SIM swapping. Gdy numer telefonu staje się kluczem do kont

Numer telefonu miał być wygodnym identyfikatorem. Potem stał się drugim czynnikiem przy logowaniu do banku, poczty i giełd kryptowalut. SIM swapping korzysta z tej wygody: kto przejmie numer, ten przejmuje kanał, którym serwis wysyła kody SMS. Atakujący nie musi mieć Twojego hasła do wszystkiego naraz. Wystarczy, że hasło już wyciekło albo da się je zresetować przez ten sam numer.

Skryptów socjotechnicznych i list pytań „działających na konsultanta” tu nie będzie. Wektor jest znany z raportów FBI, z ostrzeżeń operatorów i z głośnych spraw cywilnych. Interesuje mnie mechanika i obrona.

Co się dzieje przy SIM swapie

Karta SIM wiąże numer z konkretnym chipem u operatora. Portacja albo wymiana SIM na nową kartę to normalna procedura: zgubiony telefon, nowy aparat, zmiana operatora. Atak polega na tym, że ktoś doprowadza do przeniesienia numeru na kartę pod swoją kontrolą. Podszywa się pod abonenta wobec biura obsługi albo wykorzystuje słabości procesów weryfikacji.

Po udanej podmianie stara karta traci zasięg. Telefon „nie łapie sieci”. W tym samym czasie na nowej karcie zaczynają spływać SMS-y z kodami. Jeśli poczta, bank albo giełda używa SMS jako 2FA albo jako kanału resetu hasła, atakujący stoi w kolejce po te kody.

Nikt tu nie łamie kryptografii SMS. Atak idzie w zaufanie między operatorem a klientem oraz w fakt, że wiele serwisów traktuje posiadanie numeru jak posiadanie tożsamości.

Dlaczego SMS 2FA przegrywa

Dwuskładnikowe uwierzytelnianie ma sens, gdy drugi czynnik jest trudny do przejęcia niezależnie od hasła. SMS jest wygodny i przez to popularny. Zależy też od sieci operatorskiej, od call center, od procesów portacji i od tego, ile danych o abonencie da się zebrać z wycieków, z mediów społecznościowych albo z wcześniejszego phishingu.

NIST od lat ostrzega przed SMS jako słabym drugim czynnikiem w scenariuszach wysokiego ryzyka. W praktyce widać to przy kontach z pieniędzmi: poczta, która trzyma reset do wszystkiego, giełdy, bankowość. Hasło z wycieku plus numer przejęty na godzinę wystarczą, żeby zmienić hasła i wypchnąć właściciela.

Do tego dochodzi reset konta „przez SMS”. Nawet jeśli na co dzień logujesz się inaczej, procedura odzyskiwania często wraca do numeru. Wtedy SIM swap omija ładny ekran logowania i idzie prostszą drogą.

Czego nie robię w tym tekście

Nie podaję dialogów „jak przekonać konsultanta”. Nie opisuję, które dane z wycieku otwierają które procedury. Publicznie wiadomo, że atakujący łączą OSINT, wcześniejsze włamania i nacisk na support. Szczegóły procedur różnią się między operatorami i zmieniają się po kolejnych skandalach. Rozpisywanie ich tu byłoby pomocą w przestępstwie, nie edukacją.

Wystarczy wiedzieć: wektor istnieje, jest opisany w ostrzeżeniach organów ścigania w USA i Europie, i celuje w ludzi z wartościowymi kontami, nie tylko w celebrytów z Twittera.

Co działa lepiej niż SMS

Aplikacje typu TOTP (kody generowane na telefonie, bez SMS) nie przechodzą przez sieć operatorską. Klucze sprzętowe i passkeys wiążą logowanie z urządzeniem i kryptografią, nie z numerem. Odzyskiwanie konta warto ustawić tak, żeby numer nie był jedyną furtką. Poczta, która chroni resztę życia cyfrowego, zasługuje na najsilniejszy dostęp, jaki jesteś w stanie utrzymać.

U operatora: PIN do karty albo numeru, ograniczenia na portację, alerty o zmianach SIM, jeśli są dostępne. To nie magia. To tarcia, które wydłużają atak i dają czas na reakcję, gdy telefon nagle traci sieć.

Jeśli telefon „umiera” bez powodu, a jednocześnie nie wchodzisz na pocztę, traktuj to jak incydent, nie jak awarię masztu. Dzwoń do operatora z innego numeru, sprawdzaj sesje na krytycznych kontach, zmieniaj hasła z zaufanego urządzenia, wyłączaj SMS jako 2FA tam, gdzie da się przejść na aplikację lub klucz.

Poczta jako domino

W praktyce najdroższy jest łańcuch: numer otwiera pocztę, poczta otwiera reset banku i reszty. Dlatego SIM swap rzadko kończy się na jednym serwisie. Atakujący sprząta to, co da się sprzątnąć w oknie, zanim ofiara odzyska kartę u operatora. Czasem to minuty, czasem godziny. W tym oknie liczy się, czy 2FA i odzyskiwanie w ogóle jeszcze idą przez SMS.

Jeśli prowadzisz cokolwiek wartościowego, rozdziel numery: osobny do banku (jeśli bank w ogóle pozwala na aplikację zamiast SMS), osobny do życia towarzyskiego. Nie każdy operator i nie każdy kraj to ułatwia. Samo myślenie „jeden numer do wszystkiego” jest już błędem projektu.

Numer to identyfikator, nie sekret

SIM swapping boli, bo przez dekadę budowaliśmy tożsamość online na czymś, co da się przenieść jednym wnioskiem w systemie CRM operatora. Hasło mogło być długie. Drugi czynnik siedział w kieszeni w postaci karty, którą ktoś inny potrafił „wymienić”.

FBI i europejscy regulatorzy publikowali ostrzeżenia o tym schemacie wielokrotnie. Nie potrzebuję tu nowych procentów z marketingowego raportu. Wystarczy powtarzalność: konta z kryptowalutami, celebryckie profile, potem zwykłe konta firmowe. Wzorzec jest ten sam. Zmienia się tylko wartość łupu.

Telefonu nie wyrzucam. Wyrzucam wiarę, że SMS jest bezpieczeństwem. Do kont, na których stoi kasa albo tożsamość, wybieram czynniki, które nie zależą od tego, kto dziś ma mój numer w bazie operatora.