Qu’est-ce que le détournement de carte SIM et comment vous en protéger ?

Les pirates cherchent toujours des moyens nouveaux et ingénieux pour causer des ravages.

Le plus récent engouement est une attaque appelée «swap SIM», une attaque ciblée qui peut être effectuée par à peu près n’importe qui. Malheureusement, la facilité relative avec laquelle les swaps SIM peuvent être exécutés ne la rend pas moins néfaste. Une attaque par échange de cartes SIM peut entraîner le chaos pour les victimes, entraînant une perte d’argent, de faux frais et un accès limité aux comptes en ligne.

Alors, quel est le swap SIM ? L’attaque consiste à convaincre un opérateur de téléphonie mobile de transférer un numéro de téléphone portable sur une nouvelle carte SIM appartenant à un pirate informatique. Si l’opérateur mobile tombe sous le coup des mensonges de l’auteur, il prend le contrôle du numéro de téléphone de la victime.

Qui est le plus à risque ?

En raison de la nature ciblée de l’arnaque à la carte SIM, il s’agit d’une attaque hautement personnalisée et ciblée. Cela le rend un peu plus rare que d’autres cyber-attaques plus prolifiques telles que le phishing. Cependant, étant donné qu’elle peut être exécutée avec une relative facilité par à peu près n’importe qui, vous ne devriez jamais la rejeter. Il est possible qu’un employé mécontent, un ex-partenaire, un contact malveillant ou quelqu’un avec une vendetta contre vous puisse voler votre numéro de téléphone en utilisant l’arnaque SIM swap.

Si quelqu’un en sait assez sur vous : votre nom, votre numéro de téléphone, votre opérateur de téléphonie mobile, votre adresse et quelques autres détails tels que les quatre derniers chiffres de votre numéro de sécurité sociale vous pourriez être victime du swap SIM.

La forme la plus simple de l’arnaque permet à quelqu’un de voler votre carte SIM et de payer des frais de téléphone, mais aussi d’acheter de nouveaux téléphones qui sont ajoutés à votre compte pour être payés en plusieurs versements.

Phishing combiné à une attaque SIM

Les pirates habiles peuvent également combiner une attaque de phishing avec une attaque de swap SIM. Une attaque de phishing réussie peut être utilisée pour voler votre mot de passe. S’ils sont combinés avec l’échange de carte SIM, les pirates peuvent être en mesure de compromettre vos comptes et de contourner l’authentification à deux facteurs. Un pirate pourrait également acquérir votre mot de passe sur le Dark Web (à partir d’un compte précédemment exposé). Cela pourrait signifier que vous finissez par avoir des comptes de messagerie, des comptes de médias sociaux, ou même votre compte courant piraté et vidé de son contenu.

Prise de contrôle d’un compte Instagram

Récemment, une vague de piratage de compte Instagram a également balayé le réseau, dont certains auraient été partiellement exécutés avec l’arnaque à la carte SIM. Les comptes ayant de gros suivis peuvent rapporter à leurs propriétaires d’énormes sommes d’argent dans des contrats d’aval. Cela les rend extrêmement attractif pour les pirates.

Les poignées de jeu, les comptes de célébrités avec un grand nombre de followers et les raccourcis souhaités sont tous vulnérables aux cybercriminels qui cherchent à gagner rapidement de l’argent. Vendre un compte Instagram important sur le Dark Web peut rapporter entre 500 et 5000 dollars, voire plus.

Pour cette raison, si vous disposez d’un support de réseaux sociaux potentiellement intéressant, vous devriez envisager sérieusement de vous protéger contre le swap SIM et les attaques de phishing.

Les investisseurs en crypto-monnaie se méfient

Il ne s’agit pas seulement d’arrêter les comptes de réseaux sociaux, la semaine dernière, un investisseur de crypto-monnaie a décidé de poursuivre son opérateur de téléphonie mobile après une attaque de la carte SIM qui aurait entraîné la perte de 23,8 millions de dollars d’avoirs cryptographiques. Des sources affirment que l’investisseur, Michael Terpin, poursuit maintenant AT & T pour dix fois le montant qu’il a perdu.
Emplois intérieurs

Les chercheurs en menaces de la société de cybersécurité Flashpoint disent qu’il est très difficile de se protéger contre les rachats de cartes SIM. Flashpoint reconnaît que si vous utilisez votre numéro de téléphone pour protéger des comptes en ligne, vous risquez de vous mettre en danger.

Selon Flashpoint, certains pirates informatiques recherchent même l’aide de leurs employés dans les magasins de téléphonie mobile pour les aider à mener à bien leurs escroqueries. Cela signifie que même un compte d’opérateur mobile protégé par mot de passe pourrait techniquement être touché avec l’arnaque d’échange SIM.

