Konto Sydney Sweeney na X przejęte przy pomocy SIM-Swap

Aktorka Sydney Sweeney doświadczyła tego, co spotkało już wcześniej takich ludzi jak były dyrektor generalny Twittera Jack Dorsey, współzałożyciel Ethereum Vitalik Buterin i Komisja Papierów Wartościowych i Giełd: utraty dostępu do swojego konta na platformie społecznościowej X. Przestępcy przejęli numer telefonu aktorki, który był używany do uwierzytelniania konta.

Joseph Cox z 404 Media poinformował, że gwiazda seriali „Euphoria” i „Biały Lotos” padła ofiarą ataku polegającego na zamianie kart SIM już w czerwcu. W wyniku tego oszuści przejęli jej konto na X i wykorzystali je do promowania oszustwa związanego z kryptowalutami. Zjawisko zamiany kart SIM nie jest nowe - w 2019 roku ofiarą takiego ataku padł Jack Dorsey. Liczba skarg na takie incydenty zgłaszanych do FBI wzrosła do 1611 w 2021 roku, czyli ponad pięciokrotnie więcej niż w ciągu trzech poprzednich lat.

Konto X aktorki zostało przejęte za pomocą ataku SIM-swap, aby promować fałszywą kryptowalutę.

Przestępcy manipulują pracownikami operatorów telefonicznych, aby przenieść numer telefonu ofiary na swoją kartę SIM. Dzięki temu mogą przejąć konto bez konieczności hakowania urządzeń czy zgadywania haseł. Jeśli ofiara korzysta z uwierzytelniania SMS, napastnik może zresetować hasło do konta.

Według Coxa, dokładnie to spotkało Sweeney. Na Telegramie pojawiło się zdjęcie rachunku Verizon z jej imieniem oraz „Dziękujemy za zamówienie” obok nowego iPhone'a na bagażniku Mercedesa - tego samego dnia, jej konto na X,  po tygodniach braku aktywności, zaczęło publikować reklamy prawdopodobnie fałszywej kryptowaluty.

Rzecznicy Sweeney nie odpowiedzieli na prośbę o komentarz. Verizon oświadczył, że nie może omawiać sytuacji żadnego klienta, ale szybko reaguje na takie problemy. „Verizon traktuje prywatność klientów i bezpieczeństwo kont bardzo poważnie” — powiedział rzecznik Verizon Richard Young w e-mailu. „Gdy problem zostanie nam zgłoszony, szybko go badamy i naprawiamy, a także dbamy o to, aby się nie powtórzył”.

Verizon zaleca klientom używanie unikalnych i złożonych haseł do kont u operatora. AT&T i T-Mobile oferują podobne porady, w tym opcje blokowania przenoszenia numeru na nową kartę SIM. Najlepszym sposobem na uniknięcie takich problemów jest usunięcie numeru telefonu z krytycznej ścieżki dla konta. Większość usług oferuje teraz bezpieczniejsze formy uwierzytelniania dwuskładnikowego, których nie da się pokonać przez błąd pracownika operatora.

X zaleca przejście na jednorazowe kody generowane przez aplikację uwierzytelniającą. Pozbycie się uwierzytelniania SMS na X może również zakończyć potrzebę płacenia za X Premium, które pozwala na uwierzytelnianie oparte na SMS-ach tylko dla osób na płatnych poziomach.

X obsługuje również silniejsze opcje 2FA, takie jak klucze bezpieczeństwa USB, które przechowują kryptograficznie podpisane poświadczenia. Są one odporne na ataki phishingowe, ale kosztują 25 USD i więcej.

Uwierzytelnianie za pomocą klucza dostępu - które umożliwia potwierdzenie logowania na jednym urządzeniu na innym, za pomocą szyfrowanej wymiany Bluetooth - jest równie odporne na phishing i nie wymaga dodatkowych opłat. Jednak w X uwierzytelnianie za pomocą klucza dostępu jest dostępne tylko dla systemu iOS.