O que é a troca de SIM?

O SIM Swapping, também conhecido como SIM jacking ou SIM splitting, é uma forma de roubo de identidade em que um atacante convence um fornecedor de serviços móveis a mudar o número de telefone da vítima para um cartão SIM controlado pelo atacante. Ao fazê-lo, o atacante pode então aceder a qualquer serviço online que exija autenticação baseada em SMS, como contas de correio eletrónico, perfis de redes sociais e até sistemas bancários online.

Esta forma de ataque cibernético tem-se tornado cada vez mais frequente nos últimos anos, à medida que cada vez mais serviços avançam para sistemas de autenticação de dois factores (2FA) que se baseiam em mensagens SMS. Apesar da segurança acrescida que o 2FA proporciona, o SIM Swapping expõe uma vulnerabilidade significativa neste sistema, uma vez que permite a um atacante contornar totalmente esta medida de segurança.

O processo de troca de SIM

O processo de SIM Swapping começa normalmente com o atacante a recolher o máximo possível de informações pessoais sobre a vítima. Isto pode incluir coisas como o nome completo da vítima, a morada, a data de nascimento e até o número da segurança social. Esta informação pode muitas vezes ser encontrada através de tácticas social engineering, tais como e-mails phishing ou falsas chamadas de serviço ao cliente.

Quando o atacante tiver reunido informações suficientes, contactará o fornecedor de serviços móveis da vítima, fazendo-se passar por ela. A vítima alega que perdeu o telemóvel ou que o cartão SIM foi danificado e pede que o seu número de telefone seja transferido para um novo cartão SIM, que o atacante controla. Se o fornecedor de serviços estiver convencido, completará a troca do SIM, dando ao atacante o controlo sobre o número de telefone da vítima.

Técnicas de imitação

O sucesso de um ataque de SIM Swapping depende em grande parte da capacidade do atacante de se fazer passar pela vítima de forma convincente. Muitas vezes, isto implica pesquisar extensivamente a vítima, aprender os seus maneirismos e até imitar a sua voz. Nalguns casos, os atacantes podem até utilizar software de alteração de voz para tornar a sua imitação mais convincente.

Os atacantes podem também utilizar tácticas social engineering para manipular os representantes do serviço de apoio ao cliente de modo a que estes concluam a troca do SIM. Isto pode envolver a criação de um sentido de urgência, como alegar que estão a viajar para o estrangeiro e que precisam que a troca do SIM seja concluída imediatamente, ou apelar à simpatia do representante, como alegar que estão a passar por uma crise pessoal.

Explorar os pontos fracos do serviço ao cliente

Outro fator-chave para o sucesso de um ataque de SIM Swapping é a capacidade de explorar as fraquezas dos processos de serviço ao cliente dos fornecedores de serviços móveis. Muitos fornecedores têm medidas de segurança inadequadas para verificar a identidade dos clientes, baseando-se frequentemente em informações pessoais facilmente obtidas, como a data de nascimento ou a morada do cliente.

Além disso, os representantes do serviço de apoio ao cliente estão muitas vezes sob pressão para resolver problemas rapidamente e manter os clientes satisfeitos, o que os pode levar a ignorar potenciais sinais de alerta. Em alguns casos, os atacantes podem até visar representantes específicos que sabem ser mais susceptíveis às tácticas social engineering.

O impacto da troca de SIM

Quando um atacante tem controlo sobre o número de telefone de uma vítima, pode utilizá-lo para contornar quaisquer medidas de segurança que dependam de autenticação baseada em SMS. Isto pode permitir-lhes obter acesso a uma vasta gama de contas online da vítima, incluindo contas de correio eletrónico, perfis de redes sociais e sistemas bancários online.

Uma vez dentro destas contas, o atacante pode então levar a cabo uma série de actividades maliciosas, tais como roubar informações pessoais, enviar spam ou mensagens phishing, ou mesmo drenar as contas bancárias da vítima. Em alguns casos, o atacante pode também bloquear a vítima nas suas próprias contas, dificultando a recuperação do controlo.

Roubo de identidade

Uma das consequências mais graves do SIM Swapping é o roubo de identidade. Ao obter acesso às contas online da vítima, o atacante pode roubar uma grande quantidade de informações pessoais, incluindo o nome completo da vítima, a morada, a data de nascimento, o número da segurança social e até as suas informações financeiras. Estas informações podem depois ser utilizadas para cometer outros crimes, como fraude ou roubo de identidade.

Além disso, como o atacante tem controlo sobre o número de telefone da vítima, também pode intercetar quaisquer chamadas ou mensagens destinadas à vítima. Isto pode permitir-lhes fazer-se passar pela vítima, enganando os seus contactos para que revelem informações pessoais adicionais ou até mesmo para que lhes enviem dinheiro.

Perdas financeiras

Outro grande impacto do SIM Swapping é a perda financeira. Ao obter acesso aos sistemas bancários online da vítima, o atacante pode transferir fundos para fora das contas da vítima, efetuar compras não autorizadas ou mesmo contrair empréstimos em nome da vítima. Nalguns casos, a vítima pode nem sequer se aperceber de que foi alvo até ser demasiado tarde, deixando-a com poucos recursos para recuperar os fundos perdidos.

