Fraude à l'échange de carte SIM et comment l'éviter

L'échange de carte SIM est un type courant de fraude par piratage de compte, dans lequel un attaquant prend le contrôle de votre numéro de téléphone mobile. L'attaquant peut alors envoyer et recevoir des appels et des SMS, y compris des codes PIN d'authentification à deux facteurs et des mots de passe à usage unique.

Pour une attaque avec une charge utile aussi précieuse (votre numéro de téléphone mobile), cela nécessite très peu de compétences techniques. Cela ne veut pas dire que c’est facile à réaliser. Cela signifie simplement qu’un attaquant ne va pas taper de commandes complexes dans un terminal Linux pour y parvenir.

Dans cet article, nous allons examiner ce qu'est la fraude par échange de carte SIM, comment elle fonctionne et comment vous pouvez vous en protéger.

Plus il y a d'informations, plus on est de fous

Afin de réussir une attaque par échange de carte SIM, l’attaquant aura besoin d’au moins certaines informations personnelles de la victime. Ces informations seront utilisées par l’attaquant pour compromettre les comptes de la victime. Une attaque par échange de carte SIM ne peut réussir que si l’attaquant dispose déjà de tout ce dont il a besoin pour accéder aux comptes de la victime, à l’exception du contrôle de son numéro de téléphone.

Les moyens par lesquels ces informations sont obtenues peuvent varier de violations de données , à ingénierie sociale , à les escroqueries par phishing . Tout cela est un jeu équitable.

Et plus l’attaquant dispose d’informations sur sa victime, plus grandes sont ses chances de réussite de l’attaque. Pour cette raison, un attaquant est également susceptible de fouiller les comptes de réseaux sociaux de sa victime à la recherche de toute information utile qu’il peut glaner. Vous voudrez peut-être y réfléchir à deux fois avant de publier quelque chose de trop révélateur.

Mais le point ici est que si un attaquant ne parvient pas à accéder à vos informations personnelles, vos informations d’identification, votre adresse e-mail, etc., il y a très peu de chances qu’il essaie de vous échanger votre carte SIM. Cela met également en évidence le fait que votre meilleure défense sera le bon sens. Nous vous fournirons plus loin quelques conseils pour éviter les attaques par échange de carte SIM.

Comment fonctionne la fraude par échange de carte SIM

Une attaque par échange de carte SIM comprend deux étapes principales.

Premièrement, l’attaquant aura obtenu certaines informations personnelles de la victime potentielle. Il peut s’agir de noms d’utilisateur et de mots de passe, de date de naissance, de réponses à des questions de sécurité courantes, des quatre derniers chiffres de numéros de carte de crédit, etc. Tout ce qui peut aider l’attaquant à accéder aux comptes de la victime.

L'attaquant peut utiliser des techniques d'ingénierie sociale (généralement un faux e-mail, une publication Facebook ou un SMS contenant des liens vers un site malveillant contrôlé par l'attaquant) pour obtenir les informations ou il peut les obtenir à partir d'une violation de données déjà survenue. Quoi qu’il en soit, l’attaquant utilisera ces informations d’identification pour accéder aux comptes de la victime après avoir compromis et pris le contrôle de son numéro de téléphone.

Si cela réussit, l’attaquant dispose désormais des informations d’identification de la victime et de toutes les informations auxiliaires qu’il a pu trouver. Mais ce n’est que la première étape.

Pour qu’une attaque par échange de carte SIM réussisse, l’attaquant doit également tromper le représentant du service client du fournisseur de téléphonie mobile de la victime.

Maintenant que l’attaquant dispose des informations d’identification de sa victime pour un compte, il contacte ensuite le fournisseur de réseau sans fil de la victime et tente de faire de l’ingénierie sociale sur elle. Généralement, l'attaquant va se faire passer pour la victime et prétendre qu'elle a perdu son téléphone et qu'elle doit transférer son numéro sur une nouvelle carte SIM . Il s’agira bien entendu de la carte SIM de l’attaquant.

Le représentant du service client posera sans aucun doute quelques questions de sécurité à l’attaquant pour tenter de s’assurer qu’il est bien le titulaire du compte. Si l’attaquant a bien fait son travail, il sera prêt à répondre à des questions sur les noms de jeune fille de la mère, les quatre derniers chiffres des cartes de crédit et d’autres informations personnelles. Et le représentant du service client transférera le numéro de portable de la victime sur la carte SIM de l’attaquant.

