Sebastian Juul
Et SIM-swap-angreb kan give kriminelle adgang til MitID, netbank og mail på minutter.
I en svindelsag opgjort i marts mistede 136 danskere samlet 7,9 millioner kroner, og SIM-swap var en af de centrale metoder, politiet beskrev i gennemgangen af sagen. Det ældste offer var 82 år, og de største individuelle tab lå på flere hundrede tusinde kroner.
Metoden virker, fordi telefonnummeret i praksis er en hovednøgle til dansk hverdag. Når svindleren først har dit nummer på sit eget SIM-kort, lander koder fra bank, mail og konti direkte hos ham.
Sådan foregår angrebet
Svindleren indsamler personoplysninger via phishing, databrud og offentlige kilder. Derefter kontakter han dit teleselskab, udgiver sig for at være dig og får nummeret flyttet over på et SIM-kort, han selv har. Angrebene sker ofte om natten, hvor du ikke lægger mærke til, at mobilen har mistet forbindelse.
Tre låse du selv kan slå til
1. Ekstra kode på teleselskabsabonnementet. Ring til dit teleselskab og bed om, at der sættes en ekstra pinkode eller nummerlås på selve kontoen, så det kræver mere end et par personlige oplysninger at få udstedt et nyt SIM-kort. Flere operatører markedsfører tilsvarende produkter under navne som Number Lock, beskriver sikkerhedsmediet Intego.
2. PIN-kode på selve SIM-kortet. En SIM-PIN er ikke det samme som koden til abonnementet. Den låser kun selve kortet, så det ikke virker i en anden telefon uden koden. Den slås til under telefonens sikkerhedsindstillinger og tager et minut.
3. Autentificerings-app i stedet for SMS-koder. Hvor det er muligt, bør du flytte to-faktor-godkendelse fra SMS over i en autentificerings-app eller en adgangsnøgle. En kode genereret i en app kan ikke opfanges af et SIM-swap-angreb, og den virker også uden mobildækning. Sådan sikrer du din Google-konto på fem minutter.
Tegn på at nummeret er kapret
Mobilen mister pludselig dækning, selvom du står et sted med fuldt signal. Opkald og sms’er holder op med at komme ind. Mailen begynder at få advarsler om nye logins eller nulstillinger af adgangskoder, du ikke selv har bedt om. En notifikation fra teleselskabet om, at der er bestilt et nyt SIM-kort, er det tydeligste tegn af dem alle.
Sker det, skal du kontakte teleselskabet og banken med det samme. En af de første ting at tjekke bagefter er mailen, for det er den, der kontrollerer nulstilling af adgangskoder på alt det andet.
