Intercambiador de SIM enviado a prisión por robo de criptomonedas 2FA de más de $ 20 millones

Un hombre de Florida que formaba parte de una banda de ciberdelincuentes que perseguía billeteras de criptomonedas ha sido sentenciado por su participación en un robo cibernético que supuestamente les reportó a los participantes más de $20,000,000.

Los estafadores, incluido Nicholas Truglia, de 25 años, obtuvieron el control de varias cuentas en línea pertenecientes a la víctima mediante el uso de un truco conocido en el comercio como Intercambio de SIM, también conocido como portabilidad de números.

Migrar tu número de teléfono

Como sabrá si alguna vez perdió un teléfono o dañó una tarjeta SIM, los números de teléfono móvil no están grabados en el teléfono, sino que están programados en el Módulo de Identidad del Suscriptor (SIM) que inserta en su teléfono (o quizás, en estos días, que instala electrónicamente en forma de un llamado eSIM).

Entonces, un ladrón que puede engañar, sobornar, o convencer usando una identificación falsa, o intimidar a su proveedor de telefonía móvil para que le entregue a "usted" (es decir, a ellos) una nueva tarjeta SIM...

…puede salir de la tienda de teléfonos móviles [a] con su número en su teléfono, y [b] con su tarjeta SIM invalidada y, por lo tanto, incapaz de conectarse a la red para recibir llamadas o conectarse.

En pocas palabras, su teléfono se apaga y el de ellos comienza a recibir sus llamadas y mensajes de texto, en particular, incluidos los códigos de autenticación de dos factores (2FA) que pueden enviarse a su teléfono como parte de un inicio de sesión seguro o un restablecimiento de contraseña.

El problema del intercambio de SIM, es decir, que el derecho a volver a emitir tarjetas SIM de reemplazo se otorga a demasiadas personas diferentes en demasiados niveles de antigüedad diferentes en demasiadas compañías de telefonía móvil para controlar de manera confiable), es la razón por la cual el servicio público de EE. UU. ya no recomienda SMS- basado en 2FA para uso general y lo ha desaprobado para el personal del gobierno.

Trae las criptomonedas

En este caso, parece que alguien en la pandilla cibernética buscó los datos de inicio de sesión de las cuentas de la víctima, los compartió con muchos otros participantes y luego hizo que Truglia actuara como receptor de los fondos de criptomonedas extraídos de la víctima.

Luego, aparentemente, Truglia desembolsó los fondos robados en muchas otras billeteras de criptomonedas propiedad de los otros participantes, manteniendo una parte desconocida como su parte del trato.

El Departamento de Justicia de los Estados Unidos (DOJ) reconoce esa "[los] Participantes del Esquema robaron más de $ 20 millones en criptomonedas de la Víctima, y ​​el acusado se quedó con al menos aproximadamente $ 673,000 de los fondos robados".

Truglia recibió una pena de prisión de 18 meses más tres años de libertad supervisada para seguirla, perdió $ 983,010.72 de inmediato y se le ordenó devolver la friolera de $ 20,379,007.

No se menciona cómo lo hará sin la cooperación de los demás en la estafa, que parecen haber dividido la mayor parte de esos $ 20 millones entre ellos, y qué sucede si no logra convencerlos de hacerlo. en el informe del Departamento de Justicia.

¿Qué hacer?

• Limite la cantidad de criptomonedas que mantiene en línea y directamente accesibles. Así llamado billeteras frías que no se puede acceder de forma remota lo protegerá de las estafas de robo de contraseñas y 2FA donde los delincuentes remotos acceden a sus cuentas directamente.
• Considere cambiar la 2FA basada en SMS si aún no lo ha hecho. Los códigos de inicio de sesión de una sola vez basados ​​en mensajes de texto son mejores que ningún 2FA, pero claramente sufren la debilidad de que un estafador que decide apuntar a usted puede atacar su cuenta. sin atacarte directamente, y por lo tanto de una manera contra la que usted mismo no puede defenderse de manera confiable.
• Utilice un administrador de contraseñas si puede. No sabemos cómo los delincuentes obtuvieron las contraseñas de la víctima en este caso, pero al menos un administrador de contraseñas hace que sea poco probable que usted termine con contraseñas que un atacante podría adivinar o averiguar fácilmente a partir de información pública sobre usted, como el nombre de su perro o el cumpleaños de su hijo.
• Tenga cuidado si su teléfono se apaga inesperadamente. Después de un cambio de SIM, su teléfono no mostrará ninguna conexión con su proveedor de telefonía móvil. Si tiene amigos en la misma red que todavía están en línea, esto sugiere que probablemente sea usted quien esté desconectado y no toda la red. Considere ponerse en contacto con su compañía telefónica para obtener asesoramiento. Si puede, visite una tienda de teléfonos en persona, con identificación, para averiguar si su cuenta ha sido usurpada.