SIM 卡交换

本文约需 2 分钟阅读

SIM 交换是指攻击者向移动运营商假冒受害者，通过补办 SIM 卡或转移号码来劫持受害者电话号码的攻击手法。攻击者截获通过短信发送的两步验证验证码，非法操作银行账户或加密资产交易所账户。 2024 年 FCC 施行了应对 SIM 交换的新规则，要求移动运营商强制实施额外的身份验证。

现场使用案例

“接到客户反映‘手机突然没了信号’，我们怀疑是 SIM 交换。调查结果发现，攻击者通过社会工程学欺骗了手机店店员，成功补办了 SIM 卡。短信验证被突破，加密资产账户被转走约 300 万日元。”

SIM 交换流程

历史背景

SIM 交换从 2018 年前后随着加密资产的普及而急剧增加。在美国， 2019 年发生了 Twitter CEO 的账户被 SIM 交换劫持的事件，引发了社会广泛关注。据 FBI 报告， 2021 年 SIM 交换的损失金额达到约 6,800 万美元。在日本，也有报告显示利用手机非法携号转网 (MNP) 造成的损害。移动安全入门书 (Amazon)可系统地学习。

防御方法

最重要的对策是从基于短信的两步验证迁移到 TOTP 应用 (Google Authenticator、Authy) 或通行密钥。短信验证对 SIM 交换很脆弱， NIST 也不推荐使用短信验证。在移动运营商处设置 PIN 码或口令短语，使补办 SIM 卡时要求额外验证，也很有效。用每个服务各自独立的强密码保护移动运营商的在线账户，并加强智能手机的锁定，即可大幅降低 SIM 交换的风险。认证安全书籍 (Amazon)也可作为参考。