سيم مبادلة الولايات المتحدة لا تستخدم

تكبير الصور / صور غيتي

منذ حوالي عام ، تم استدعاء André Tenreiro لحضور اجتماع بين رئيس التكنولوجيا في شركة الهاتف التي يعمل بها ل- واحدة من أكبر في موزامبيق – ومدير تنفيذي لل أكبر بنك في البلاد. وكان هذا الأخير قد شهد نمطًا متصاعدًا الاحتيال على أساس ما يسمى هجمات مبادلة SIM ، حيث خداع المتسللين أو رشوة موظف شركة الهاتف إلى تبديل بطاقة SIM المرتبطة برقم هاتف الضحية. المهاجمين ثم استخدام هذا الرقم المختطف لتولي حسابات مصرفية أو حسابات أخرى عبر الإنترنت. وفقا ل Tenreiro ، فقد شهد البنك أكثر من 17 SIM مبادلة الاحتيال كل شهر. كانت المشكلة تزداد سوءا.

“الرجل المحترم من البنك ، استطعت أن أراه على وجهه يائسة. أراد أن يفعل شيئًا لكنه لم يعرف ماذا يفعل يقول Tenreiro ، الذي طلب من WIRED عدم تحديد الهاتف الناقل كان يعمل ل. “كان يطلب مساعدتنا. كجوال مشغلي ، لدينا أيضا مسؤولية مكافحة هذا الاحتيال. ”

مبادلة SIM يعتمد المتسللون على اعتراض كلمة مرور لمرة واحدة يتم إرسالها بواسطة النص بعد سرقة بيانات الاعتماد المصرفية للضحية ، أو باستخدام الهاتف رقم كإعادة تعيين كلمة مرور. لذلك شركة الهاتف ، Tenreiro يقول ، عرضت إصلاح واضح: الناقل ستقيم أ نظام للسماح للبنك الاستعلام سجلات الهاتف عن أي مقايضة SIM الأخيرة المرتبطة بحساب مصرفي قبل قيامهم بأموال نقل. إذا كان قد حدث تبادل بطاقة SIM في ، على سبيل المثال ، آخر اثنين أو ثلاثة أيام ، سيتم حظر النقل. لأن ضحايا مبادلة SIM يمكن عادة ما ترى في غضون دقائق أنه تم تعطيل هواتفهم ، تلك النافذة الزمنية تتيح لهم الإبلاغ عن الجريمة قبل المحتالين يمكن الاستفادة منها.

بحلول شهر أغسطس من عام 2018 ، كان أكبر بنك في موزامبيق ينفذ بطاقة SIM الشيكات مبادلة مع جميع شركات النقل الكبرى. “قلل من مبادلة SIM الخاصة بهم يقول Tenreiro ، الذي يعمل على الاحتيال إلى ما يقرب من الصفر بين عشية وضحاها فريق موزمبيق لجهاز الكمبيوتر للطوارئ ، وتحدث عن إصلاح الاحتيال في بطاقة SIM في Kaspersky Security Analyst Summit في وقت سابق هذا الشهر.

موزامبيق ليست وحدها في تنفيذ هذا الإصلاح للنمو وباء الاحتيال مبادلة SIM ، والذي يستخدم بشكل متزايد ل كل شيء من اختطاف حسابات Instagram إلى السرقة عملة مشفرة. وفقا لمقابلات WIRED مع شركات الأمن والمديرين التنفيذيين في الصناعات المصرفية والاتصالات، الشركات في بلدان أخرى في جميع أنحاء أفريقيا ، بما في ذلك نيجيريا وجنوب أفريقيا و كينيا — حيث أدى انتشار مدفوعات الهاتف المحمول إلى إجراء مقايضات SIM تهديد خطير بشكل خاص – قد وضعت فحص الناقل مماثلة العلاجات في المكان. وكذلك المملكة المتحدة واستراليا. ولكن هناك واحد البلد الذي يقول الخبراء إن الإصلاح لم يثبت: الولايات المتحدة.

يقول أليسون: “هذا شيء تنتظرنا أفريقيا فيه” نيكسون ، مدير البحوث الأمنية في شركة الأمن Flashpoint. “إنه شيء يطلبه الناس في الولايات المتحدة ، لكن لا أحد لقد تحركت حقًا للأمام للقيام بذلك “.

