Les #SIMHighjackers - Comment les criminels volent des millions en détournant des numéros de téléphone

C'est une histoire courante: les barres de signal disparaissent de leurs téléphones portables, ils appellent le numéro de téléphone - ça sonne, mais ce n'est pas leur téléphone qui sonne. Ils essaient de se connecter à leur compte bancaire, mais le mot de passe échoue. Ils sont devenus la toute dernière victime de la fraude par échange de cartes SIM et leur numéro de téléphone est désormais sous le contrôle d'un criminel. 

La fraude par échange de carte SIM est commise lorsqu'un fraudeur trompe l'opérateur de téléphonie mobile de la victime en lui faisant porter le numéro de téléphone mobile de la victime sur une carte SIM détenue par le fraudeur et commence ainsi à recevoir tous les appels entrants et les messages texte, y compris les mots de passe bancaires à usage unique qui sont envoyés. au numéro de téléphone de la victime.

Le fraudeur peut alors effectuer des transactions, en utilisant les informations d'identification recueillies par d'autres techniques telles que les logiciels malveillants, et lorsque la banque envoie un mot de passe à usage unique par SMS, le fraudeur le reçoit et complète l'autorisation de la transaction.

Avec l'échange de cartes SIM qui a fait la une des journaux ces derniers mois, la police à travers l'Europe s'est préparée à cette menace, deux opérations ciblant les pirates de la carte SIM ayant récemment porté leurs fruits.

Opération Quinientos Dusim

Des enquêteurs de la police nationale espagnole (Policía Nacional) ainsi que de la garde civile (Guardia Civil) et d'Europol ont ciblé en janvier des suspects à travers l'Espagne soupçonnés de faire partie d'un réseau de piratage qui a volé plus de 3 millions d'euros dans une série d'attaques d'échange de cartes SIM. 12 individus ont été arrêtés à Benidorm (cinq), Grenade (six) et Valladolid (un).

Composé de ressortissants italiens, roumains, colombiens et espagnols âgés de 22 à 52 ans, ce gang criminel a frappé plus de 100 fois, volant entre 6,000 et 137,000 euros sur les comptes bancaires de victimes sans méfiance par attaque.

Le modus operandi était simple, mais efficace. Les criminels ont réussi à obtenir les informations d'identification bancaire en ligne auprès des victimes des différentes banques au moyen de techniques de piratage telles que l'utilisation de chevaux de Troie bancaires ou d'autres types de logiciels malveillants. Une fois en possession de ces informations d'identification, les suspects demanderaient un duplicata des cartes SIM des victimes, fournissant de faux documents aux fournisseurs de services mobiles. Avec ces doublons en leur possession, ils recevraient directement sur leurs téléphones les codes d'authentification du deuxième facteur que les banques enverraient pour confirmer les transferts.

Les criminels ont ensuite procédé à des transferts frauduleux des comptes des victimes vers des comptes de mulets utilisés pour cacher leurs traces. Tout cela a été fait en très peu de temps - entre une ou deux heures -, ce qui est le temps qu'il faudrait à la victime pour se rendre compte que son numéro de téléphone ne fonctionnait plus.

Opération Smart Cash 

Une enquête de huit mois entre la police nationale roumaine (Poliția Română) et le service autrichien de renseignements criminels (Bundeskriminalamt) avec le soutien d'Europol a conduit à l'arrestation de 14 membres d'un gang criminel qui ont vidé des comptes bancaires en Autriche en prenant le contrôle. sur les numéros de téléphone de leurs victimes.

Les suspects ont été arrêtés plus tôt en février en Roumanie dans des mandats d'arrêt simultanés à leur domicile à Bucarest (un), Constanta (cinq), Mures (six), Braila (un) et Sibiu (un).

Les vols, qui ont fait des dizaines de victimes en Autriche, ont été perpétrés par le gang au printemps 2019 lors d'une série d'attaques d'échange de cartes SIM.

Une fois qu'il a pris le contrôle du numéro de téléphone d'une victime, ce gang particulier utiliserait ensuite des informations bancaires volées pour se connecter à une application de banque mobile afin de générer une transaction de retrait qu'il a ensuite validée avec un mot de passe unique envoyé par la banque par SMS lui permettant de retirer de l'argent aux guichets automatiques sans carte.

On estime que ce gang a réussi à voler plus d'un demi-million d'euros aux propriétaires de comptes bancaires sans méfiance.

Ces deux affaires ont été renvoyées Centre européen de lutte contre la cybercriminalité d'Europol (EC3) en raison des mesures d'enquête exigeantes qui traversent les frontières. Ses équipes spécialisées de spécialistes ont aidé les autorités nationales à dresser un tableau actualisé des renseignements sur les différents groupes criminels, facilitant l'élaboration d'une stratégie commune pour cibler les criminels.

«Les fraudeurs trouvent toujours de nouvelles façons de voler de l'argent sur les comptes des victimes sans méfiance. Bien qu'apparemment inoffensif, l'échange de cartes SIM prive les victimes de plus que leurs téléphones: les détourneurs de cartes SIM peuvent vider votre compte bancaire en quelques heures. Les forces de l'ordre se préparent à cette menace, avec des actions coordonnées à travers l'Europe », a déclaré Fernando Ruiz, chef par intérim du Centre européen de lutte contre la cybercriminalité d'Europol.

Ne soyez pas la prochaine victime

Alors, comment pouvez-vous empêcher l'échange de carte SIM? En termes simples, tout commence par le vol d'identité. Les criminels peuvent saisir vos données personnelles en les recherchant sur les médias sociaux, en attaquant votre appareil avec des logiciels malveillants qui leur permettront d'accéder à vos données sensibles ou par le biais d'attaques d'ingénierie sociale telles que le phishing, le vishing ou le smishing. Voici quelques conseils pour vous aider à garder une longueur d'avance:

• Gardez le logiciel de vos appareils à jour
• Ne cliquez pas sur les liens et ne téléchargez pas les pièces jointes accompagnant des e-mails inattendus
• Ne répondez pas aux e-mails suspects et ne communiquez pas par téléphone avec les appelants qui demandent vos informations personnelles
• Limitez la quantité de données personnelles que vous partagez en ligne
• Essayez d'utiliser l'authentification à deux facteurs pour vos services en ligne, plutôt que d'envoyer un code d'authentification par SMS
• Lorsque cela est possible, n'associez pas votre numéro de téléphone à des comptes en ligne sensibles
• Configurez votre propre code PIN pour restreindre l'accès à la carte SIM. Ne partagez ce code PIN avec personne.

Si votre téléphone perd soudainement la réception dans une zone où vous devez être connecté:

• Signalez la situation à votre fournisseur de services
• S'il y a des transactions suspectes dans votre compte bancaire, contactez la banque
• Modifiez immédiatement tous les mots de passe de vos comptes en ligne
• Conservez toutes les preuves, au cas où vous auriez besoin de contacter la police

Pour plus de conseils sur comment protéger vos informations financières contre les cyber escroqueries, visitez cette page dédiée.