ошенничество с подменой SIM-карты — это атака с захватом учетной записи, при которой преступник переносит номер мобильного телефона жертвы на контролируемую им SIM-карту — посредством социальной инженерии оператора или внутренней переадресации — таким образом, любой одноразовый пароль, отправленный на этот номер по SMS, попадает на устройство злоумышленника. Поскольку номер телефона используется в качестве второго фактора, одного SMS-кода недостаточно для предотвращения этой атаки.
Это подробный анализ способов противодействия подмене SIM-карты. Для беспроблемной проверки сети, которая лежит в основе большей части защиты, ознакомьтесь с нашим руководством по бесшумной сетевой аутентификации — в этой статье показано, как она сочетается с обнаружением подмены SIM-карты и многоуровневой аутентификацией.
Как на самом деле работает подмена SIM-карты
Подмена SIM-карты (также называемая захватом SIM-карты или несанкционированным переносом номера) вовсе не атакует ваши серверы — она атакует процесс восстановления учетной записи в мобильной сети. Преступник сначала собирает достаточно личных данных о жертве, чтобы выдать себя за неё: имя, дату рождения, адрес, последние набранные номера или украденные документы, удостоверяющие личность. Затем он связывается с мобильным оператором жертвы, заявляет о потере или повреждении SIM-карты и просит перенаправить номер на новую SIM-карту, находящуюся в его распоряжении, или перенести его к другому оператору.
Иногда переадресация номера осуществляется подкупленным или принужденным сотрудником розничного магазина или колл-центра, поэтому даже самые строгие технические средства контроля должны исходить из предположения, что перенос номера может быть успешным. В момент переадресации номера реальный телефон жертвы незаметно теряет связь, и все звонки и сообщения — включая одноразовые пароли, ссылки для сброса пароля и уведомления о транзакциях — перенаправляются злоумышленнику. Далее последовательность действий быстрая и механическая:
- Инициировать сброс пароля или вход в целевую учетную запись (банк, кошелек, электронная почта, биржа), которая использует номер телефона для восстановления или двухфакторной аутентификации.
- Получите одноразовый пароль по SMS на замененную SIM-карту и выполните задание.
- Захватить учетную запись, изменить данные для восстановления и заблокировать доступ законному владельцу.
- Списать средства, авторизовать платежи или перенаправить их на другие счета, имеющие тот же номер восстановления.
Почему одного SMS-кода недостаточно
SMS-код подтверждения (OTP) рассматривает контроль над номером телефона как доказательство владения. Это предположение остается в силе до тех пор, пока номер не будет перемещен — а именно, при замене SIM-карты. Сам код в порядке; проблема в том, что он передается в открытом виде тому, кто в данный момент владеет SIM-картой, а сеть только что передала SIM-карту злоумышленнику. Ни сообщение, ни длина кода, ни срок его действия не меняют того, кто его получит.
Именно поэтому организации, занимающиеся стандартизацией, теперь рассматривают SMS как канал с более низким уровнем надежности, а не как надежный второй фактор аутентификации. NIST классифицирует внеполосную аутентификацию на основе SMS как «ограниченный» аутентификатор в стандарте SP 800-63B и ожидает, что проверяющие обнаружат такие признаки, как недавняя смена SIM-карты или перенос номера, прежде чем доверять ей. Практическое толкование для команды безопасности или продуктовой команды предельно ясно: SMS-одноразовый пароль допустим в качестве одного из сигналов в многоуровневой архитектуре, но он никогда не должен быть единственным шлюзом, защищающим сброс пароля или действие, имеющее высокую ценность. Подробнее о том, как мы описываем эту многоуровневую архитектуру, см. в обзоре безопасности.
эшелонированная оборона
Ни один отдельный механизм не останавливает подмену SIM-карты, поскольку атака затрагивает две системы, которыми вы не владеете полностью — процесс предоставления доступа оператору связи и устройство пользователя. Надежное решение — это многоуровневая защита: проверка владения таким способом, который недоступен для подмененной SIM-карты, обнаружение факта подмены, привязка сессий к известным устройствам и усиление защиты при повышении риска. Каждый последующий уровень защиты предотвращает атаку на разных этапах.