اجتماع خاطف

يشير بعض شركات الأمن والمديرين التنفيذيين المصرفي إلى شركات النقل الأمريكية كما العقبة الرئيسية. انهم ببساطة لا تجعل في الوقت الحقيقي بيانات مبادلة SIM المتاحة لهذا النوع من الأمن يتحقق البنوك في البلدان الأخرى نفذت. في الواقع ، سعت شركة الأمن Telesign إلى عرض التحقق من الاحتيال على بطاقة SIM للبنوك الأمريكية ، ولكنه وجد أكثر من ذلك شركات الهاتف الأمريكية ليست مستعدة بعد للعمل معهم.

“قصة قصيرة طويلة ، البيانات غير متوفرة من معظم الولايات المتحدة وتقول ستايسي ستابلفيلد ، مؤسِّسة Telesign ، وهي شركة ناقلات عرضت شركة هواتف أمريكية واحدة حتى الآن مقايضة SIM في الوقت الفعلي البيانات لكنه رفض القول.

يعترف ستابلفيلد أنه من الصعب معرفة ما هي صفقات البنوك أو غيرها من المحتمل أن تكون أهداف الهجوم المحتمل لمبادلة SIM قد قطعت مع شركات النقل القطاع الخاص. لقد كان أصحاب المصلحة هؤلاء مشدودون بشأنهم الحلول ، في جزء منه لتجنب تقديم أي أدلة قد تساعد المحتالين التحايل على التدابير الأمنية. لكن ستابلفيلد هو مع ذلك واثق من أن شركات النقل لا تقدم بيانات كافية لـ السماح بالتحقق من مبادلة SIM في الوقت الفعلي في الولايات المتحدة. لكن ستابلفيلد يقول تجري Telesign محادثات مع بنكين يسعيان للحصول على هذه البيانات تأكد من تسجيل علامة أنهم ليس لديهم بالفعل.

سبعة بنوك أمريكية كبرى تمتلك مجتمعة شركة أمنية تسمى الإنذار المبكر ، الذي يعمل مثل Telesign على تزويد البنوك بالبيانات يمكن أن تساعدهم في منع الاحتيال. مصادقة الإنذار المبكر المبشر “هال جرانوف يقول أن شركات النقل في الواقع توفر بعض تلك البيانات إلى الإنذار المبكر وأصحابها. لكنه امتنع عن القول بالضبط أي نوع واعترف بأنه تمنى لو أنهم سيذهبون بالإضافة إلى ذلك. وقال غرانوف “إنهم يتبادلون المعلومات”. “يقدروا يكون تقاسم أكثر من ذلك. ”

عندما وصلت WIRED إلى أربع شركات طيران أمريكية كبرى ، كلهم رفض إما الرد على السجل أو إحالة الأسئلة إليه CITA ، جمعية صناعة الاتصالات. نائب الرئيس CTIA ل جادل التكنولوجيا والأمن السيبراني جون مارينهو بأنه بينما الولايات المتحدة قد لا تقدم شركات النقل فحوصات مبادلة SIM في الوقت الفعلي ، وهذا جزئيًا لأن الولايات المتحدة لديها حماية أخرى ، مثل الشيكات تحديد الموقع الجغرافي مقرها على تطبيقات البنوك المحمولة المثبتة على الهواتف الذكية ، و توثيق ذو عاملين. (هذا الأخير ، بالطبع ، هو بالضبط محاولة مقايضة مقايضة SIM للتحايل.)

“يستخدم الأمن طبقات وأدوات متعددة للتخفيف من المخاطر ؛ لا يمكنك التركيز على أداة واحدة فقط. ليس هناك رصاصة فضية ، أنت “يجب أن يستخدم كل الأدوات المتاحة” البريد الإلكتروني. “لكن شركات النقل ، بالتعاون مع العديد من العلامات التجارية الكبرى ، تعاون بشكل وثيق للغاية للتأكد من بقائها في المقدمة الأشرار لحماية المستهلكين من الاحتيال “.

