Le sim swapping se perfectionne : cette technique est utilisée par des cybercriminels pour contourner les méthodes d’authentification à plusieurs facteurs parfois proposées par les services en ligne pour protéger l’accès aux comptes. La technique du Sim Swapping consiste pour les attaquants à parvenir à faire changer le numéro de téléphone de leur cible pour qu’il soit réattribué à une carte sim sous leur contrôle. Pour y parvenir, les attaquants doivent donc trouver un moyen de tromper l’opérateur téléphonique : que ce soit en trompant le service client de l’opérateur grâce à des informations personnelles récupérées sur la victime, ou bien plus simplement en piratant les ordinateurs de l’opérateur en question.
Cette seconde option est notamment détaillée dans un article de Vice qui montre comment les attaquants tentent aujourd’hui d’obtenir des accès RDP sur des postes de travail appartenant à des employés d’opérateurs. En se faisant passer aux téléphones pour des employés de l’opérateur, ils tentent de convaincre les employés d’installer un logiciel de prise de contrôle à distance sur leur machine ou d’obtenir les identifiants d’accès à ces sessions de contrôle à distance. Une fois qu’ils ont la main sur la machine, ils peuvent librement utiliser les applications métiers de l’opérateur utilisées pour basculer des numéros de téléphone d’une carte SIM vers une autre et donc facilement faire basculer les numéros de téléphone des cibles vers des cartes SIM contrôlées par des attaquants.
publicité
Vérifications insuffisantes
Contactés, les différents opérateurs américains indiquent être au courant de cette menace, mais refusent de détailler les mesures de protection mises en place pour limiter la portée de ces attaques, afin de ne pas faciliter la tâche des attaquants.
Dans une étude portant sur le sujet des attaques de SIM swapping, des chercheurs de l’académie de Princeton se sont penchés spécifiquement sur les procédures mises en place par les opérateurs américains pour vérifier l’identité des utilisateurs qui demandent à faire basculer un numéro de téléphone sur une nouvelle carte SIM.
Les chercheurs montrent que les opérateurs procèdent à plusieurs vérifications différentes pour identifier un utilisateur qui demande un basculement de numéro : le code PIN et les informations personnelles (date de naissance, adresse postale) sont ainsi demandés. Mais si celles-ci se révèlent fausses, les opérateurs passent à une seconde vérification en demandant les deux derniers appels passés via ce numéro de téléphone, une donnée facile à obtenir si l’attaquant a auparavant manipulé la victime afin qu’il appelle certains numéros. Grâce à cette manipulation, les chercheurs sont parvenus à contourner les mesures mises en œuvre par les opérateurs et à faire basculer des numéros de téléphone vers des cartes SIM sous leur contrôle.
Comentários