Scambiatore di SIM mandato in prigione per un furto di criptovaluta 2FA di oltre $ 20 milioni

Un uomo della Florida che faceva parte di una banda criminale informatica che perseguiva i portafogli di criptovalute è stato condannato per la sua parte in una rapina informatica che avrebbe fruttato ai partecipanti più di $ 20,000,000.

I truffatori, tra cui un tale Nicholas Truglia, 25 anni, hanno ottenuto il controllo di vari account online appartenenti alla vittima utilizzando un trucco noto nel commercio come Scambio di SIM, conosciuto anche come portabilità del numero.

Migrazione del tuo numero di telefono

Come saprai se hai perso un telefono o danneggiato una scheda SIM, i numeri di cellulare non sono masterizzati nel telefono stesso, ma sono programmati nel modulo di identità dell'iscritto (SIM) chip che inserisci nel tuo telefono (o forse, di questi tempi, che installi elettronicamente sotto forma di un cosiddetto ESIM).

Quindi, un truffatore che può parlare dolcemente, o corrompere, o convincere usando un documento d'identità falso, o altrimenti intimidire il tuo gestore di telefonia mobile affinché rilasci a "te" (intendendo loro) una nuova scheda SIM ...

… possono uscire dal negozio di telefonia mobile [a] con il tuo numero nel telefono e [b] con la tua scheda SIM invalidata e quindi impossibilitati a connettersi alla rete per ricevere chiamate o essere online.

In poche parole, il tuo telefono si spegne e il loro inizia a ricevere le tue chiamate e i tuoi messaggi di testo, inclusi in particolare eventuali codici di autenticazione a due fattori (2FA) che potrebbero essere inviati al tuo telefono come parte di un accesso sicuro o di una reimpostazione della password.

Il problema dello scambio di SIM, vale a dire che il diritto di riemettere SIM card sostitutive è conferito a troppe persone diverse con troppi diversi livelli di anzianità in troppe compagnie di telefonia mobile per poter essere controllate in modo affidabile), è il motivo per cui il servizio pubblico statunitense non raccomanda più SMS- basata su 2FA per uso generale e non l'ha approvata per il personale governativo.

Porta le criptovalute

In questo caso, sembra che qualcuno nella cybergang abbia cercato i dettagli di accesso per gli account della vittima, li abbia condivisi con numerosi altri partecipanti e poi abbia fatto in modo che Truglia fungesse da ricevitore per i fondi di criptovaluta sottratti alla vittima.

A quanto pare, Truglia ha quindi ridistribuito i fondi rubati a numerosi altri portafogli di criptovalute di proprietà degli altri partecipanti, mantenendo una quota sconosciuta come parte dell'affare.

Il Dipartimento di Giustizia degli Stati Uniti (DOJ) note che "[i] partecipanti al piano hanno rubato oltre $ 20 milioni di criptovaluta della vittima, con l'imputato che ha trattenuto almeno circa $ 673,000 dei fondi rubati."

Truglia ha ricevuto una pena detentiva di 18 mesi più tre anni di libertà vigilata per seguirla, ha perso immediatamente $ 983,010.72 ed è stato condannato a rimborsare $ 20,379,007.

Non viene menzionato come lo farà senza la collaborazione degli altri nella truffa, che sembrano aver diviso la maggior parte di quei 20 milioni di dollari, e cosa succede se non riesce a convincerli a farlo. nel rapporto del DOJ.

Cosa fare?

• Limita la quantità di criptovalute che mantieni online e direttamente accessibile. Cosiddetto portafogli "freddi" (cold wallet) a cui non è possibile accedere da remoto ti proteggerà dalle truffe di furto di password e 2FA in cui i criminali remoti accedono direttamente ai tuoi account.
• Prendi in considerazione l'idea di abbandonare la 2FA basata su SMS se non l'hai già fatto. I codici di accesso una tantum basati su messaggi di testo sono migliori di nessun 2FA, ma soffrono chiaramente della debolezza che un truffatore che decide di prenderti di mira può attaccare il tuo account senza attaccarti direttamente, e quindi in un modo da cui tu stesso non puoi difenderti in modo affidabile.
• Usa un gestore di password se puoi. Non sappiamo come i criminali abbiano acquisito le password della vittima in questo caso, ma un gestore di password almeno rende improbabile che ti ritroverai con password che un utente malintenzionato potrebbe indovinare o dedurre facilmente da informazioni pubbliche su di te, come il nome del tuo cane o il compleanno di tuo figlio.
• Fai attenzione se il tuo telefono si spegne inaspettatamente. Dopo uno scambio di SIM, il tuo telefono non mostrerà alcuna connessione al tuo gestore di telefonia mobile. Se hai amici sulla stessa rete che sono ancora online, questo suggerisce che probabilmente sei tu ad essere offline e non l'intera rete. Valuta di contattare la tua compagnia telefonica per un consiglio. Se puoi, visita un negozio di telefonia di persona, con un documento d'identità, per scoprire se il tuo account è stato violato.