وأضاف مارينهو أن شركات الطيران الأمريكية تمنع من المشاركة في الوقت الحقيقي SIM مبادلة البيانات جزئيا بسبب صعوبات النطاق. لنا البنوك ، كما يقول ، تتعامل مع الكثير من المستخدمين الذين يؤدون الكثير المعاملات للتحقق منها جميعا ضد بيانات الناقل. خصوصية يمثل مصدر قلق ، أيضا. الناقلون متحفظون لإعطاء أي بيانات الوقت الفعلي الخاصة بالجهات الخارجية حول المستخدمين دون التقيد الصريح بهم موافقة. “هل تنظر شركات النقل إلى زبد الحساب؟ نعم ،” مارينهو يكتب. “لكن هل يستطيعون مشاركة هذه المعلومات بشكل متعجرف؟ لا. يعامل الناقلون الخصوصية والأمان كأولويات قصوى ويتصرفون فيها الامتثال لأية قوانين معمول بها بشأن المستهلك الإذن.”

مسؤول تنفيذي في القطاع المصرفي تحدث إلى WIRED ولم يطلب على أن اسمه ، ومع ذلك ، وصف الوضع بشكل مختلف. هو رفض شرح الخصوصية وأشار بدلاً من ذلك إلى واحد المالية: لا يكفي البنوك الأمريكية تطالب حاليا في الوقت الحقيقي بيانات مبادلة SIM لخلق حافز للناقلين للبيع الوصول إليها. “لا يوجد نموذج أعمال لشركات النقل لتطوير يقول: “نظام لدعم هذا. الناس ليسوا مستعدين للدفع ما يلزم لجعل هذا النظام حيز الوجود. إذا كان شخص ما على استعداد لدفع لهم المال مقابل ذلك ، شركات الهاتف على استعداد ل بيع بياناتك لأي شخص. ”

من وجهة نظره ، لا تنظر أبعد من فضيحة شركات النقل الحالية أكثر من بيع بيانات موقع المستهلكين إلى الصيادين مكافأة. تاريخياً ، لم تُظهر شركات النقل اشتراكًا كبيرًا في الاهتمام موافقة.

Tenreiro ، الذي ساعد في معالجة الاحتيال في مبادلة موزامبيق المشكلة ، يضيف أنه من الممكن تنفيذ الإصلاح دون تنازلات الخصوصية. صاحب الناقل ببساطة إعداد API ذلك ردت على استفسارات البنوك حول بيانات مبادلة بطاقة SIM مع عدم تقديمها معلومات أخرى. “جميع المشغلين القيام به هو الرد مع ثنائي استجابة “نعم / لا” ما إذا كان المشترك قد أجرى مبادلة SIM في غضون الأيام X الأخيرة ، يقول: “نحن نؤمن بالتعرض للخصوصية هو الحد الأدنى. ”

الإصلاح القسري

هناك ، بالطبع ، طرق أخرى لوقف الاحتيال في مقايضة بطاقة SIM: حكم ، شركات التكنولوجيا ، وشركات العملة المشفرة والبنوك لا ينبغي تعتمد على أمن أرقام الهواتف. وهذا يعني تجنب أي إعادة تعيين كلمة المرور الاحتياطية بناءً عليها واستخدام عاملين المصادقة عبر التطبيقات أو الرموز المميزة للأجهزة بدلاً من النص الرسائل ، كما نصحت المتخصصين في مجال الأمن لسنوات.

ولكن في الوقت الحقيقي الشيكات بين مبادلة SIM الشركات المستهدفة و يجب أن تكون شركات النقل جزءًا من الحل ، كما يقول Flashpoint نيكسون. وإذا كانت شركات النقل ليست مدفوعة لجعل ذلك ممكنًا ، تقول ، قد يضطر المنظمون إلى التدخل. “أنا لا أعرف إذا كان هذا يمكن إصلاح المشكلة من قبل القطاع الخاص. قد يكون شيئا وتقول: “على الحكومة أن تتدخل وتصلح. لا أعرف إذا كان الأمر كذلك شركات الاتصالات تخطط حقا لتقديم هذا ، أو في انتظار الحكومة ، ولكن شيء من هذا القبيل يجب أن يحدث “.

ظهرت هذه القصة في الأصل على wired.com.