Além disso, como o atacante tem controlo sobre o número de telefone da vítima, pode também intercetar quaisquer chamadas ou mensagens do banco da vítima, impedindo-o de ser alertado para a atividade fraudulenta. Isto pode permitir que o atacante continue as suas actividades durante mais tempo, aumentando o potencial prejuízo financeiro da vítima.

Prevenir a troca de SIM

Embora o SIM Swapping seja uma ameaça séria, existem várias medidas que as pessoas podem tomar para se protegerem. Uma das mais eficazes é utilizar uma forma de autenticação de dois factores que não dependa de mensagens SMS, como uma aplicação de autenticação ou um token de hardware. Estes métodos são muito mais difíceis de contornar por um atacante, uma vez que requerem acesso físico ao dispositivo.

Também é importante ter cuidado com quaisquer comunicações não solicitadas que peçam informações pessoais, pois podem ser tentativas de social engineering. Verifique sempre a identidade da pessoa ou organização que o está a contactar antes de fornecer qualquer informação e nunca forneça as suas informações pessoais por telefone ou por correio eletrónico.

Utilizar a autenticação de dois factores sem SMS

Uma das formas mais eficazes de evitar o SIM Swapping é utilizar uma forma de autenticação de dois factores que não dependa de mensagens SMS. As aplicações de autenticação, como o Google Authenticator ou o Authy, geram um código único a cada 30 segundos, que tem de ser introduzido juntamente com a sua palavra-passe para aceder às suas contas. Uma vez que estes códigos são gerados no próprio dispositivo, não podem ser interceptados por um atacante, mesmo que este tenha controlo sobre o seu número de telefone.

Os tokens de hardware, como uma YubiKey, funcionam de forma semelhante, gerando um código único com o premir de um botão. No entanto, por serem dispositivos físicos, são ainda mais seguros, uma vez que não podem ser duplicados ou acedidos remotamente por um atacante.

Proteção de informações pessoais

Outra medida fundamental para evitar a troca de SIM é proteger as suas informações pessoais. Desconfie de quaisquer comunicações não solicitadas que peçam informações pessoais e verifique sempre a identidade da pessoa ou organização que o contacta antes de fornecer qualquer informação. Nunca forneça as suas informações pessoais por telefone ou por correio eletrónico e tenha cuidado com as informações que partilha nas redes sociais, uma vez que estas podem ser uma fonte rica de informações para os atacantes.

É igualmente importante verificar regularmente os seus extractos financeiros e relatórios de crédito para detetar quaisquer sinais de atividade fraudulenta. Se detetar alguma atividade suspeita, comunique-a imediatamente ao seu banco e às autoridades competentes.

Como reagir a um ataque de SIM Swapping

Se acredita ter sido vítima de um ataque de SIM Swapping, é importante agir rapidamente para minimizar os danos. O primeiro passo é contactar o seu fornecedor de serviços móveis e informá-lo da situação. Eles devem ser capazes de cancelar a troca de SIM e restaurar o seu número de telefone para o cartão SIM original.

Em seguida, deve contactar todos os serviços em linha que utiliza, como o seu fornecedor de correio eletrónico, plataformas de redes sociais e sistemas bancários em linha, e informá-los da situação. Estes poderão ajudá-lo a recuperar o controlo das suas contas e poderão monitorizá-las para detetar quaisquer sinais de atividade fraudulenta.

Contactar o fornecedor de serviços móveis

O primeiro passo para responder a um ataque de SIM Swapping é contactar o seu fornecedor de serviços móveis. Informe-o da situação e peça-lhe que cancele a troca de SIM e reponha o seu número de telefone no cartão SIM original. Pode ser útil fornecer-lhes quaisquer provas que tenha do ataque, tais como mensagens de texto suspeitas ou registos de chamadas.

Também é importante perguntar ao seu fornecedor quais são as medidas de segurança para verificar a identidade dos clientes e solicitar que acrescentem medidas de segurança adicionais à sua conta, como um código de acesso único ou uma pergunta de segurança. Isto pode ajudar a evitar futuros ataques.

Recuperar o controlo das suas contas

Depois de ter recuperado o controlo do seu número de telefone, o passo seguinte é recuperar o controlo das suas contas online. Contacte todos os serviços online que utiliza, como o seu fornecedor de correio eletrónico, plataformas de redes sociais e sistemas bancários online, e informe-os da situação. Estes poderão ajudá-lo a recuperar o controlo das suas contas e poderão monitorizá-las para detetar quaisquer sinais de atividade fraudulenta.

É igualmente importante alterar as palavras-passe destas contas e ativar a autenticação de dois factores, caso ainda não o tenha feito. Isto pode ajudar a evitar futuros ataques e pode proporcionar uma camada adicional de segurança para as suas contas.

Conclusão

O SIM Swapping é uma séria ameaça à cibersegurança, permitindo aos atacantes contornar a autenticação de dois factores e obter acesso a uma vasta gama de contas online. No entanto, ao compreender como funcionam estes ataques e ao tomar medidas para proteger as suas informações pessoais e utilizar formas seguras de autenticação de dois factores, pode reduzir significativamente o risco de se tornar uma vítima.

Lembre-se de que a chave para evitar o SIM Swapping é estar atento à proteção das suas informações pessoais e desconfiar de quaisquer comunicações não solicitadas que peçam essas informações. Verifique sempre a identidade da pessoa ou organização que o contacta antes de fornecer qualquer informação e nunca forneça as suas informações pessoais por telefone ou por correio eletrónico.