SIM swap

Zayıf nokta borsanız değil, mobil operatörünüzdür: kandırılan veya rüşvet verilen bir çalışan bir numarayı dakikalar içinde taşıyabilir. FBI, 2021 yılında 1.611 SIM swap şikayeti kaydetti ve kayıplar 68 milyon doların üzerindeydi; önceki üç yılın toplamında ise 320 şikayet vardı. Bitcoin'inize dokunan herhangi bir hesap kısa mesajla kurtarılabiliyorsa, telefon şirketiniz fiilen sizin saklayıcınızdır.

Nasıl çalışır

SIM swap, müşteri olmayan biri tarafından yürütülen bir müşteri hizmetleri işlemidir.

Saldırganlar keşifle başlar. Sızdırılmış veri tabanları adı, adresi, doğum tarihini ve bir kartın son dört hanesini sağlar. Sosyal medya, operatörlerin hâlâ sorduğu bilgiye dayalı yanıtların geri kalanını sağlar. Kripto varlıkları hakkında herkesin önünde övünmek güdüyü sağlar; bu yüzden portföy ekran görüntüsü paylaşan herkes bir yerdeki bir listededir.

Sonra numara taşınır. Üç yol vardır ve üçü de hâlâ kullanılmaktadır: ikna edici sahte bir kimlikle bir mağazaya girmek, destek hattını arayıp doğrulama sorularını geçmek veya bir içerdeki kişiye para ödemek. ABD'deki kovuşturmalar, her taşıma için birkaç yüz dolar alan operatör veya yetkili bayi çalışanlarını defalarca içermiştir; bu yüzden “benim operatörüm bunu asla yapmaz” bir güvenlik modeli değildir.

Numara taşındığı anda telefonunuz hizmet alamaz ve saldırganın telefonu mesaj almaya başlar. Ardından gelen işlem sırası her zaman benzerdir. Önce e-posta, çünkü çoğu sağlayıcı SMS ile sıfırlamaya izin verir ve e-posta geri kalan her şeyin ana anahtarıdır. Sonra borsa, çünkü burada bir parola sıfırlama artı SMS ile gelen tek kullanımlık kod genellikle yeterlidir. Sonra para çekme, sizin saatinizle gecenin üçünde.

SMS bu iş için hiç tasarlanmadı ve standart kuruluşları bunu söylemiştir. 2017 yılında yayımlanan NIST'in SP 800-63B belgesi, kamu telefon ağı üzerinden iletilen tek kullanımlık kodları “kısıtlı” bir kimlik doğrulayıcı olarak sınıflandırır; bu, uygulayıcıların tam olarak bu saldırının riskini kabul etmesi ve açıklaması gerektiği anlamına gelir.

Bitcoin satın alırken bu neden önemli

Bu sitenin incelediği her büyük borsa SMS'ten daha iyi bir yöntem sunuyor ve neredeyse kimse bunu açmıyor.

Kraken, FIDO2 güvenlik anahtarlarını ve güvenlik ile para çekme ayarlarındaki değişiklikleri siz bilerek kilidi açana kadar donduran bir Global Settings Lock özelliğini destekler. Coinbase, güvenlik anahtarlarını ve passkey yöntemini destekler. Binance, Bitstamp ve Bitpanda en azından kimlik doğrulama uygulaması kodlarını destekler. Donanım güvenlik anahtarı bunların en güçlüsüdür, çünkü sitenin alan adına bağlıdır; bu da oltalamayı (phishing) ve SIM swap saldırısını birlikte boşa çıkarır ve telefon hattı üzerinden okunamaz.

İnsanların atladığı adım ikincisidir. Hesap hâlâ kısa mesajla kurtarılabiliyorsa kimlik doğrulama uygulamasını açmak işe yaramaz; bu yüzden telefon numarasını yalnızca giriş faktörü olarak değil, kurtarma yöntemi olarak da kaldırın. İki faktörlü doğrulama sayfasını değil, hesap kurtarma sayfasını kontrol edin.

