одном, заранее установленном отделении сотового оператора и только лично вам в руки.
Для возвращения страницы факт мошенничества должен быть подтверждён официально. К сожалению, пока мы не получили таких документов — у нас нет полномочий для подобных разбирательств. До сих пор ни оператор, ни полиция ничего не подтвердили.
Столь суровые меры предосторожности существуют не просто так. Ежедневно мошенники пытаются получить доступ к информации пользователей — в ход идёт и перевыпуск SIM-карт, и фишинг, и социальная инженерия. Номер телефона сейчас является основным средством для авторизации не только в соцсетях, но и в онлайн-банках, электронных почтах и других сервисах с приватной информацией пользователей. Очень важно, чтобы перевыпуск SIM-карт был невозможен технически без участия её владельца.
Деньги
Перевыпуск SIM-карты открывает злоумышленникам доступ и к деньгам жертвы. После перевыпуска SIM-карты на неё приходят одноразовые пароли для мобильного банка. А CVV или кодовое слово, которое нужно, чтобы привязать мобильный банк к новому номеру, можно получить от владельцев счёта с помощью телефонного мошенничества — вишинга.
Вишеры используют методы социальной инженерии — жертва сама передаёт свои персональные данные злоумышленникам. Человеку приходит SMS с просьбой перезвонить в банк или поступает звонок с «красивого» банковского номера. Мошенник представляется оператором банка и сообщает о блокировке счёта из-за подозрительной попытки списания денежных средств. Чтобы разблокировать счёт, просят сообщить «оператору» кодовое слово, CVV или пароль из SMS.
При этом к жертве обращаются по имени, называют паспортные данные и даже баланс карты — такая осведомленность вызывает доверие.
1,3 млрд
В начале 2019 года студент Джоэл Ортиз из США получил десять лет тюрьмы за «угон» SIM-карт и кражу криптовалюты на сумму $5 млн у 40 потерпевших. Злоумышленники собирали полную информацию о жертвах, запуская фишинговую кампанию или покупая данные на хакерских форумах.
Затем преступники обращались к оператору сотовой связи и просили перевыпустить SIM-карту, выдавая себя за другого человека. Получив новую SIM-карту, мошенники смогли использовать мобильную учетную запись жертвы, перехватывать или инициировать вызовы, получать доступ к SMS-сообщениям — включая коды авторизации, отправленные банком и криптовалютными сервисами.
Джоэл Ортиз — первый хакер в США, которого приговорили к тюремному заключению за «клонирование» SIM-карты.
В некоторых странах ведётся статистика случаев вишинга — по оценке Financial Fraud Action UK, примерно один из 25 взрослых жителей Великобритании уже стал его жертвой.
Если злоумышленники знают, что человек хранит много денег на счету, на него могут открыть настоящую охоту. Медиаменеджер Анна Знаменская рассказывала, как её SIM-карту перевыпустили четыре раза. Из них — трижды в течение суток. Но настойчивые мошенники всё же не смогли похитить деньги Знаменской.
Бизнесмен Даниил Бондарь потерял 26 млн рублей из-за мошенничества с SIM-картами. Предприниматель был за границей, когда его номер заблокировали. Уже в Москве Даниил обнаружил, что в день блокировки с его счета в «Альфа-банке» списали огромную сумму. Оказалось, что злоумышленники перевыпустили SIM-карту по поддельному документу. У них был логин от личного кабинета Даниила и ответы на контрольные вопросы службы безопасности банка.
Иногда жертвами становятся компании. Так, со счёта сервиса «Интроверт» украли 750 тысяч рублей. Мошенники перевыпустили SIM-карту администратора, получили доступ к онлайн-банку и перевели деньги на счёт физлица.
Как мобильные операторы борются с перевыпуском SIM-карт
Операторы сотовой связи рассказали, какие меры они предпринимают для защиты клиентов, как сам абонент может обезопасить SIM-карту и что делать, если номером всё же завладели мошенники.
Чтобы перевыпустить SIM-карту, пользователь должен предъявить паспорт. Когда кто-то показывает доверенность, её подлинность проверяет служба безопасности компании. В перевыпуске отказывают, если документ выглядит подозрительно.
После смены SIM-карты входящие и исходящие SMS блокируют на 24 часа. Мошенник не увидит сообщений, а клиент в течение суток заметит блокировку старой карты и успеет обратиться к оператору. Банки всё чаще уточняют у операторов информацию о смене карты — это помогает блокировать подозрительные операции.
