美国联邦调查局（FBI）近日表示，2021年SIM卡交换攻击给美国人带来的损失暴增至6800万美元，自2018年该机构首次开始追踪这一威胁以来，SIM卡交换攻击的损失呈指数增长。
从问题的严重性来看，FBI表示，仅在去年其互联网犯罪投诉中心(IC3)就收到了1611起SIM卡交换攻击的投诉，而2018年、2019年和2020年收到的投诉合计仅有320起，损失仅为1200万美元，比2021年的损失少5.6倍。
FBI警告美国的移动运营商和家庭消费者采取措施防止网络犯罪分子的这种新趋势。
SIM交换攻击，也称为移植诈骗或SIM劫持，是指不法分子通过欺骗移动运营商运营人员实施的攻击活动。攻击者冒充手机卡所有者，谎称手机卡损坏、遗失，请求将受害者的电话号码转移到（不法分子持有的）新的SIM卡上。
如果移动运营商的技术支持人员未能验证来电者身份，或者攻击者提供了正确的信息，则攻击者能成功劫持受害者智能手机中的SIM卡。
成功劫持SIM卡后，不法分子立即开始更改受害者帐户的密码，利用他们对受害者电话号码的控制通过短信验证的方式劫持受害者的网络账户和财务账户。
最初的SIM交换攻击主要被用于劫持高价值社交媒体账户，其中大部分（被劫持SIM卡账户）立即在网上转售。
随后的攻击集中在获得对加密货币和银行账户的访问权限，攻击者从中窃取了受害者的资金。
近年来，该技术也被用于更复杂的黑客攻击，例如绕过企业账户的身份验证以窃取数据。
一些移动运营商已采取措施改进其移号流程，但SIM交换攻击仍在发生，通常在以下三种情况下：
(1)攻击者知道身份验证的答案时；
(2)攻击者与移动运营商员工串通；
(3)攻击者利用移动运营商IT网络中的漏洞更改电话和SIM号码。
FBI的PSA要求个人和移动运营商采取一系列基本保护措施，以减少SIM交换攻击。
给个人的建议
不要在社交媒体网站和论坛上宣传有关金融资产的信息，包括加密货币的所有权或投资。
不要通过电话向要求您提供帐户密码或密码的代表提供您的手机号码帐户信息。通过拨打您的移动运营商的客户服务热线来验证呼叫。
避免在网上发布个人信息，例如手机号码、地址或其他个人身份信息。
使用不同的唯一密码来访问在线帐户。
请注意基于短信验证的账户访问的任何变化。
使用更强大的多因素身份验证方法，例如生物识别、物理安全令牌或独立身份验证应用程序来访问在线帐户。
请勿为了在手机端轻松登录应用程序而在应用中存储密码、用户名或其他信息。
给移动运营商的建议
对员工进行教育并举办有关SIM卡交换的安全意识培训课程。
仔细检查传入电子邮件的网址是否有异常，很多欺诈性电子邮件会使用相似度很高的邮件域名地址仿冒受害者的邮件地址。
设置严格的安全协议，使员工在将手机号码变更到新设备之前有效地验证客户凭据。
验证来自第三方授权零售商的请求客户信息的电话。
声明：本文来自GoUpSec，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
