Hacker mi ukradl číslo během jedné SMS zprávy
Jak vlastně SIM swap funguje a proč je tak zákeřný
SIM swap (někdy taky SIM hijacking nebo port-out scam) je útok, při kterém útočník přesvědčí tvého mobilního operátora, aby přenesl tvoje telefonní číslo na SIM kartu, kterou má on. Ne ty. On.
Technicky je to legální proces. Operátoři ho nabízejí zákazníkům, kteří ztratili telefon nebo chtějí přejít na jinou SIM. Útočník to zneužije tak, že se vydá za tebe — zavolá zákaznické lince, předloží ukradená nebo podvodně získaná osobní data, a požádá o převod čísla. Nebo to udělá přes zaměstnance operátora, kterého podplatí. Nebo využije kompromitovaný zákaznický portál. Způsobů je několik, výsledek je vždy stejný.
Jakmile má útočník tvoje číslo, dostane každou SMS která ti přijde. A to je problém, protože SMS ověření dneska používá skoro všechno — internet banking, e-mail, kryptoburzy, sociální sítě. Dvoufaktorové ověření přes SMS, které mělo být ochranou, se najednou stane vstupem pro útočníka.
Ty se dozvíš pozdě. Telefon ztratí signál, ale to se stává. Pár hodin nic neřešíš. Mezitím on mění hesla, vybírá účty, maže stopy.
Kdo a proč si vybírá oběti pro tento typ útoku
Útočníci nejdou náhodně. SIM swap vyžaduje trochu přípravy — musí znát tvoje jméno, datum narození, číslo, ideálně adresu nebo číslo OP. Tyhle informace sbírají z uniklých databází (které jsou na dark webu za pár eur), ze sociálních sítí, přes phishing nebo jednoduše si je koupí od jiných podvodníků.
Nejčastější cíle jsou tři skupiny. Lidé s viditelným majetkem — kdo veřejně mluví o kryptu nebo investicích, je na radaru. Firmy a jejich zaměstnanci s přístupem k bankovním účtům. A pak prostě náhodné oběti z uniklých databází — tam jde o rychlost a množství, ne výběr.
Jeden z nejznámějších případů byl případ amerického Twitteru z roku 2020, kdy útočníci přes SIM swap a sociální inženýring získali přístup k interním nástrojům a ovládli účty Elona Muska, Baracka Obamy nebo Applu. Škoda šla do stovek tisíc dolarů — za hodinu. V Česku a na Slovensku jsou případy méně mediálně viditelné, ale operátoři i banky je evidují každý rok ve stovkách.
Signály, podle kterých poznáš, že se to děje tebě
Prvním signálem je ztráta signálu bez zjevného důvodu. Ne jeden dílek, ale úplně žádná síť. To samo o sobě ještě neznamená nic — ale v kombinaci s dalšími věcmi je to varovný signál.
Druhý signál jsou e-maily nebo notifikace o změně hesla u služeb, které jsi neměnil. Přijde ti mail „vaše heslo bylo změněno“ — a ty ses nikam nepřihlašoval. Útočník mezitím dostal ověřovací SMS na své číslo a přístup si potvrdil.
Třetí signál jsou neúspěšné přihlášení pokusy u banky nebo výzvy k ověření identity, které jsi neinicioval. Banka ti může volat — jenže ty signál nemáš. Nebo ti pošle push notifikaci do appky, kde ještě stihneš reagovat.
- Náhlá ztráta signálu na hodiny bez výpadku v okolí
- E-maily o změně hesel u služeb, na které jsi nesahal
- SMS ověřovací kódy které jsi nepožadoval
- Notifikace z banky o transakcích nebo přihlášeních
- Neočekávané odhlášení ze sociálních sítí nebo e-mailu
Pokud se tohle stane, nepřemýšlej — zavolej okamžitě operátorovi a bance. Každá minuta prodlevy znamená větší škodu.
Jak se bránit dřív, než se to stane
Nejlepší obrana je taková, že útočník ani nezačne. Pár věcí reálně pomáhá.
Přidej si PIN nebo heslo k zákaznickému účtu u operátora. Ne datum narození, ne „1234″. Reálné náhodné heslo, které nikde jinde nepoužíváš. Většina operátorů ti umožní nastavit, že jakákoliv změna SIM karty nebo přenosu čísla vyžaduje zadání tohoto PIN. To je první vrstva. Útočník pak musí znát i tento kód, nestačí mu jen tvoje osobní data.