Бесшумная аутентификация сети и проверка номера оператора связи.
Бесшумная сетевая аутентификация (SNA) подтверждает наличие SIM-карты, напрямую связываясь с мобильным оператором в рамках активной сессии передачи данных, без отправки кода. Поскольку одноразовый пароль (OTP) не передается, перехваченная SIM-карта ничего не может перехватить — и, что особенно важно, проверка привязана к активному сетевому подключению, поэтому она отражает SIM-карту, которая фактически подключена в данный момент. API-интерфейсы проверки номера оператора, стандартизированные в рамках инициативы GSMA Open Gateway, обеспечивают доступность этой функции в разных сетях. Поставьте SNA на первое место в каскаде, а SMS-код OTP — ниже для большей доступности. Полное описание механизма приведено в нашем руководстве по бесшумной сетевой аутентификации.
Обнаружение подмены/изменения SIM-карты
Самый прямой способ противодействия — задать оператору простой вопрос, прежде чем доверять одноразовому паролю (OTP): когда в последний раз менялась SIM-карта? Сигнализация оператора может вернуть метку времени последней замены SIM-карты или переноса номера. Если это изменение произошло в течение периода повышенного риска — обычно за последние 24–72 часа — вы рассматриваете номер как номер высокого риска и отказываетесь принимать SMS-код OTP или выполнять с ним конфиденциальные действия. Вместо аутентификации вы приостанавливаете действие, переходите на более строгий фактор аутентификации или отправляете дело на рассмотрение. Это превращает именно то событие, на которое полагается злоумышленник, в сигнал, который его останавливает.
Привязка устройства
Привяжите учетную запись к устройствам, которые она обычно использует. Когда учетные данные или сессия привязаны к известному устройству — с помощью аппаратного ключа, пароля или проверенного отпечатка устройства — злоумышленник, владеющий только номером, все равно находится на нераспознанном устройстве. Вход в систему с нового устройства становится видимой аномалией, а не скрытым успехом, и может быть принудительно осуществлен через дополнительные проверки, прежде чем будет предоставлено какое-либо доверие.
Повышенная аутентификация рисков и ценностей.
Сделайте сложность проверки соразмерной риску. Обычный вход в систему только для чтения может пройти без проблем; добавление получателя платежа, изменение номера восстановления или перевод денег должны требовать более строгих мер — фактора защиты от фишинга, подтверждения в приложении или повторной проверки сети. Когда недавняя смена SIM-карты, новое устройство или необычное местоположение совпадают с важным действием, эта комбинация всегда должна вызывать более строгую проверку, чем SMS-код.
Учитывайте множество факторов — одноразовый пароль (OTP) — это лишь один из сигналов, а не вся блокировка целиком.
Объединяющий принцип заключается в том, чтобы не использовать какой-либо отдельный сигнал подтверждения владения номером. Необходимо объединить проверку владения номером, подтвержденную сетью, сигналы смены SIM-карты и устройства, а также фактор защиты от фишинга для наиболее ценных потоков, и сохранить SMS-код подтверждения в качестве универсального резервного варианта для расширения охвата. В зависимости от характера атаки, эти уровни нарушают ее на каждом этапе:
| Шаг атаки | Что получает злоумышленник | Контроль, который его нарушает |
|---|---|---|
| Перенесите номер на новую SIM-карту. | Входящие SMS и звонки | Обнаружение подмены SIM-карты по метке времени последнего изменения |
| Запустить SMS-код подтверждения (OTP) | Одноразовый код на их устройстве | Бесшумная сетевая аутентификация (код не отправляется) |
| Войти с нового устройства | Сессия по целевому аккаунту | Привязка устройства плюс поэтапная аутентификация |
| Перевести деньги или изменить данные | Выплата или полное поглощение | Многоуровневая аутентификация: одноразовый пароль (OTP) — это лишь один из факторов, но никогда не единственный. |
Банковский аспект стран Ближнего Востока и Северной Африки, а также стран Персидского залива.
