El número de incidentes de intercambio de SIM reportados al FBI se ha disparado en los últimos tres años, con más de cinco veces más casos reportados en 2021 que durante 2018, 2019 y 2020 juntos.
Una nueva alerta del FBI reveló que su Centro de Denuncias de Delitos en Internet (IC3) recibió 320 denuncias relacionadas con el intercambio de SIM durante el período comprendido entre enero de 2018 y diciembre de 2020. Estas tenían pérdidas ajustadas combinadas de alrededor de 12 millones de dólares.
Sin embargo, el año pasado el IC3 recibió 1611 denuncias de SIM swapping con pérdidas ajustadas de más de 68 millones de dólares.
El SIM swapping suele consistir en que un estafador hace ingeniería social a un operador de telefonía móvil para que cambie el número de móvil de la víctima a una tarjeta SIM en su poder.
Otra posibilidad es enviar correos electrónicos cargados de malware a miembros inocentes del personal, lo que permite a los atacantes acceder de forma remota a los sistemas informáticos de la compañía. Un tercer método consiste en pagar a un empleado malintencionado de la compañía telefónica para que lleve a cabo el cambio de la tarjeta SIM.
“Una vez intercambiada la SIM, las llamadas, los mensajes de texto y otros datos de la víctima se desvían al dispositivo del delincuente. Este acceso permite a los delincuentes enviar solicitudes de “olvido de contraseña” o “recuperación de cuenta” al correo electrónico de la víctima y a otras cuentas en línea asociadas al número de teléfono móvil de la víctima”, explicó el FBI.
“Utilizando la autenticación de dos factores basada en SMS, los proveedores de aplicaciones móviles envían un enlace o un código de acceso de un solo uso a través de un mensaje de texto al número de la víctima, que ahora es propiedad del delincuente, para acceder a las cuentas. El delincuente utiliza los códigos para iniciar sesión y restablecer las contraseñas, obteniendo el control de las cuentas en línea asociadas al perfil del teléfono de la víctima.”
Esto se utiliza a menudo para desbloquear cuentas de criptodivisas, como en el caso de un adolescente canadiense que pudo robar 36,5 millones de dólares de una víctima no identificada en Estados Unidos.
En consecuencia, los federales instaron a los usuarios a no compartir en exceso la información personal en línea ni a anunciar información sobre criptografía y otros activos financieros en las redes sociales.
Info – Ciberseguridad Latam