Attaques par échange de carte SIM

À partir de ce moment, l’attaquant recevra tous les appels téléphoniques et SMS de la victime. Cela signifie que l'attaquant peut intercepter tous les jetons de vérification en deux étapes et mots de passe à usage unique par téléphone ou par SMS pour les comptes sur lesquels la vérification en deux étapes est activée. Cela inclut les réinitialisations de mot de passe envoyées à ce téléphone par appel ou par SMS.

La fraude à l’échange de carte SIM peut en effet être très grave.

Supposons que l’attaquant parvienne à obtenir les identifiants bancaires en ligne de la victime. Après une attaque réussie par échange de carte SIM, l’attaquant pourrait modifier les informations personnelles de la victime sur son site bancaire, son mot de passe et son compte de messagerie enregistré. L’attaquant pourrait même ouvrir un autre compte bancaire, auprès de la banque de la victime, au nom de celle-ci et transférer des fonds entre les comptes.

Fondamentalement, les attaques par échange de carte SIM ouvrent la porte à tous les types d’usurpation d’identité que vous pouvez imaginer.

Exemples d'attaques par échange de carte SIM

Instagram

En 2018, de nombreux Les utilisateurs d'Instagram ont été victimes d'une attaque par échange de carte SIM . Ces utilisateurs ont remarqué qu'ils étaient déconnectés de manière inattendue de leurs comptes. Lorsqu'ils ont tenté de se reconnecter, ils ont remarqué que le pseudo, l'e-mail et le numéro de téléphone associés à leur compte Instagram avaient changé.

Jack Dorsey de Twitter

En août 2019, des pirates ont réussi à s’emparer du compte du PDG de Twitter, Jack Dorsey, en utilisant une attaque par échange de carte SIM . Ils ont utilisé le compte compromis pour publier des messages racistes et une alerte à la bombe qui semblait provenir de M. Dorsey.

Comment savoir si votre carte SIM a été échangée ?

Vous devriez être en mesure de comprendre rapidement que vous avez été victime d’une attaque par échange de carte SIM, car les symptômes apparaissent rapidement. Voici quelques signes avant-coureurs révélateurs que vous avez été victime d’une attaque par échange de carte SIM.

• Vous remarquez des publications en votre nom sur les réseaux sociaux que vous n’avez jamais publiées. C'est ce qui est arrivé à Jack Dorsey. Et cela peut arriver à n’importe qui.
• Vous ne pouvez passer aucun appel ni envoyer de SMS depuis votre téléphone mobile. C’est un autre signe classique indiquant que vous avez changé de carte SIM. Vous n'avez plus d'agence sur votre numéro de téléphone.
• Vous êtes informé que votre nouvelle carte SIM a été activée, même si vous n'avez jamais fait cette demande. Certains opérateurs de téléphonie mobile envoient des notifications à leurs clients pour confirmer les modifications apportées à leurs comptes, comme l'activation d'une nouvelle carte SIM. Si votre compte de messagerie n’a pas (encore) été compromis, vous verrez peut-être un tel e-mail dans votre boîte de réception.
• Vous ne pouvez plus vous connecter à vos comptes. C’est un autre signe classique d’une attaque par échange de carte SIM. Les identifiants de votre compte ont été modifiés par une personne autre que vous.

Comment pouvez-vous vous protéger contre les attaques par échange de carte SIM ?

Vous pouvez prendre certaines mesures pour vous protéger contre la fraude par échange de carte SIM. Vous devez les mettre en œuvre, ainsi que les conseils ci-dessous sur la façon de protéger vos informations personnelles en ligne. Mais pris ensemble, ils peuvent changer un peu plus les chances en votre faveur.

Voici comment vous protéger contre la fraude par échange de carte SIM :

• Configurez un code PIN sur votre compte de téléphone mobile. Certains opérateurs de téléphonie mobile permettent à leurs clients de configurer un code PIN distinct pour activer la carte SIM sur le réseau mobile. Si l’attaquant ne parvenait pas à extraire ce code PIN, il pourrait complètement contrecarrer l’attaque.
• Utilisez des applications d'authentification. L'authentification à deux facteurs peut renforcer considérablement la sécurité de vos comptes. Mais cela doit être mis en œuvre via un canal sécurisé – et les SMS ne sont pas un canal sécurisé. Si vous activez 2FA et le configurez pour utiliser une application d’authentification plutôt que de recevoir des jetons de sécurité par SMS, l’attaquant ne pourra pas les intercepter. Il n’y aurait rien à intercepter. Certaines applications d'authentification populaires sont Authentificateur Google , Authentificateur MS , et Authentifié . Il en existe d'autres, comme l'open source OTP gratuit . Choisissez-en un qui correspond à vos besoins et utilisez-le.
• Demandez un rappel. Certains prestataires rappellent leurs clients afin de s’assurer qu’ils sont bien bien ceux qu’ils prétendent être. Demandez à votre opérateur de téléphonie mobile s'il propose ce service et configurez-le si c'est le cas. Si vous pouvez configurer un rappel systématique dans votre compte, lorsque l'attaquant tente de se faire passer pour vous pour convaincre votre opérateur de transférer votre numéro sur sa carte SIM, votre opérateur vous rappellera d'abord sur votre téléphone actuel (qui contient votre numéro actuel). Carte SIM). Et vous sauriez que quelqu’un essayait de falsifier votre compte avant de pouvoir causer des dommages.