Druhá věc — přejdi od SMS ověření na authenticator appku. Google Authenticator, Authy, nebo Microsoft Authenticator generují kódy přímo v telefonu, bez SMS. Útočník s tvojí SIM tyto kódy nedostane, protože nevycházejí ze sítě. Tenhle přechod ti zabere 20 minut a výrazně snižuje riziko.
Podrobný přehled toho, jak SIM swap funguje z technického a bezpečnostního pohledu, najdeš třeba ve slovníku na SIM swap — tam jsou popsané i konkrétní varianty útoků a co dělají operátoři na slovenském trhu.
Třetí věc — omezte sdílení osobních dat online. Útočník potřebuje tvoje datum narození, adresu, číslo. Čím méně veřejně sdílíš, tím víc musí pracovat. Rok narození na Facebooku, celé jméno na LinkedInu a telefon v online inzerátu dohromady dávají útočníkovi solidní startovní balíček.
Co dělat, když útok proběhl a ty už víš
Řeším tuhle situaci v hlavě dost detailně, protože znám lidi, kterým se to stalo. Ne abstrakt — konkrétní lidi. Jeden kamarád přišel o přístup k e-mailu, GitHubu a části krypta v jednom odpoledni. Operátorovi zavolal po třech hodinách od ztráty signálu. Škoda mohla být výrazně nižší, kdyby reagoval dřív.
Krok první — zavolej operátorovi a řekni, že máš podezření na SIM swap. Neposílej e-mail, nečekej na chat. Telefon. Žádej okamžité zablokování přenosu čísla a obnovení SIM na tvoji kartu. Budou chtít ověřit totožnost — měj po ruce OP.
Krok druhý, paralelně — zavolej do banky a nech zablokovat účet nebo alespoň odchozí platby. Opět telefon, ne appka (ta může být kompromitovaná).
Krok třetí — změň hesla ke kritickým službám přes jiné zařízení a jinou síť. Ne telefon, ne domácí wifi pokud jsi k ní měl přístup přes stejný účet. Kavárna, práce, cokoliv jiného.
Krok čtvrtý — nahlaste případ Policii ČR nebo SR. Bez toho ti banka nemusí uznat škodu jako pojistnou událost. Číslo oznámení potřebuješ do dokumentace.
SMS ověření je mrtvá technologie — jen o tom nikdo nemluví
Tady mám názor, který ne všichni sdílí. SMS jako druhý faktor ověření by mělo být v roce 2025 vnímané jako slabá ochrana, ne jako standard. Jenže banky a firmy ho pořád nabízejí jako výchozí volbu — protože je to snadné pro uživatele a ušetří jim to náklady na implementaci hardwarových tokenů nebo moderních authenticatorů.
Problém je, že GSM síť byla navržena v osmdesátých letech a bezpečnostní díry v protokolu SS7 jsou známé přes dvacet let. SIM swap je jen jeden ze způsobů jak SMS zachytit — vedle toho existují IMSI catchery, SS7 útoky a další metody. SMS prostě není bezpečná pro ověření citlivých operací.
Pokud ti tvoje banka nabídne hardwarový token nebo appku generující TOTP kódy, vezmi to. Pokud nabídne jen SMS — ptej se proč nemají lepší alternativu. Tahle otázka je legitimní a máš právo ji položit. Pár bank ji už i ocení.
Ochrana telefonu začíná dřív, než telefon ztratíš signál
SIM swap je útok, který pracuje s tvou pasivitou. Útočník čeká na to, že si tří hodiny nevšimneš ztraceného signálu. Že nezavoláš operátorovi. Že nemáš nastavený PIN k účtu. Každá věc, kterou uděláš předem, mu zkomplikuje práci.
Nastav si PIN u operátora dnes. Přejdi na authenticator appku u banky, e-mailu a kryptoburzy tento týden. Projdi si, co veřejně sdílíš o sobě online, příští víkend. Tohle nejsou velké projekty — jsou to hodiny celkem. A rozdíl mezi tím, kdo je připravený, a tím, kdo není, bývá v penězích na účtu docela zásadní.
Kód obrázku:Podobné obrázky:
If you enjoyed this post, please consider to leave a comment or subscribe to the feed and get future articles delivered to your feed reader.
