nyttige artikler

Sådan forebygges og reageres på en SIM-swap-svindel

Da ZDNets Matthew Miller blev ramt af et SIM-swapangreb, beskrev han det som en ”rædselshistorie”, der fik ham til at miste “årtier med data.” Og han er ikke at være hyperbolisk; mere end en uge senere beskæftiger han stadig med eftervirkningerne, og der er ingen garanti fra nogle af de store tech-spillere - inklusive Twitter og Google - for at han nogensinde vil være i stand til at genvinde adgang til det, som hans angribere rodede sammen.

SIM-bytte er en stor aftale, især hvis du også er aktivt involveret i cryptocurrency-samfundet - en god måde for en angriber at gøre lidt kontant rod i dit liv. Heldigvis kan et par små finjusteringer til din kontos sikkerhedspraksis hjælpe med at reducere sandsynligheden for, at dette irriterende problem nogensinde vil ødelægge din dag (eller måned).

Hvad er SIM-bytte?

SIM-udskiftning involverer en hacker, der dupper din celleudbyder til at tro, at du aktiverer dit SIM-kort på en anden enhed. Med andre ord, de stjæler dit telefonnummer og knytter det til SIM-kort.

Hvis det lykkes, vil dette angreb deaktivere din enhed, og deres enhed vil nu være destinationen for alle tekster, telefonopkald, data og konti, der er knyttet til dit telefonnummer og SIM-kort. Med disse oplysninger kunne angriberen nemt få adgang til dine appkonti, personlige data og økonomiske oplysninger. De kan endda låse dig ud af dine tjenester for godt.

Tænk på hvor mange apps og konti, der bruger dit telefonnummer til at bekræfte din identitet - og ikke engang, når du går til at logge ind med dit brugernavn og din adgangskode, som en angriber ikke ved, men de samme gendannelsesmekanismer, du vil bruge til at nulstille dette nøgleinformation. Al kontosikkerhed i verden gør ikke meget godt, hvis en angriber kan foregive, at han er du bare ved at overtage dit telefonnummer.

Hvordan en SIM-swap-scam ser ud

En person har ikke brug for fysisk adgang til din telefon for at udføre en SIM-swap - de kan gøre det hele eksternt, uanset enhedens mærke og model eller din tjenesteudbyder. De skal bare have tilstrækkelig information til at overbevise en kundesupportagent om, at de er dig. Du kan muligvis ikke se, at en SIM-swap-svindel er på vej hen, før det er for sent.

Den nemmeste måde at fortælle, at du er blevet målrettet mod et SIM-swap, er, når du ser mærkelig opførsel fra din telefon, som en manglende evne til at sende eller modtage tekster og opkald, selvom du ikke har lukket service; modtagelse af meddelelser fra din udbyder om, at dit telefonnummer eller SIM-kort er blevet aktiveret andre steder; eller at du ikke kan logge ind på nogen af ​​dine vigtige konti. Overvej dette nylige eksempel fra ZDNets Matthew Miller:

Forebyggelse af et SIM-swapangreb

Det er meget lettere at konfigurere forsvar mod et SIM-swap-angreb lige nu, end det er at håndtere nedfaldet fra den ene - den ene er en mindre irritation, den anden vil forbruge din uge (eller mere).

Pas på phishing-svindel

Det første trin i et SIM-swapangreb er normalt (men ikke altid) phishing. Skitsefulde e-mails med ondsindede links, falske login-skærme, falske adresselinjer - der er mange former, phishing-svindel kan tage, men de er lette at se, hvis du ved, hvad du skal kigge efter. Klik ikke på links, download programmer eller log ind på websteder, du ikke genkender. Hvis en angriber får nok nøgledata om dig fra disse angreb, har de det, de har brug for for at prøve en SIM-swap.

Reducer overdreven personlige data online

Uanset om phishing eller i stedet for det involverer den anden tidlige del af en SIM-swap social engineering - dybest set indsamling af så mange data om dig som muligt, så hackeren pålideligt kan videregive til dig over telefonen eller i en e-mail.

For at forhindre dette skal du holde dit telefonnummer, fødselsdato, postadresse og alle andre kompromitterende oplysninger fra så mange af dine konti som muligt og ikke dele disse oplysninger offentligt, hvis du kan undgå dem. Nogle af disse data er nødvendige for visse tjenester, men du behøver ikke, at nogen kan søges på sociale medier. Du skal annullere og slette alle konti, du ikke længere bruger som en ekstra forsigtighedsforhold.

