Queste schede SIM illecite stanno rendendo più facili gli attacchi come quello di Twitter

La prossima volta che squilla il telefono e il ID del chiamante indica la tua banca, la tua compagnia telefonica o il reparto IT del tuo datore di lavoro, potrebbe trattarsi di qualcun altro.

Questo perché tipi di SIM card poco discussi offrono la possibilità di falsificare qualsiasi numero, possono essere criptati e in alcuni casi consentono di alterare e mascherare la voce dell'utente. Tali SIM card sonofavorito dai criminalie possono rendere più facili da eseguire attacchi di ingegneria sociale come quelli che hanno colpito Twitter il mese scorso.

Una scheda SIM (Subscriber Identity Module) è essenzialmente ciò che memorizza informazioni sull'utente di un telefono, tra cui il paese, il fornitore del servizio e un'idea univoca che la associa al suo proprietario.

Sebbene falsificare un numero di telefono sia un vecchio trucco, queste SIM offrono un modo semplificato per farlo. Esse sottolineano la vasta gamma di vulnerabilità che aziende e individui affrontano quando cercano di proteggersi dagli attacchi di ingegneria sociale.

Twitter era ilvittima di un attacco di spear-phishing telefonico, in cui una persona che si spaccia per un insider aziendale (spesso presumibilmente del reparto IT) chiama un vero dipendente per estorcere informazioni. Quell'attacco, che ha portato all'acquisizione di 130 account, tra cui alcuni di alto profilo come ELON Musk e Kanye West, per truffare i loro follower di 120.000 $ di Bitcoin, ha portato maggiore attenzione alla pratica. Strumenti come queste SIM sono ONE modo per gli aggressori di provare a stare un passo avanti alle aziende sospette.

Vedi anche:"Cripto Instagram" sta diventando una cosa, truffe e tutto il resto

"Altre aziende potrebbero essere un bersaglio più facile per queste stesse tecniche", ha affermato Allison Nixon, responsabile della ricerca presso Unit221B, un'azienda di sicurezza informatica. "E non saranno preparate allo stesso modo delle aziende di telecomunicazioni segnate dalla battaglia".

In effetti, dopo l'attacco informatico su Twitter, c'èa quanto si dice si è verificato un aumento degli attacchi di spear-phishing tra aziende, privati ​​e exchange Criptovaluta .

SIM bianche

Le schede sono note come SIM bianche, per via del loro colore e della mancanza di marchio.

"Le SIM bianche rendono estremamente facile effettuare chiamate in uscita falsificate", ha affermato Hartej Sawhney, Principal presso l'agenzia di sicurezza informatica Zokyo. "Sono illegali praticamente ovunque".

Data l'ampia gamma di servizi offerti da SIM come queste, rendono l'ingegneria sociale un po' più semplice, e a volte è tutto ciò di cui un aggressore ha bisogno. Le SIM possono essere generalmente acquistate suDark Web o siti correlati, utilizzando Bitcoin.

L'ingegneria sociale spesso si basa su un aggressore che inganna qualcuno inducendolo a fare qualcosa che T dovrebbe. Può sembrare semplice come un attacco di phishing, ma può anche comportare mezzi più elaborati come lo scambio di SIM, lo spoofing vocale o lunghe conversazioni telefoniche, il tutto per ottenere l'accesso alle informazioni o ai dati di qualcuno.

Vedi anche:Uno studente riceve una condanna a 10 anni di carcere per furti Cripto tramite SIM-Swap per un valore di 7,5 milioni di dollari

Per anni la comunità Criptovaluta è stata la obiettivo degli scambi di SIM, un sottoinsieme dell'ingegneria sociale. Si tratta di un aggressore che inganna un dipendente di una società di telecomunicazioni inducendolo a trasferire il numero della vittima sul dispositivo dell'aggressore, il che consente loro di aggirare le protezioni dell'autenticazione a due fattori su un account Exchange o un profilo di social media.

"Spoof calling è un difetto a livello di protocollo e non è qualcosa che può essere sistemato da un giorno all'altro. Richiede essenzialmente di riscrivere Internet", ha affermato Sawhney. "Ciò che è interessante notare è che il 99% dei dipendenti delle telecomunicazioni ha accesso a tutti gli account dei clienti, il che significa che è necessario fare social engineering solo ONE di loro".