Que pouvez-vous faire ?

La bonne nouvelle est qu’il y a certaines choses que vous pouvez faire pour vous protéger contre une attaque par swap SIM…

Protéger votre mot de passe

Beaucoup de gens ne réalisent pas que les opérateurs de téléphonie mobile permettent aux utilisateurs de protéger leur compte avec un numéro d’identification personnel ou un mot de passe. Avoir une protection par mot de passe sur votre compte réduit considérablement les chances qu’une personne entre dans un magasin avec un faux identifiant pour transférer votre numéro de téléphone sur une autre carte SIM.

Certes, cela n’aidera pas contre une attaque où le pirate informatique a un initié travaillant pour l’opérateur de téléphonie mobile. Mais c’est un bon point de départ pour la plupart des gens. Contactez votre opérateur de téléphonie mobile pour savoir comment configurer un code PIN ou un mot de passe sur votre compte, si vous ne le savez pas déjà.

Utilisez des mots de passe différents pour chaque compte

Si vous êtes victime d’un arnaqueur d’échange de cartes SIM, il n’y aura que ce qu’ils pourront réaliser sans vos mots de passe. Le numéro de téléphone pour recevoir le code d’authentification à deux facteurs par SMS est tout à fait bien, mais sans votre mot de passe, un pirate informatique ne pourra toujours pas se connecter à vos comptes.

D’un autre côté, si votre mot de passe a été piraté à partir d’une base de données de mots de passe et qu’il est vendu sur le Dark Web, vous pourriez être en danger; surtout si vous utilisez le même mot de passe pour plusieurs comptes différents. Pour cette raison, il est essentiel de protéger tous vos comptes avec un mot de passe fort et unique.

Ne jamais divulguer votre code PIN ou mot de passe

Pour qu’une attaque par échange de carte SIM aboutisse à la prise de contrôle d’un compte en ligne ou d’un compte bancaire, il est nécessaire que l’attaquant ait vos informations d’autorisation principales (votre mot de passe ou code PIN pour ce compte). Pour cette raison, il est essentiel que vous ne divulguiez jamais votre mot de passe ou votre code PIN à Internet. Votre banque ne vous contactera jamais pour ces détails.

Ainsi, si vous recevez des courriels ou des appels téléphoniques douteux vous demandant vos informations de connexion, raccrochez et appelez votre banque pour vous assurer que tout va bien. Il en va de même pour le mot de passe ou la protection SIM sur votre compte d’opérateur mobile. Ne donnez jamais ces mots de passe ou codes confidentiels à qui que ce soit ou ils pourront effectuer un échange de carte SIM beaucoup plus facilement.

De plus, ne stockez jamais le mot de passe ou les codes PIN de votre compte bancaire (ou de tout autre compte) dans votre compte de messagerie ou vos messages SMS, car ils pourraient être compromis.

Utilisez plutôt une application d’authentification

L’utilisation d’un numéro de téléphone pour une autorisation à deux facteurs est problématique car si votre téléphone ou votre carte SIM tombe entre les mains de quelqu’un d’autre, cela pourrait lui permettre de réinitialiser votre mot de passe, lui donnant accès à un compte. Avoir un mot de passe ou un scanner d’empreintes digitales pour déverrouiller un téléphone est une bonne chose, mais si un pirate a un moment ou deux avec votre téléphone, il pourrait simplement retirer la carte SIM et la placer dans un autre appareil.

Ainsi, bien que l’obtention d’un message SMS soit un moyen pratique d’effectuer une authentification à double facteur, elle n’est pas nécessairement la plus sécurisée. Une bonne solution consiste à utiliser une application d’authentification comme Authy ou Google Authenticator.

Ces applications vous montrent un code aléatoire momentané qui est seulement envoyé à l’application spécifique avec laquelle il est associé. Commencez à utiliser ces applications pour 2FA et vous n’aurez plus à craindre de perdre votre carte SIM, que ce soit physiquement ou via un échange de carte SIM.

Obtenir un authentificateur physique

Pour obtenir la meilleure forme d’authentification à deux facteurs, vous pouvez investir dans une clé YubiKey. Cette forme d’authentification physique à deux facteurs doit être insérée dans un port USB ou micro USB. Protéger vos comptes avec un appareil comme celui-ci signifie que les pirates informatiques doivent vous voler l’appareil pour accéder à vos comptes. Cela augmente considérablement la sécurité de vos comptes.

A lire aussi : 5 choses très simples que vous pouvez faire pour protéger votre compte bancaire contre les pirates.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage