איך אתם מתגוננים מפני מתקפת SIM swapping ?

[Srg]

כל כך הרבה שירותים מוגנים על ידי SMS ולפי סיפורי זוועה ברשת לא כזה קשה לגנוב את מספר הנייד.

 

[klayhamn]

קודם כל - תמיד כשאפשר, לבטל את זה ולהשתמש ב-AUTHENTICATOR.

בכל מקרה, זו שאלה טובה מאוד כי לא תמיד זו ^ אופציה. מה שאני לא מבין זה למה אין פשוט חקיקה שמחייבת הזדהות חד-משמעית כמו זו שיש במשרד הפנים למשל (אי אפשר לקבל שירות במשרד הפנים ללא תעודת זהות. למה לא לחייב הזדהות חובה בשינויי SIM, או - נניח במקרה שמעדיפים רימוט, לדרוש 14 יום עד שהם יכנסו לתוקף ובזמן הזה חובת עדכון הן טלפונית והן באימייל של הלקוח וכו') - או במינימום של המינימום לדרוש בעצם הוכחה של בעלות על הסים הנוכחי + ידע של פרט סודי, לפני השינוי (כלומר איך יכול להיות ששינוי בשיוך מספר ל-SIM לא דורש עצמו אישור של המספר הנוכחי לפני שהוא מבוצע?)

למה כל אהבל יכול להתקשר לחברת סלולאר ולהשתלט על מספרים?

 

[roneng]

לצערי אין יותר מידי מה לעשות בנידון.
מי שזה חשוב לו משתמש ב2FA שאינו SMS איפה שאפשר (ולצערי בהמון גופים בארץ זה לא אפשרי).

בסופו של דבר מתקפה כזאת היא מאוד אישית וממוקדת וקשה לעשות אותה בסקייל רחב, אז כל עוד אין סיבה לטרגט אותך ספציפית לא הייתי דואג מזה יותר מידי.

 

[klayhamn]

אז כל עוד אין סיבה לטרגט אותך ספציפית לא הייתי דואג מזה יותר מידי.

מישהי שהייתה איתי בקורס בצבא נפגעה מהתקיפה האחרונה שהייתה. אם זה לא מעיד שבאותה מידה זה יכל להיות אני - אני לא יודע מה כן.
התקיפה לא הייתה ממוקדת אליה אלא פגעה במאות ישראלים.
למרבה ה-"מזל" - הנזק פה היה שהאהבלים האלה סתם ניסו לקחת כסף מהבנק,
אבל יכול להיגרם נזק גדול פי כמה אם הם היו מתוחכמים יותר ומנסים למשל לגנוב מידע פרטי, לסחוט אנשים, או לבצע פעולות בלתי-הפיכות וכיו"ב.

 

[roneng]

מה שאני לא מבין זה למה אין פשוט חקיקה שמחייבת הזדהות חד-משמעית כמו זו שיש במשרד הפנים למשל (אי אפשר לקבל שירות במשרד הפנים ללא תעודת זהות. למה לא לחייב הזדהות חובה בשינויי SIM

בסוף מי שנותן סים זה עובד של חברת הסלולר, שאלו הרבה פעמים עובדים זמניים (במיוחד יחסית למה שקורה במשרדים ממשלתיים). מסיבות מובנות, הדרישות ובדיקות הרקע שעושים לעובדים של חברת סלולר הם הרבה פחות מחמירים ממה שעושים לעובדי משרד הפנים.
זה אומר שגם אם יחייבו את חברת הסלולר להחמיר בנהלים (ואני די בטוח שהדרישה לזיהוי קיימת אצל כל חברות הסלולר), אין באמת דרך יעילה לוודא שכל העובדים כל הזמן באמת מבצעים את זה.
מעבר לכך, אין בעיה מהותית להגיע למצב שיש לך עובד שמשתף פעולה עם ה"פורץ".

נניח במקרה שמעדיפים רימוט, לדרוש 14 יום עד שהם יכנסו לתוקף

נשמע מאוד לא נוח למשתמש. ומשתמש תמיד יעדיף נוחות על פני אבטחה.
מה אתה מציע, שמי שמאבד סים/טלפון או שסתם מתקלקל לו הסים יסתובב שבועיים בלי טלפון? אין שום סיכוי שהלקוחות בארץ יסכימו למשהו כזה.

ובזמן הזה חובת עדכון הן טלפונית והן באימייל של הלקוח וכו'

חובת עדכון על מי?
על הבנק?
למה שחברת הסלולר תדווח לבנק כל פעם שמחליפים סים?
אתה באמת רוצה שחברת הסלולר תדווח באופן פתוח עכשיו לכל החברות בארץ על כל בנאדם שהחליף את הסים שלו? זה נראה לי פגיעה מטורפת בפרטיות של האנשים, מעבר לזה שזה לא באמת פיסזבילי טכנולוגית עם כל המערכות השונות של החברות השונות.

 

[roneng]

מישהי שהייתה איתי בקורס בצבא נפגעה מהתקיפה האחרונה שהייתה. אם זה לא מעיד שבאותה מידה זה יכל להיות אני - אני לא יודע מה כן.
התקיפה לא הייתה ממוקדת אליה אלא פגעה במאות ישראלים.
למרבה ה-"מזל" - הנזק פה היה שהאהבלים האלה סתם ניסו לקחת כסף מהבנק,
אבל יכול להיגרם נזק גדול פי כמה אם הם היו מתוחכמים יותר ומנסים למשל לגנוב מידע פרטי, לסחוט אנשים, או לבצע פעולות בלתי-הפיכות וכיו"ב.

מעניין.
לא הכרתי שעושים תקיפות כאלה באופן רוחבי.

אבל גם, ברגע שגונבים לך את הסים אתה שם לב לזה די מהר, לא?
כלומר חלון הזמן שיש לתוקף לפעול הוא קטן יחסית. יש גבול כמה נזק אפשר לעשות ככה.

לא שאי אפשר לעשות נזק, ולא שזאת לא בעיה חמורה. אבל לצערי יש לנו בעיות חמורות יותר (גם מבחינת אבטחת מידע).

 

[klayhamn]

זה אומר שגם אם יחייבו את חברת הסלולר להחמיר בנהלים (ואני די בטוח שהדרישה לזיהוי קיימת אצל כל חברות הסלולר), אין באמת דרך יעילה לוודא שכל העובדים כל הזמן באמת מבצעים את זה.

יש. תחסום את זה ברמת המערכת הממוחשבת ותדרוש אישור מנהל בדרגה כלשהי - שחייב לצרף צילום עדכני של ת"ז פיזי. זה לא שחילופים כאלה קורים 1000 פעם ביום.

מה אתה מציע, שמי שמאבד סים/טלפון או שסתם מתקלקל לו הסים יסתובב שבועיים בלי טלפון? אין שום סיכוי שהלקוחות בארץ יסכימו למשהו כזה.

אם זה דחוף שיגש לסניף הקרוב של החברה - יציג ת"ז ויחליפו לו במקום.

חובת עדכון על מי?

חובה של חברת הסלולאר לעדכן את הלקוח + לבצע אישור סופי באמצעות המספר הקיים לפני שהשינוי מבוצע.
זה בהנחה שהמכשיר לא אבד/מנוטרל/וכו' ואז יאלץ לסור לסניף הקרוב ולהציג ת"ז.

אתה באמת רוצה שחברת הסלולר תדווח באופן פתוח עכשיו לכל החברות בארץ על כל בנאדם שהחליף את הסים שלו? זה נראה לי פגיעה מטורפת בפרטיות של האנשים, מעבר לזה שזה לא באמת פיסזבילי טכנולוגית עם כל המערכות השונות של החברות השונות.

לעדכן את הלקוח.
הלקוח.

לא שאי אפשר לעשות נזק, ולא שזאת לא בעיה חמורה. אבל לצערי יש לנו בעיות חמורות יותר (גם מבחינת אבטחת מידע).

זו בעיה שקל מאוד לתקן ברמת חקיקה. הרבה יותר קל למשל מרפורמת ניוד המספרים וכו' -
לא דורש כמעט שום התאמה ממוחשבת מלבד הטלת אחריות פלילית / קנסות על חברות שיעברו על החוק + חובה לדרוש הזדהות של הלקוח וכו'.
כבר היום לדעתי יש חוקים שונים שדורשים מהם KYC וכיו"ב.

וזו בעיה חמורה מאוד בגלל שפוטנציאל הנזק שלה הוא אינסופי - כמו כל גניבת זהות. זה יכול (בצורה עקיפה) לסכן מערכות אחרות שתלויות בהזדהות של האדם.
זה יכול גם להוות (שוב, בעקיפין) סיכון בטחוני.

 

[bigbang]

מישהי שהייתה איתי בקורס בצבא נפגעה מהתקיפה האחרונה שהייתה. אם זה לא מעיד שבאותה מידה זה יכל להיות אני - אני לא יודע מה כן.
התקיפה לא הייתה ממוקדת אליה אלא פגעה במאות ישראלים.
למרבה ה-"מזל" - הנזק פה היה שהאהבלים האלה סתם ניסו לקחת כסף מהבנק,
אבל יכול להיגרם נזק גדול פי כמה אם הם היו מתוחכמים יותר ומנסים למשל לגנוב מידע פרטי, לסחוט אנשים, או לבצע פעולות בלתי-הפיכות וכיו"ב.

תוכל לפרט בבקשה מה היה הסיפור? איך מלכתחילה קישרו בין מספרי טלפון לפרטי התחברות לחשבון הבנק?
בנוסף, איך היא קיבלה חזרה את המספר שלה? לכאורה אחרי שהסים מנויד, אם רוצים להתנייד חזרה (או לחברה אחרת), צריכים לתת קוד אימות שנשלח ב-SMS...

 

[klayhamn]

תוכל לפרט בבקשה מה היה הסיפור? איך מלכתחילה קישרו בין מספרי טלפון לפרטי התחברות לחשבון הבנק?

אני לא יודע את הפרטים כי לא דיברתי עם המכרה, פשוט כשהצגתי את הסיפור לחבר הוא סיפר לי "טריוויה" שהיא נפגעה מהעניין.

בנוסף, איך היא קיבלה חזרה את המספר שלה? לכאורה אחרי שהסים מנויד, אם רוצים להתנייד חזרה (או לחברה אחרת), צריכים לתת קוד אימות שנשלח ב-SMS...

אין לי מושג, סורי.


אבל - אם היה צריך לתת קוד אימות שנשלח ב-SMS לא היו מצליחים לגנוב לה את המספר מלכתחילה.

אגב - אפילו פורסם בתקשורת:

הונאת ענק בבנקים בישראל: כך נגנבו 12 מיליון שקל מהחשבונות

מחוז חוף יחידת ההונאה חשפו פרשיית הונאה ומרמה בהיקף של כ-12 מיליון שקל מקורבנות תמימים. הבוקר פשטו על בתיהם של 9 חשודים, עצרו אותם ותפסו כספת עם מזומן בסך 200,000 שקל, עשרות כרטיסי סים ומסמכים. השיטה? השתלטות על חשבונות בנקים והעברות כספים באמצעות זיופי כרטיסי סים למכשירים ניידים

www.ice.co.il

 

[roneng]

יש. תחסום את זה ברמת המערכת הממוחשבת ותדרוש אישור מנהל בדרגה כלשהי - שחייב לצרף צילום עדכני של ת"ז פיזי. זה לא שחילופים כאלה קורים 1000 פעם ביום.

מהיכרות עם חברות כאלה, לא רואה את זה קורה.

אם זה דחוף שיגש לסניף הקרוב של החברה - יציג ת"ז ויחליפו לו במקום.

שוב, אתה מעדיף אבטחה על פני נוחות. לצערי אתה יוצא דופן ורוב הלקוחות מעדיפים נוחות על פני אבטחה.

חובה של חברת הסלולאר לעדכן את הלקוח + לבצע אישור סופי באמצעות המספר הקיים לפני שהשינוי מבוצע.

זה אכן נשמע הגיוני לדרוש משהו כזה. כמו שעושים בניוד מספר.
ואגב, אני די בטוח שזה גם המצב היום, לא?
אני לא מכיר אפשרות לבקש סים אחד אונליין בלי לשלוח קודם סמס אימות. הבעיה היא שאין תמיד בידקה אמיתית בנוכחות פיסית.

לעדכן את הלקוח.
הלקוח.

עכשיו הבנתי.
אכן נשמע הגיוני.

זו בעיה שקל מאוד לתקן ברמת חקיקה. הרבה יותר קל למשל מרפורמת ניוד המספרים וכו' -
לא דורש כמעט שום התאמה ממוחשבת מלבד הטלת אחריות פלילית / קנסות על חברות שיעברו על החוק + חובה לדרוש הזדהות של הלקוח וכו'.
כבר היום לדעתי יש חוקים שונים שדורשים מהם KYC וכיו"ב.

זה כביכול נכון אבל:
א. חקיקה זה בעיה. זה כלי שלוקח המון זמן ולרוב עד שהוא מסתיים הוא כבר לא רלונטי כשמדובר בטכנולוגיה. בכללי המחוקק מבין מעט מאוד בטכנולוגיה (תראה את כל שאר החוקים שמדברים על טכנולוגיות).
ב. אם כבר עושים את זה, הייתי עושה דרישות דומות גם לשליחת סמס. היום אתה יכול לשלוח סמס ולרשום בשם השולח כל שם/מספר שאתה רוצה.
זאת לדעתי פרצה הרבה יותר חמורה אשר בפועל נפגעים ממנה הרבה יותר אנשים ברמה היום-יומית.

וזו בעיה חמורה מאוד בגלל שפוטנציאל הנזק שלה הוא אינסופי - כמו כל גניבת זהות. זה יכול (בצורה עקיפה) לסכן מערכות אחרות שתלויות בהזדהות של האדם.
זה יכול גם להוות (שוב, בעקיפין) סיכון בטחוני.

יש קצת מרחק בין גניבת זהות לבין גניבת הודעת סמס.
נכון שזה מקרב את התוקף בעוד צעד, אבל זה עדיין רק צעד אחד מתוך רבים שהוא צריך לעשות.

 

[klayhamn]

נכון שזה מקרב את התוקף בעוד צעד, אבל זה עדיין רק צעד אחד מתוך רבים שהוא צריך לעשות.

רק אם הוא סתם שודד מצוי ולא אדם מתוחכם שמנסה לגנוב זהות למטרה קצת יותר מתוחכמת מהזזה של קצת כסף.

 

[roneng]

רק אם הוא סתם שודד מצוי ולא אדם מתוחכם שמנסה לגנוב זהות למטרה קצת יותר מתוחכמת מהזזה של קצת כסף.

גם לתוקף מתוחכם, לקבל את הסמס שלך זה צעד אחד מיני רבים שהוא צריך לבצע.
במיוחד בהקשר של הדיון הנוכחי - 2FA. אז הוא קיבל את מנגנון הזיהוי המשני שלך, הוא עדיין צריך להשיג איכשהו את הראשי.

 

[yanosh34]

eSIM גם אמור לעזור בנושא הזה לא?
מסכל את האפשרות שמישהו יגנוב פיזית את הסים מתוך המכשיר ויעביר אותו למכשיר אחר

 

[klayhamn]

מסכל את האפשרות שמישהו יגנוב פיזית את הסים מתוך המכשיר ויעביר אותו למכשיר אחר

בהשוואה ל-SIM SWAP שאפשר לבצע מרחוק (כולל ממדינה אחרת) - זו סכנה זניחה לחלוטין.

 

[roneng]

eSIM גם אמור לעזור בנושא הזה לא?
מסכל את האפשרות שמישהו יגנוב פיזית את הסים מתוך המכשיר ויעביר אותו למכשיר אחר

זה כלכך נדיר שאני לא חושב שזה באמת משפיע.

בהשוואה ל-SIM SWAP שאפשר לבצע מרחוק (כולל ממדינה אחרת) - זו סכנה זניחה לחלוטין.

בדיוק.

 

[yanosh34]

הבנתי אז eSIM יכול לעזור עם בעיה מסוג אחר לחלוטין.
דרך אגב עם כמה שזה כנראה באמת נדיר, אני מכיר מישהי שפרצו לה לבית לפני כמה זמן רק בשביל לגנוב את הטלפונים, לשלוף את הsim, ובעזרתם להיכנס לגוגל אקאונט שלה.

 

[roneng]

אני מכיר מישהי שפרצו לה לבית לפני כמה זמן רק בשביל לגנוב את הטלפונים, לשלוף את הsim, ובעזרתם להיכנס לגוגל אקאונט שלה.

נשמע מוזר.
יש המון דרכים הרבה יותר פשוטות לעשות את זה, שלא דורשות פריצה לבית.

 

[klayhamn]

דרך אגב עם כמה שזה כנראה באמת נדיר, אני מכיר מישהי שפרצו לה לבית לפני כמה זמן רק בשביל לגנוב את הטלפונים, לשלוף את הsim, ובעזרתם להיכנס לגוגל אקאונט שלה.

ומה ניסו להשיג בזה? כלומר - מה רצו לעשות עם הגוגל אקאונט שלה?

 

[mudale222]

ומה ניסו להשיג בזה? כלומר - מה רצו לעשות עם הגוגל אקאונט שלה?

99% מהאנשים שומרים את הסיסמאות שלהם בchrome.
אם יש לך שליטה בחשבון גוגל יש לך שליטה בכל הסיסמאות שלהם.

 

[yanosh34]

נשמע מוזר.
יש המון דרכים הרבה יותר פשוטות לעשות את זה, שלא דורשות פריצה לבית.

אם אני מנסה לחפש את ההגיון, אז כנראה גניבת SIM במהלך הלילה משאירה לפורצים מספיק זמן לעשות את כל התהליך בנוחות.
לגנוב את זה במהלך היום בדרך כלל יתגלה מהר ואז גם יחסם מהר.

ומה ניסו להשיג בזה? כלומר - מה רצו לעשות עם הגוגל אקאונט שלה?

לא יודע