Comment protéger vos informations personnelles en ligne ?

Que vous souhaitiez éviter spécifiquement la fraude par échange de carte SIM ou toute autre attaque en ligne, ce sont tous des conseils de bon sens qui peuvent vous aider à protéger vos informations personnelles dans un monde aussi connecté. Presque tous les types d’attaques comportent une composante d’ingénierie sociale/phishing. Mettre en pratique ces conseils de bon sens vous aidera.

• Utiliser un pare-feu – Tous les principaux systèmes d'exploitation disposent d'un pare-feu entrant intégré et tous les routeurs commerciaux du marché disposent d'un pare-feu NAT intégré. Vous devez les activer car ils peuvent vous protéger si vous cliquez sur un lien malveillant.
• Achetez uniquement un logiciel antivirus authentique et bien évalué auprès de fournisseurs légitimes et configurez-le pour exécuter des analyses fréquentes à intervalles réguliers.
• Ne cliquez jamais sur les pop-ups . Vous ne savez jamais où ils vous emmèneront ensuite.
• Si votre navigateur affiche un avertissement à propos d'un site Web auquel vous essayez d'accéder, vous devez Faites attention et obtenez les informations dont vous avez besoin ailleurs.
• N'ouvrez pas les pièces jointes dans les e-mails à moins que vous sachiez exactement qui a envoyé la pièce jointe et de quoi il s'agit.
• Ne cliquez pas sur les liens (URL) dans les e-mails à moins que vous sachiez exactement qui a envoyé l'URL et où elle renvoie. Et même dans ce cas, inspectez attentivement le lien. Est-ce un lien HTTP ou HTTPS ? La plupart des sites légitimes utilisent aujourd'hui HTTPS. Le lien contient-il des fautes d'orthographe (faceboook au lieu de facebook) ? Si vous pouvez arriver à destination sans utiliser le lien, faites-le à la place.
• Ne répondez pas aux e-mails, SMS ou appels téléphoniques qui vous demandent des informations personnelles . C’est le signe révélateur d’une arnaque par phishing. Les organisations légitimes ne vous demanderont jamais d’informations personnelles lorsqu’elles vous contactent.
• Limitez la quantité d’informations personnelles que vous publiez sur Internet. Le risque que vous soyez victime d’une attaque par échange de carte SIM peut être corrélé à la quantité d’informations personnelles vous concernant accessibles publiquement. Les attaquants utilisent ces informations pour deviner par exemple les réponses à vos questions de sécurité. Internet est un endroit hostile. Avant de publier quelque chose de révélateur, demandez-vous si c’est vraiment nécessaire ou non.

Que devez-vous faire si votre carte SIM a été échangée ?

Si vous avez été victime d'une arnaque à l'échange de carte SIM, suivez les conseils ci-dessous :

• Contactez immédiatement votre fournisseur de services mobiles pour qu'il désactive la carte SIM de l'attaquant et rétablisse le service sur votre carte SIM et votre téléphone actuels. Modifiez ensuite tous les mots de passe de votre compte.
• Vérifiez votre carte de crédit, votre banque et vos autres comptes financiers pour détecter toute transaction ou frais non autorisés. Signalez toute anomalie à l’institution financière concernée.
• Si vous avez des raisons de croire que votre numéro de sécurité sociale pourrait être compromis, contactez l'agence gouvernementale compétente.

Voilà donc, en un mot, une fraude par échange de carte SIM. C’est une attaque assez méchante. Et il est difficile de s’en défendre, en partie à cause de son importante composante d’ingénierie sociale. Il exploite les émotions humaines et notre désir d’être utile la plupart du temps. Ainsi, même si vous devez mettre en œuvre les mesures techniques mentionnées dans cet article, votre meilleure défense sera le bon sens.

Cliquez soigneusement.

Voir également:

• Plus de 70 escroqueries en ligne courantes
• Faits et statistiques sur le vol d’identité 2022