Важно, чтобы сами клиенты заботились о безопасности — нельзя отправлять паспортные данные в социальных сетях и мессенджерах. Если карту уже перевыпустили и номер «утёк» в интернет, можно его заменить. Это убережёт от повторного взлома. Мобильный банкинг лучше всего защитить сложным паролем, Touch ID или Face ID.
Подозрительные документы обязательно проверяют специалисты по безопасности. Когда SIM-карту просят заменить по доверенности, сотрудник салона звонит хозяину номера — нужно его согласие. А ещё в течение суток после замены на новой карте отключена возможность мобильных переводов.
Для борьбы с мошенничеством «МегаФон» разработал опцию «Статус». Она даёт банку доступ к информации о замене SIM-карты, смене владельца номера или аппарата, геолокации и заражении устройств вредоносным ПО. Всё это помогает защитить клиента.
Если карту перевыпустили, нужно сразу связаться с оператором и проверить последние банковские транзакции. Самый главный совет — не указывать свой номер на сомнительных сайтах и критически относится ко всем попыткам сбора информации.
Когда в салон обращаются с доверенностью, сотрудник офиса создает заявку на проверку документа. После замены SIM-карты SMS заблокированы — нельзя воспользоваться двухфакторной аутентификацией. А также недоступна оплата услуг со счёта телефона. Ограничения автоматически снимаются через 24 часа.
Для защиты карты можно задать универсальный пароль на предоставление сервиса — это аналог банковского кодового слова. Также можно подключить сервис «Запрет действий по нотариальной доверенности».
Если мошенники перевыпустили карту, необходимо сразу заблокировать номер. Можно позвонить в центр поддержки клиентов или сделать это самостоятельно в личном кабинете. После этого рекомендуем отвязать банковскую карту и социальные сети от номера телефона.
После восстановления SIM-карты можно использовать прежний номер — главное соблюдать основные правила безопасности.
Инструкция: как обезопасить себя
Номер телефона любого абонента можно найти в интернете. Чтобы максимально обезопасить себя от действий мошенников, нужно соблюдать простые меры предосторожности и контролировать доступ к своим персональным данным.
Помнить базовые правила:
- Никому не сообщать номер CVV, кодовое слово или одноразовые коды из SMS.
- Игнорировать SMS с просьбой перезвонить в банк.
- Помнить, что мошенники могут имитировать звонок с номера, неотличимого от номера банка — для этого используется сервис подмены.
- Если что-то во входящем звонке оператора кажется подозрительным, нужно сбросить вызов и сообщить об инциденте по номеру горячей линии банка.
- Не выкладывать фотографии и сканы документов, подтверждающих личность, в социальных сетях.
Защитить персональные данные:
- Написать в салоне сотовой связи заявление, запрещающее перевыпуск SIM-карты без личного присутствия.
- Защитить аккаунты в социальных сетях и почту резервным кодом с помощью мобильного приложения Google Authenticator — для iOS и Android — и Authenticator+ для Windows Phone.
- Создать список одноразовых ключей для входа в социальные сети заранее и распечатать его (поддерживают «ВКонтакте» и Facebook).
- Использовать специализированные аппаратные ключи для мобильного банкинга. Выглядеть они могут по-разному: USB-ключи, смарт-карты, офлайновые брелки-токены с цифровым дисплеем. Устройство генерирует по запросу те же самые одноразовые ключи.
Компантия Group-IB предоставляет услуги по интеллектуальной защите персонального бренда с использованием киберразведки. Более 3 млн ресурсов отслеживаются автоматически, 20 тысяч нарушений устраняются ежедневно, 85% из них — в досудебном порядке.
Поэтому, в дополнение лучше иметь вторую симкарту только для регистрации на сайтах. Но не забывать, с ней что-то делать, чтобы через полгода не заблокировали за бездействие.
МТС, помнится, уже до трёх месяцев опустил планку.
По идее, я слышал, что могут просто у оператора телефоны запросить
Симку нужно не на себя иметь тогда
Если работают по конкретному человеку, то пробивают по ФИО симки у всех операторов и счета в банках, не скроешься.
Идея для стартапа - ТРЕХфакторная аутентификация! Чтобы войти, нужно ДВЕ смски получить, например, на МТС и Мегафон. Всяко две симки перевыпустить в один день сложнее будет.
Чем это надёжнее, чем специализированные аппаратные ключи для мобильного банкинга?
Выглядеть они могут по-разному: USB-ключи, смарт-карты, офлайновые брелки-токены с цифровым дисплеем. Устройство генерирует по запросу те же самые одноразовые ключи.