Queste SIM pongono delle sfide per coloro che lavorano nella protezione dall'ingegneria sociale, tra cui banche e altri istituti finanziari.

Un'attività come tante altre

Gli aggressori di ingegneria sociale scelgono i loro obiettivi soppesando il denaro, il tempo e gli sforzi necessari per ingannarli e il guadagno che ne consegue, ha affermato Paul Walsh, CEO della società di sicurezza informatica MetaCert.

"È più facile, più economico e più veloce compromettere una persona tramite l'ingegneria sociale che cercare di trarre vantaggio da un computer o da una rete di computer", ha affermato Walsh. "Quindi, qualsiasi strumento o processo come questi che renda quel lavoro più rapido e semplice per loro è ovviamente buono, ai loro occhi".

La capacità di imitare uno specifico numero di telefono è ciò che rende queste SIM pericolose. Ad esempio, i chiamanti spam spesso falsificano il loro numero per far sembrare che stiano chiamando da unnumero nella zona del destinatarioMa queste schede SIM consentono a un aggressore di falsificare un numero specifico, rendendo più probabile che qualcuno risponda al telefono.

Vedi anche:Un nuovo hack ultrasonico può sfruttare Siri

Una persona con una SIM che falsifica il numero potrebbe facilmente imitare il numero della Bank of America, ad esempio, ha detto Walsh, rendendo più probabile che le persone forniscano informazioni personali sensibili. Se il numero viene visualizzato come Bank of America, perché dovresti avere motivo di pensare immediatamente il contrario?

Walsh ha anche affermato che molti sistemi rilevano automaticamente il numero da cui si chiama e lo utilizzano come informazione per verificare l'identità.

"Quindi chiami la tua banca e se riesci a confermare con il tuo numero di telefono e forse ONE informazione, ottieni l'accesso a tutti i tipi di informazioni come il tuo saldo bancario e l'ultima transazione", ha detto Walsh. "Quelle informazioni da sole potrebbero essere utili nel contesto dell'ingegneria sociale chiamando la banca senza le informazioni aggiuntive di cui hai bisogno per prendere di mira qualcuno e acquisendole tramite la banca".

In arrivo la tecnologia che imita la voce

Ciò che preoccupa Haseeb Awan, CEO di Efani, un'azienda che lavora specificamente per proteggere dagli hack delle SIM, è il modo in cui queste SIM potrebbero essere utilizzate con altre tecnologie, come lo spoofing vocale. La Tecnologie che può essere utilizzata per ricreare la voce di qualcuno è facilmente disponibile onlinee le voci delle persone possono essere ricostruite da pochi frammenti di discorso.

"Se riesci a replicare la voce di chiunque e ad associarla al suo numero di telefono, ecco cosa inizia a preoccuparmi di più", ha detto Awan. "Molte aziende ora usano la tua voce come metodo di autenticazione, quindi è qui che il rischio di frode diventerà davvero alto".

Vedi anche:Gli hacker nordcoreani intensificano gli sforzi per rubare Cripto durante la pandemia di coronavirus

E mentre la maggior parte delle persone potrebbe pensare di poter dire se la voce di qualcuno è stata alterata o suonata male, Awan, che è nato in Pakistan ma vive negli Stati Uniti, è QUICK a sottolineare che la tecnologia è diventata così buona che è riuscita a replicare il suo accento. Infatti, ONE studio hanno scoperto che il nostro cervello ha difficoltà a distinguere una voce falsa da una ONE, anche quando ci viene detto che sarà falsa.

A differenza delle SIM bianche, quasi universalmente illegali, le SIM anonime criptate che alterano anche la tua voce in tempo reale possono essere facilmente acquistate apertamente. Ad esempio, la società britannicaSim sicure,che al momento della stampa non ha risposto alla Request di commento, ne mette in vendita ONE che, tra le altre funzionalità, disattiva la posizione e crittografa i dati.

È in vendita per un prezzo compreso tra £ 600 e £ 1.000 ($ 794- $ 1.322).