Beskyt dine konti

Mange digitale konti har indstillinger, der kan hjælpe dig med at tage dine konti tilbage, hvis de nogensinde er stjålet - men de skal konfigureres korrekt, at kontoen er stjålet for at være til hjælp. Disse kan omfatte:

  • Oprettelse af et PIN-nummer, der kræves til login og ændring af adgangskode. Dette er især vigtigt at konfigurere sammen med din mobiloperatør, da det er et fantastisk forsvar mod SIM-kapring.
  • En passende to-faktor sikkerhedsmetode, der er afhængig af en fysisk enhed, f.eks. Google Authenticator eller Authy, snarere end SMS-baseret verificering af logins. Du kan også få et hardware-token til at beskytte dine konti, hvis du ønsker at blive virkelig fancy.
  • Stærke svar på spørgsmål om gendannelse af sikkerhed, der ikke er knyttet til dine personlige oplysninger.
  • Fjern linket til dit smartphone-telefonnummer fra dine konti, hvor det er muligt. (Du kan altid bruge et gratis Google Voice-nummer, hvis du skal have et til dine følsomme konti.)
  • Brug af lange, randomiserede og unikke adgangskoder til hver konto.
  • Brug en krypteret adgangskodemanager.
  • Brug ikke dine foretrukne tjenester (Google, Facebook, osv.) Til at logge ind på andre tjenester; alt, hvad en angriber har brug for, er at bryde ind i en for at få adgang til meget mere af dit digitale liv.

Du skal også notere vigtige kontorelaterede oplysninger, der kan bruges til at identificere dig som den retmæssige kontoindehaver, såsom:

  • Den måned og det år, du oprettede kontoen
  • Tidligere skærmnavne på kontoen
  • Fysiske adresser tilknyttet kontoen
  • Kreditkortnumre, der er brugt til konti eller kontoudtog, der kan bekræfte, at du var den, der har foretaget køb
  • Indhold oprettet af konti, f.eks. Karakternavne, hvis kontoen er til et online videospil

Tilsvarende vil det at lade en liste over alle dine kritiske konti gøre det lettere at reagere på en SIM-swaps eller lignende ID-tyveri, da du sikkert kan kamre gennem hver konto og ændre adgangskoder, e-mail-adresser osv. Opbevar alle disse oplysninger sikkert - måske endda som en fysisk udskrivning af en tekstfil - snarere end at gemme dem på en tjeneste, der er knyttet til en digital enhed (der kan bruges til).

Decentraliser dit online fodaftryk

Overvej at bruge krypterede apps og tjenester med open source i stedet for kun apps fra Google, Apple, Microsoft, for at holde vigtige data spredt med de mest følsomme data, der er gemt på steder med den højeste sikkerhed. Dette gælder for e-mail, messaging-apps, bank-apps osv. Google Drive og iCloud er gode, men hvis alt kan kæmpes ind i et enkelt drev - inklusive personlige økonomiske oplysninger osv. - er du skruet fast.

Du skal også holde visse data ude af skyen helt. Kast ikke dine selvangivelser på dit Google Drev, for hvis nogen skulle få adgang, ville de pludselig have masser af kritiske oplysninger om dig (og masser af oplysninger, de kunne bruge til at foregive, at de er du). Og vær venlig, uanset hvad, ikke opbevar en liste over dine almindelige adgangskoder, backup-login-nøgler, din adgangskodeadministrators PDF-konto til gendannelse på en simpel cloud-lagringskonto.

Sådan reagerer du på et SIM-swapangreb

Hvis du har mistanke om, at du er blevet offer for en SIM-swap eller nogen form for ID-tyveri, skal du hurtigt gennemføre alle disse trin:

  • Rapporter om identitetstyveri med dit lokale politibureau og FTC.
  • Align dine banker / finansinstitutter til den potentielle identitetsrapport og anmodninger om anbringelse på dine konti og bankkort, og kontakt derefter alle tre kreditbureauer (Experian, Equifax og TransUnion) for at anmode om indefrysning af din kredit og flag potentielt kreditbedrageri. Hvis du har mistanke om, at din skatteidentitet eller sociale sikkerhedsnumre er kompromitteret, skal du kontakte IRS. Du ønsker måske endda at ændre din bankkonto eller kreditkortnumre.
  • Rapporter identitetstyveri til din mobiltelefonudbyder. Vær dog opmærksom på, at medmindre du tilstrækkeligt kan bevise, at dette er sket, og at du er den berettigede kontoindehaver, kan de muligvis ikke gøre meget (da hacker som dit telefonnummer og alt sammen).
  • Hvis du har en offline / analog liste over dine konti og deres oplysninger, skal du ændre hver kontos e-mail-adresse og adgangskode (sørg for, at den nye e-mail-adresse ikke er bundet til dit telefonnummer; en ny fungerer bedst) og opdater enhver anden kontosikkerhed foranstaltninger. De vigtigste steder at starte er din e-mail-adresse (r) og finansielle institutioner, inklusive PayPal, Venmo osv., Og eventuelle konti, der er knyttet til dit telefonnummer eller Google / Apple-konti.
  • Vigtigt: Hvis du får denne mulighed, skal du IKKE have bekræftelseskoder eller nulstille links sendt til dit telefonnummer. Disse vil blive sendt til hackeren, ikke dig.
  • Hvis du ikke kan logge ind på en konto eller nulstille din adgangskode, skal du kontakte denne kontos kundeservice ASAP og forklare situationen. Du bliver bedt om at bevise din identitet, så at have så mange oplysninger om kontoen som muligt vil hjælpe dig med at tage kontrol igen.