Stop sim-swapping: tips voor consumenten en mobiele providers

Sim-swapping-aanvallen bij mobiele telefoons (het verwisselen van simkaarten) schieten de pan uit. Alleen al in de VS hebben consumenten in 2021 naar schatting bijna 70 miljoen dollar verloren door sim-swapping. In Spanje heeft de nationale politie onlangs acht mensen gearresteerd die worden beschuldigd van deelname aan een criminele organisatie die bankrekeningen leeghaalde tijdens een reeks sim-swapping-aanvallen. Het probleem is zo wijdverspreid dat Microsoft consumenten heeft gewaarschuwd om te stoppen met multifactorauthenticatie (MFA) via telefoongesprekken of sms-berichten.

Wat is sim-swapping?

Sim-swapping, ook wel simkaping, sim-jacking of sim-splitting genoemd, is een soort aanval met accountovername (ATO, Account Takeover), waarbij cybercriminelen het mobiele telefoonnummer van een slachtoffer overzetten naar een nieuwe simkaart. Sim-swapping-aanvallen gebeuren meestal op een van deze drie manieren.

1. Phishing-aanvallen op consumenten. Hier gebruiken cybercriminelen phishing om de persoonlijke identificatiegegevens van mobiele klanten te achterhalen. Vervolgens gebruiken ze deze gegevens om zich als de klant voor te doen. Ze overtuigen medewerkers van mobiele providers om nieuwe simkaarten uit te geven met het geviseerde telefoonnummer. Zo werden de aanvallen in Spanje gepleegd.
2. Phishing-aanvallen op mobiele providers. In dit scenario gebruiken cybercriminelen phishing om werknemers van mobiele providers te overtuigen om hun wachtwoorden te verstrekken of malware te downloaden, waardoor de cybercriminelen kunnen inbreken in de systemen van mobiele providers en er zelf sim-swaps kunnen uitvoeren.
3. Kwaadwillige insiders bij mobiele providers. Dit gebeurt wanneer een cybercrimineel rechtstreeks samenwerkt met een medewerker van een mobiele provider die toestemming heeft om sim-swaps uit te voeren.

Hoe de aanval ook wordt uitgevoerd, het eindresultaat is hetzelfde. Zodra cybercriminelen het mobiele telefoonnummer van de consument hebben gekoppeld aan de simkaart die ze in hun bezit hebben, kunnen ze deze in een nieuw apparaat plaatsen en gebruiken om de MFA op de telefoon te omzeilen, de inloggegevens van de consument opnieuw in te stellen en de online accounts en apps over te nemen.

Stop sim-swapping: tips voor consumenten

• Bescherm altijd uw online accounts indien mogelijk met 2FA, maar voer geen authenticaties uit via telefoongesprekken of sms-berichten. Gebruik in plaats daarvan biometrische gegevens, een fysiek beveiligingstoken of een losse authenticatietoepassing.
• Deel uw mobiele telefoonnummer of andere persoonlijke gegevens, zoals uw adres, niet online.
• Deel nooit persoonlijke financiële gegevens online.
• Verstrek nooit accountgegevens van uw mobiele nummer wanneer u ongevraagde telefoontjes of e-mails krijgt die zogenaamd van uw mobiele provider zijn. Controleer de contactpersoon door de klantenservice van uw provider te bellen of rechtstreeks in te loggen op hun website.
• Gebruik sterke, unieke wachtwoorden voor al uw online accounts.
• Bewaar uw inloggegevens of andere gevoelige gegevens nooit in een tekstbestand, spreadsheet of ander onversleuteld medium. Gebruik in plaats daarvan een wachtwoordmanager zoals Keeper die uw inloggegevens en andere persoonlijke gegevens opslaat in een versleutelde kluis waar alleen u toegang toe hebt.
• Overweeg om over te stappen op Efani, een veilige mobiele serviceprovider met een versleutelde simkaart die uw mobiele account en persoonlijke gegevens beveiligt tegen mogelijke sim-swapping-aanvallen en dit ondersteunt met een verzekeringsdekking van vijf miljoen dollar per persoon.

Stop sim-swapping: tips voor mobiele providers

• Train uw werknemers om zich bewuster te worden van cybersecurity, inclusief hoe phishing-aanvallen worden gebruikt voor sim-swapping.
• Ontwikkel uitgebreide beveiligingsprotocollen voor uw medewerkers om de inloggegevens van klanten te controleren voordat ze hun nummers op een nieuwe simkaart plaatsen.
• Gebruik op rollen gebaseerde toegangscontrole (RBAC, Role-Based Access Control) om het aantal werknemers te beperken met autorisatie om nummers te wisselen naar een nieuwe simkaart, en gebruik auditlogs om al deze activiteiten bij te houden, inclusief wie wanneer heeft gewisseld.
• Verlang van uw werknemers dat ze sterke, unieke wachtwoorden gebruiken en MFA inschakelen voor al hun werkaccounts. Dwing deze regels af met een robuust zakelijk wachtwoordbeheer en een encryptieplatform zoals Keeper.

Het zero-knowledge wachtwoordbeheer en beveiligingsplatform van Keeper geeft IT-beheerders een compleet overzicht van de wachtwoordpraktijken van werknemers. Zo kunnen ze het wachtwoordgebruik controleren en het wachtwoordbeveiligingsbeleid voor de hele organisatie afdwingen, inclusief vereisten voor wachtwoordcomplexiteit, MFA, RBAC en andere beveiligingsmaatregelen.

Nog geen Keeper-klant? Meld u nu aan voor een gratis 14-daagse proefperiode! Wilt u meer weten over hoe Keeper uw organisatie kan helpen om beveiligingslekken te voorkomen? Neem dan vandaag contact op met ons team.