Operatörünüzden bir port-out PIN'i veya numara taşıma kilidi isteyin. ABD'de 2023 yılında kabul edilen FCC kuralları, operatörlerin bir numarayı taşımadan veya bir SIM'i değiştirmeden önce müşterileri doğrulamasını ve ikisinden biri talep edildiğinde sizi bilgilendirmesini zorunlu kılar. Bu bildirim alarm zilidir: telefonunuz sebepsiz yere hizmet kaybederse, bunu sürmekte olan bir saldırı olarak ele alın ve bir bilgisayara geçin.

Bir de hiçbir borsa ayarının düzeltemeyeceği kısım var. Bir SIM swap yalnızca bir şirketin sizin adınıza tuttuğu kripto varlıklara ulaşabilir. Bir donanım cüzdanında duran Bitcoin'in telefon numarası, hesap kurtarma akışı ve ikna edilebilecek bir destek görevlisi yoktur. Borsada satın alın, sonra çekin. Bu tek alışkanlık, işlem bakiyeniz dışındaki her şey için bu saldırı sınıfını tamamen devre dışı bırakır.

Terpin v. Truglia, 24 milyon dolarlık bir telefon görüşmesi

Michael Terpin davası, belgeli izi olan davadır ve içindeki rakamlar kamuya açık mahkeme kayıtlarındadır.

7 Ocak 2018 tarihinde saldırganlar Terpin'in telefon numarasını ele geçirdi ve yaklaşık 24 milyon dolar değerinde kripto parayı boşalttı. Mayıs 2019'da bir Kaliforniya mahkemesi, hırsızlık nedeniyle Nicholas Truglia aleyhine 75,8 milyon dolarlık bir karar verdi. Truglia daha sonra federal düzeyde kovuşturuldu ve Aralık 2022'de 18 ay hapis cezasına çarptırıldı ve yaklaşık 20,4 milyon dolar tazminat ödemeye mahkûm edildi. Terpin ayrıca, operatörün kendi çalışanının SIM swap işlemini mümkün kıldığını öne sürerek AT&T aleyhine 224 milyon dolarlık dava açtı.

Sonucu dikkatle okuyun, çünkü ders oradadır. Yıllarca süren dava, Bitcoin değil karar üretti. Tazminat kararı, hüküm giymiş bir kişinin hâlâ sahip olduğu varlıklara karşı bir taleptir ve taşınmış ve karıştırılmış Bitcoin o yığında değildir. Çalınan kripto paranın kurtarılma oranı, çalınan bir kredi kartının kurtarılma oranı değildir.

SIM swap vs oltalama (phishing)

Bir SIM swap ve bir oltalama saldırısı, ikisi de bir başkasının hesabınıza giriş yapmasıyla sonuçlanır ve sizden farklı şeyler ister. Oltalama sizin bir hata yapmanızı gerektirir: tıklanan bir bağlantı, yanlış kutuya yazılan bir kod, inanılan sahte bir destek görevlisi. Bir SIM swap sizden hiçbir şey istemez ve genellikle siz uyurken, telefonunuz komodin üzerinde yüzü aşağı dönük ve sinyal göstermezken olur. Farkındalık eğitimi birincisine yardımcı olur, ikincisine karşı işe yaramaz.

SIM swap vs iki faktörlü kimlik doğrulama

İki faktörlü kimlik doğrulama savunmadır; SIM swap ise bunun zayıf bir sürümünü yenen saldırıdır. Yaygın üç uygulama birbirine denk değildir. SMS ile gelen kodlar, telefon şirketindeki bir çalışanın işini yapmasına bağlıdır ve buradaki özgül hedef bunlardır. Kimlik doğrulama uygulaması kodları cihazınızda yaşar ve bir SIM swap saldırısından sağ çıkar, ancak yine de ikna edici sahte bir giriş sayfasına aktarılabilir. Donanım güvenlik anahtarı, görüştüğünüz gerçek alan adını imzalar, bu yüzden ikisine de direnir. Yanıtınız olarak “2FA açık” seçeneğini seçmek, önemli olan tek soruyu atlar: hangi tür olduğu.