企業應該注意的SIM卡交換詐騙

SIM卡交換詐騙並非新事物,但這種方法至今仍然為企業帶來威脅,原因是它一直頗為有效,攻擊者藉此能取得企業的通訊、帳號以至敏感資料,是對商業機構造成嚴重威脅的一種攻擊。

甚麼是SIM卡交換

SIM卡交換是一種騎劫流動電話號碼,然後轉換到攻擊者持有裝置的攻擊方法,簡單地舉例,攻擊者走進電訊商的門市,以某種方式獲得一張載有受害者號碼的新SIM卡,再插入自己的電話就能獲得目標的通訊,其中攻擊者對短訊最感興趣,特別是一次性的確定碼,藉此就能登入連上電話號碼的帳號,或者通過攔截確定碼來進行交易。

在進行SIM交換的步驟中,作惡者有多種不同的手段可以執行,有些案例是犯罪份子僱用電訊商的員工,也有些個案是通過偽造文件或社交工程來欺騙員工。而令SIM卡交換變得可行的最基本原因,是現今社會SIM卡和流動電話號碼共非只用作通訊這單一用途,原本並沒有用作確定身份的意圖。現時一次性確定碼短訊是十分常見的帳號保安措施,這意味著騙徒只要從電訊商手中取得他人號碼的新SIM卡,就能把某些保護措施無效化。

至於被當作目標的企業,SIM卡交換攻擊可嚴重影響公司,網絡犯罪份子對加密貨幣資產的興趣與日俱增,因為相對容易騎劫和迅速,不過還有其他更複雜的攻擊手段值得注意。

美國證券交易委員會失去X帳號

在今年1月初,美國證券交易委員會在X(Twitter)上發佈了一則批准Bitcoin的ETF(exchange-traded fund)的貼文,由於類似事件並非初次發生,所以沒有讓人感到難以置信,而Bitcoin因此而大約升值10%,然而該貼文隨後被刪除,並張貼委員會帳號被入侵的訊息,翌日X發出聲名指出該事件並非由系統事故所導致,而是不知名人士取得連住委員會帳號的電話號碼,可以推測有人借假消息令Bitcoin價值急升而獲利。

至到1月底委員會正式承認,其X帳號被SIM卡交換的攻擊者所入侵,而X支援在2023年7月按委員會員工的要求,停用雙重認證(2FA)以解決登入問題,而在解決問題後卻忘記了重新啟動2FA,直至今年1月事故發生,帳號一直沒有額外的保護。

防範SIM卡交換攻擊

由於SIM卡交換攻擊極為有效,毫無疑問騙詐並不會輕易放棄這種攻擊手法,想保護自己便要:

  • 盡可以電話號碼以外用其他選項與帳號連結
  • 開啟帳號登入通知並加以注意,盡快對可疑登入採取行動。
  • 避免透過短訊的一次性碼作為2FA
  • 使用強力密碼組合保護帳號,即是獨一無二、很長和盡可能隨機生成的密碼。

資料來源:Kaspersky Blog