В странах Персидского залива это не абстрактный риск. Согласно отчетам GSMA Mobile Economy, страны Персидского залива входят в число мировых лидеров по проникновению смартфонов и внедрению мобильного банкинга, а мобильные кошельки и системы мгновенных платежей уже широко распространены в ОАЭ, Саудовской Аравии и Египте. Там, где телефон является основным каналом банковских операций и идентификации личности, номер телефона становится чрезвычайно ценным активом, а успешная операция по его замене имеет немедленный финансовый эффект. В связи с этим региональные регуляторы и банки ужесточают требования к переводам крупных сумм и изменению получателей.
Для банков и финтех-компаний в регионе наиболее эффективной является многоуровневая система защиты, реализуемая через инфраструктуру, напрямую связанную с операторами связи. Проверка наличия SIM-карты, подтвержденная сетью, и запрос на замену SIM-карты зависят от реальных сигнальных отношений с операторами-конечными абонентами — та же самая прямая маршрутная сеть, которая обеспечивает надежную доставку A2P-трафика, обеспечивает точность обнаружения замены SIM-карты. Серые маршруты не могут предоставить достоверную метку времени последней замены SIM-карты.
Стек OTP и верификация от BroadNet сначала выполняет скрытую сетевую аутентификацию, проверяет наличие недавних изменений SIM-карты перед подтверждением кода и переключается на использование только SMS для обеспечения связи — поэтому при замене SIM-карты проверка на наличие SIM-карты не проходит, а проходит. Для встроенного виджета верификации с возможностью переключения на голосовую связь, построенного в той же сети оператора, см. MyOTP.
Часто задаваемые вопросы
Что такое мошенничество с заменой SIM-карты?
Мошенничество с подменой SIM-карты — это метод захвата учетной записи, при котором преступник убеждает мобильного оператора перенести номер телефона жертвы на SIM-карту, контролируемую им самим, — используя методы социальной инженерии, украденные личные данные или информацию от инсайдера в компании. После переноса номера на устройство злоумышленника поступают звонки и SMS-сообщения, включая одноразовые пароли, что позволяет ему обойти аутентификацию по телефону и захватить учетные записи.
Можно ли обойти SMS-код подтверждения при замене SIM-карты?
Да. В этом и заключается основная уязвимость, которую использует подмена SIM-карты. SMS-код подтверждения (OTP) предполагает контроль над номером и доказывает его владение, но подмена перенаправляет номер на SIM-карту злоумышленника, поэтому код доставляется ему напрямую. Защита заключается не в улучшении кода, а в другой проверке: скрытой сетевой аутентификации, запросе на смену SIM-карты перед подтверждением OTP, привязке устройства и поэтапной аутентификации для важных действий.
Как банки предотвращают атаки с использованием подмены SIM-карт?
Ведущие банки используют несколько уровней контроля. Они запрашивают у сети метку времени последней смены SIM-карты и отказываются принимать одноразовые пароли (OTP) или совершать крупные транзакции, если смена произошла недавно; они используют скрытую сетевую аутентификацию, чтобы предотвратить отправку перехватываемого кода; они привязывают сеансы к известным устройствам; и они внедряют фактор защиты от фишинга при перемещении денежных средств и изменении получателя. SMS-коды OTP используются как один из многих сигналов, а не как единственный способ контроля.
Ссылки
- NIST — Руководство по цифровой идентификации SP 800-63B (рекомендации по аутентификаторам и внеполосным операциям): nist.gov
- GSMA — API для открытых шлюзов, проверки номеров и замены SIM-карт: gsma.com
- BroadNet — обзор OTP и проверки и безопасности.
- BroadNet — Бесшумная сетевая аутентификация в 2026 году.