Un attacco SIM swap altera la procedura di trasferimento dei numeri di telefono tra operatori di telefonia mobile e schede SIM (modulo di identità dell'abbonato) per deviare gli SMS in modo che arrivino al malintenzionato anziché alla vittima. Se usi gli SMS per l'autenticazione a due fattori su Stripe, il malintenzionato può sfruttare questo metodo per ricevere i tuoi codici di verifica, ottenendo così l'accesso al tuo account.

Come funzionano le schede SIM?

La scheda SIM viene rilasciata a ogni cliente che dispone di un cellulare e viene inserita in un telefono per identificare il cliente. In sostanza, ogni numero di telefono è collegato a una sola scheda SIM. Di recente, sono state introdotte le eSIM per eliminare la scheda fisica, ma per il resto funzionano allo stesso modo.

Il tuo gestore telefonico ha la possibilità di modificare la SIM collegata al numero di telefono. Ciò è necessario per mantenere lo stesso numero quando si perde il telefono o se la scheda SIM viene altrimenti danneggiata o resa inutilizzabile. Ciò significa anche che i dipendenti dell'operatore di telefonia mobile hanno la facoltà di apportare tale modifica.

Inoltre, in molti Paesi, la legge stabilisce che i clienti possano passare liberamente da un gestore all'altro. Ciò promuove una sana competizione, ma significa anche che i gestori di telefonia mobile effettuano verifiche minime prima di passare un numero di telefono a un altro gestore, che ovviamente rilascia una nuova SIM.

Come funzionano gli attacchi SIM swap?

Esistono molti modi in cui l'attacco può essere eseguito, sostanzialmente con lo stesso risultato:

1. Il malintenzionato finge di essere te e contatta il tuo gestore di telefonia mobile, comunicando che hai perso il cellulare. Il malintenzionato convince il gestore di essere te, ottenendo una scheda SIM sostitutiva.
2. Il malintenzionato finge di essere te e contatta un altro gestore di telefonia mobile, comunicando che desideri passare al nuovo gestore. Il nuovo gestore chiede a quello vecchio di confermare il passaggio e il malintenzionato li convince, per cui il nuovo gestore rilascia una scheda SIM.
3. Un dipendente del tuo gestore di telefonia mobile viene corrotto affinché faccia in modo che il tuo numero di telefono sia correlato alla SIM del malintenzionato.

In tutti i casi, il malintenzionato ottiene una scheda SIM che riceve SMS e chiamate dal tuo numero di telefono, mentre il tuo telefono smette di funzionare.

Come faccio a proteggermi dagli attacchi SIM swap?

In generale, poiché sono coinvolte terze parti, attualmente non esistono modi per impedire gli attacchi SIM swap. L' unico modo per proteggerti dagli effetti dannosi è smettere di usare i messaggi di testo (SMS) per l'autenticazione a due fattori.

Fino a quando manterrai l'opzione SMS abilitata per l'autenticazione a due fattori, il tuo account sarà a rischio. Abilita un metodo alternativo per l'autenticazione a due fattori, come un' app di autenticazione o una chiave di sicurezza hardware, poi disabilita gli SMS.