Cura amb la llanterna i la calculadora del teu mòbil: així és el SIM Swapping, l'última ciberestafa

La crisi del coronavirus i el confinament obliga els ciutadans a realitzar compres i gestions amb el banc a través d’internet. Una situació que no ha passat desapercebuda per als delinqüents, que estan centrant la seva activitat en aquest entorn, segons han pogut constatar els experts en delictes informàtics de la Guàrdia Civil. En un document d’«anàlisi de riscos» titulat  «Ciberdelinqüència: atacs contra 2FA SIM Swapping» enviat el passat 30 d’abril a totes les comandàncies, al qual ha accedit EL PERIÓDICO, informen que han detectat «noves tendències i modus operandi» entre els estafadors i alerten d’un nou frau a l’hora d’utilitzar el telèfon mòbil per fer pagaments i transferències ‘online’.

L’estafa «es comet en dos passos», avisa la Guàrdia Civil. En primer lloc, un mètode ja clàssic i que ha crescut durant el confinament: els ciberdelinqüents roben dades personals per accedir a la teva banca ‘online’. Ho intenten «enviant correus ‘phising’», un mètode en el qual l’entabanador fins i tot imita logotips o imatges corporatives oficials de l’entitat bancària. En aquest missatge, sol·liciten amablement que s’aportin dades personals amb alguna excusa.

Difícil de detectar

Però els especialistes de la Guàrdia Civil han identificat una altra maniobra més sofisticada i difícil de detectar: llancen atacs informàtics que es camuflen darrere d’aplicacions del mòbil «alienes a l’àmbit bancari, com la llanterna o la calculadora del telèfon». Així, expliquen, «quan l’usuari utilitza aquesta aplicació aparentment innòcua, s’instal·la al telèfon un codi ocult que escaneja el dispositiu a la recerca d’aplicacions bancàries instal·lades». D’aquesta manera, «quan l’usuari la inicia, s’executarà una pàgina idèntica just a sobre d’aquesta sota el control del ciberdelinqüent, en la qual el mateix usuari inserirà les seves credencials».

Una vegada que l’estafador ha aconseguit les dades bancàries de la víctima, encara haurà d’esquivar una altra barrera més: burlar-se del protocol de seguretat que estableix tota banca ‘online’. Quan un client realitza qualsevol transacció econòmica a internet, la seva entitat li envia per SMS un codi que ha d’introduir al dispositiu per validar l’operació. No obstant, la Guàrdia Civil ha detectat que «ja hi ha delinqüents que saben com accedir a aquest codi il·legítimament». I això malgrat que el banc canvia aquesta clau numèrica amb cada transacció. Aquesta amenaça es coneix com a «atac al doble factor de verificació o 2FA.

Dupliquen la targeta SIM

Amb l’ajuda de «mules econòmiques» o mitjancers que col·laboren amb l’organització criminal, «dupliquen la targeta SIM» d’un telèfon mòbil i transfereixen el número a un altre dispositiu que estigui sota el control de la xarxa, un fenomen que es coneix com «el SIM Swapping». Una vegada fet això, ja «poden accedir lliurement als missatges amb el codi de verificació rebut i fer així una transacció no consentida», adverteix el document de la Guàrdia Civil.

Els seus experts en ciberseguretat han descobert les enginyoses estratègies que solen utilitzar aquests delinqüents per aconseguir el duplicat d’una targeta SIM. De vegades de forma més artesanal: «Contacten amb l’operadora de la companyia telefònica fent-se passar per l’usuari amb alguna excusa com pot ser l’extraviament, ruptura o robatori de la targeta, plantejant que necessita mantenir el mateix número de telèfon».

Autorització falsa

Notícies relacionades

Rushdie, la llibertat d’expressió i ‘abril’

Va aixecar el cap

En altres ocasions, «entreguen en una botiga física una autorització falsa en la qual suposadament el titular de la targeta dona permís per fer un duplicat». També hi ha qui intenta «entabanar el dependent amb una simple fotocòpia del DNI del titular del telèfon argumentant qualsevol excusa per la qual no ha pogut anar-hi personalment». La Guàrdia Civil ha detectat fins i tot «intents de suborn a empleats» de telefonia perquè col·laborin amb l’organització criminal.

Tot i que els especialistes matisen: «La facilitat per aconseguir consumar l’estafa dependrà d’una banda de la política de seguretat de l’empresa de telecomunicacions i, per un altra, del zel de la persona encarregada de tramitar aquesta gestió».