Ataques de intercambio de SIM ocasionaron pérdidas millonarias en 2021

La Oficina Federal de Investigaciones (FBI, por sus siglas en inglés) dice que los delincuentes han intensificado los ataques de intercambio de SIM. El objetivo de los atacantes es robar millones mediante el secuestro de los números de teléfono de las víctimas.

La cantidad de quejas recibidas por usuarios en Estados Unidos desde 2018 y las pérdidas reportadas se han multiplicado casi por cinco. Esto según los informes recibidos por el FBI a través del Centro de Quejas de Delitos en Internet (IC3) en 2021.

La advertencia del FBI se produce después de que la Comisión Federal de Comunicaciones (FCC) de Estados Unidos anunciara en octubre que comenzó a trabajar en reglas que frenarían los ataques de intercambio de SIM.

La medida de la FCC es el resultado de numerosas quejas recibidas de los consumidores con respecto a la angustia significativa y el daño financiero. Esto como resultado de los ataques de intercambio de SIM y el fraude de transferencia.

“La Oficina Federal de Investigaciones emite este anuncio para informar a los operadores de telefonía móvil y al público sobre el uso cada vez mayor del intercambio de módulos de identidad del suscriptor (SIM). Estos ataques son perpetrados por parte de los delincuentes para robar dinero de cuentas bancarias y de criptomonedas“. 

FBI

De enero de 2018 a diciembre de 2020, el Centro de Quejas de Delitos en Internet (IC3) del FBI recibió 320 quejas relacionadas con incidentes de intercambio de SIM. Los ataques dejaron pérdidas ajustadas de aproximadamente $12 millones. En 2021, IC3 recibió 1,611 quejas de intercambio de SIM con pérdidas aproximadas de más de $68 millones.

La agencia emitió otra  alerta de intercambio de SIM  hace tres años, en marzo de 2019, luego de un aumento en los incidentes de secuestro de SIM.

Ataques de intercambio de SIM detrás de pérdidas millonarias

El fraude de intercambio de SIM  (también conocido como secuestro de SIM, o división de SIM) es un tipo de fraude de apropiación de cuenta (ATO). El ataque permite a los estafadores tomar el control de los números de teléfono de sus víctimas.

Los delincuentes hacen esto engañando a los proveedores de servicios telefónicos para que intercambien el número de teléfono de un objetivo por tarjetas SIM controladas por el atacante. Los delincuentes logran su objetivo mediante ingeniería social o con la ayuda de uno o más empleados sobornados.

Si el personal de soporte técnico del operador de telefonía móvil no verifica a la persona que llama, o si el atacante proporciona la información correcta, el atacante efectivamente toma el control del número de teléfono de la víctima en un teléfono inteligente bajo su control.

Después de que cambian la tarjeta SIM, los delincuentes reciben las llamadas y los mensajes de las víctimas. Por lo tanto, es muy sencillo evadir la MFA basada en SMSs, robar credenciales y tomar el control de las cuentas de servicios en línea de sus víctimas.

La gran mayoría de los intercambiadores de tarjetas SIM tienen una motivación financiera. Y, por lo general, se dirigen a las cuentas de exchanges de criptomonedas y banca en línea de sus víctimas. El objetivo es claro: robar dinero y activos virtuales, así como bloquear el acceso de las víctimas a sus cuentas cambiando las contraseñas.

Arrestos

En marzo de 2020,  Europol anunció que detuvo a sospechosos que formaban parte de dos bandas criminales. Estos criminales robaron millones en una racha de ataques de intercambio de tarjetas SIM.

También se cree que una red de  intercambiadores de SIM desmantelada  a principios de 2021 robó más de $100 millones en criptomonedas de miles de víctimas, incluidas celebridades estadounidenses.

El año pasado, el proveedor de telecomunicaciones de EE. UU. T-Mobile  reveló una filtración de datos  después de que cientos de clientes fueran atacados e impactados en una serie de ataques de intercambio de SIM. En agosto, T-Mobile dijo que los ciberdelincuentes vulneraron sus servidores y  robaron los datos de 54 millones de personas.

Debido a que estos ataques son tan rentables para los delincuentes, también han atraído la atención del crimen organizado. Hace unos meses Europol anunció que una extensa red de ciberdelincuentes con  vínculos con la mafia italiana  participó en ataques de intercambio de SIM que les reportaron más de 10 millones de euros.

Más recientemente, específicamente, esta semana, La Policía Nacional española arrestó a ocho sospechosos. Los arrestados supuestamente formaban parte de una red criminal que vació cuentas bancarias en una serie de ataques de intercambio de SIM.

Presuntamente engañaron al banco de los objetivos con mensajes de phishing por correo electrónico, SMSs o mensajes directos en plataformas de redes sociales. 

Por medio de phishing, los sospechosos obtuvieron la información personal confidencial necesaria para hacerse pasar por las posibles víctimas. En otras palabras. engañaron a los empleados de la tienda de teléfonos para que emitieran nuevas tarjetas SIM con el mismo número.

Finalmente, usaron los números de teléfono de las víctimas para obtener las contraseñas de un solo uso que protegen las cuentas de banca electrónica, accedieron a ellas y rápidamente retiraron todos los fondos disponibles transfiriéndolos a cuentas bajo su control.

Si bien los estafadores intentaron lavar los montos a través de varias transferencias bancarias y pagos instantáneos digitales, los investigadores pudieron rastrearlos.

Medidas de protección

El FBI también compartió consejos sobre cómo las personas pueden protegerse y cómo los operadores de telefonía móvil pueden defender a sus clientes de tales ataques. La agencia también compartió información sobre cómo informar incidentes de intercambio de SIM.

Consejos para los usuarios:

• No brindar información sobre activos financieros, incluida la propiedad o inversión de criptomonedas, en foros y sitios web de redes sociales.
• No proporcionar información de la cuenta de tu número de móvil por teléfono a nadie que solicite la contraseña o el pin de tu cuenta. Verificar la llamada marcando la línea de atención al cliente de tu operador de telefonía móvil.
• Evitar publicar información personal en línea, como número de teléfono móvil, dirección u otra información de identificación personal.
• Usar una variación de contraseñas únicas para acceder a las cuentas en línea.
• Estar al tanto de cualquier cambio en la conectividad basada en SMS.
• Utilizar métodos sólidos de autenticación multifactor, como datos biométricos, tokens de seguridad físicos o aplicaciones de autenticación independientes para acceder a cuentas en línea.
• No almacenar contraseñas, nombres de usuario u otra información para iniciar sesión fácilmente en aplicaciones de dispositivos móviles.

Consejos para operadores de telefonía móvil:

• Educar a los empleados y realizar sesiones de capacitación sobre el intercambio de SIM.
• Inspeccionar cuidadosamente las direcciones de correo electrónico entrantes que contengan correspondencia oficial en busca de pequeños cambios que puedan hacer que las direcciones fraudulentas parezcan legítimas y se parezcan a los nombres de los clientes reales.
• Establecer protocolos de seguridad estrictos que permitan a los empleados verificar de manera efectiva las credenciales de los clientes antes de cambiar sus números a un nuevo dispositivo.
• Autenticar llamadas de minoristas autorizados de terceros que soliciten información del cliente.