SIM-Swap измамата може да изпразни бизнес банковата ви сметка за един следобед: Port-Out PIN кодове, приложения за удостоверяване и сигналите, които хващат превземането навреме

Телефонът ви показва „Няма услуга" по обед. Досадно, но Wi-Fi в кафенето работи, затова продължавате да отговаряте на имейли и се връщате към работата си. До вечеря някой от другия край на страната е използвал телефонния ви номер, за да нулира паролата на имейла ви, да одобри превод от бизнес разплащателната ви сметка и да ви заключи от портала за заплати. Нищо не е било хакнато по холивудския начин — нито зловреден софтуер, нито пробита парола. Вашият мобилен оператор е предал номера ви на непознат, който просто е попитал учтиво, и всеки текстови код за сигурност, изпратен от банката ви, е отишъл направо при него.

Това е SIM swapping и е една от измамите с най-големи загуби, насочени към собственици на малки бизнеси — именно защото заобикаля сигурността, на която повечето собственици разчитат. Internet Crime Complaint Center на ФБР е регистрирал 982 оплаквания за SIM-swap с близо 26 милиона долара отчетени загуби през 2024 г. — средно над 26 000 долара на жертва — след пик от 72,6 милиона долара през 2022 г. Отчетените числа подценяват щетите, защото голяма част от кражбите се класифицират в други категории измами и много жертви изобщо не подават сигнал.

Добрата новина: тази атака има кратък списък от известни противодействия, повечето от които безплатни и отнемащи под десет минути. Това ръководство преминава през това как работи измамата, защо бизнес сметките са особено изложени и четирите ключалки, които я спират: защита на преноса на ниво оператор, преминаване от SMS-базирано удостоверяване, обратно обаждане за потвърждение на преводи и сигнали, които хващат превземането в ход.

Как работи SIM swap в четири стъпки​

Разбирането на механиката е важно, защото всяка защита по-долу съответства на една от тези стъпки.

Стъпка 1: Атакуващият събира личните ви данни. Измамниците събират отговорите на въпросите за сигурност на оператора — дата на раждане, адрес, данни за акаунта — от изтичания на данни, профилите ви в социалните мрежи, фишинг съобщения и информационни брокери. Собствениците на бизнеси изтичат повече от останалите: името ви, адресът на бизнеса и телефонният номер стоят на уебсайта ви, във фактурите ви и в държавните регистрации на бизнес субекти.

Стъпка 2: Атакуващият се представя за вас пред оператора ви. Въоръжен с тези данни, престъпникът се обажда на мобилния ви оператор (или посещава магазин, или подкупва вътрешен човек) и твърди, че е вие, като иска да прехвърли номера ви на нова SIM карта, която контролира. Близък роднина, наречен port-out измама, прехвърля номера ви към съвсем друг оператор. И в двата случая резултатът е идентичен: номерът ви вече звъни на телефона на атакуващия.

Стъпка 3: Атакуващият нулира паролите ви. С номера ви, който получава текстовите ви съобщения, престъпникът задейства процесите „забравена парола" на имейла, банката, заплатите и платежните ви акаунти. Еднократните кодове пристигат на устройството на атакуващия. Имейлът обикновено пада първи, а имейлът е главният ключ — повечето процеси за възстановяване на акаунти минават през него.

Стъпка 4: Парите се движат. С бизнес имейл, банкиране и платежни приложения в ръка, атакуващият превежда средства, добавя нови получатели, променя маршрутизацията за директни депозити на заплати или купува криптовалута. Бизнес сметките са наградата: по-високи баланси, по-високи лимити за преводи и — критично — по-слаби правни защити от потребителските сметки.

Цялата последователност може да се изпълни за часове. Жертвите често забелязват само първия симптом: собственият им телефон угасва.

Защо собствениците на бизнеси са първостепенни цели​

Три факта се комбинират, за да направят собственика на малък бизнес идеалната жертва на SIM-swap.

Номерът ви е публичен, а балансите ви са високи. Измамник, избиращ между анонимен потребител и собственик на бизнес, чийто мобилен номер е на страницата за контакти на компанията, чиито приходи могат да бъдат оценени от публични регистрации и чиято оперативна сметка държи пари за заплати, ще избере собственика на бизнес всеки път.

Бизнес банковите сметки имат по-слаби защити срещу измами. Потребителските сметки попадат под Regulation E, което ограничава отговорността ви за неоторизирани електронни преводи и задължава банката да разследва. Бизнес сметките обикновено не — споровете за търговски преводи и ACH попадат под щатското търговско право (UCC Article 4A) и каквото казва договорът ви за сметката, което обикновено означава, че банката носи отговорност само ако процедурите ѝ за сигурност не са били „търговски разумни". На практика възстановяването на измамен бизнес превод е много по-трудно от обръщането на потребителска Zelle измама. Парите, които излизат, обикновено са изчезнали.

Един номер пази много врати. Помислете за всичко, свързано с мобилния ви номер: кодове за вход в бизнес банкиране, възстановяване на имейл, достъп до доставчик на заплати, платежни процесори и често самият резервен вариант за удостоверяване. SIM swap не избира една ключалка — той копира главния ключ.

Разпознайте предупредителните знаци​

Американската банкова асоциация изброява четири червени флага, които трябва да задействат незабавни действия:

• Внезапна загуба на мобилна услуга. Не можете да се обаждате или да изпращате съобщения, особено на място, където покритието обикновено е добро. Това е отличителният симптом — номерът ви вече звъни другаде.
• Приложенията на телефона ви спират да работят за достъп до акаунти, докато всичко останало изглежда нормално.
• Сигнали за сигурност относно промени в настройките, които не сте оторизирали — нулиране на пароли, входове от нови устройства или промени в имейла за възстановяване.
• Необичайна активност при вход в имейл, финансови или операторски акаунти.

Ако се появи първият симптом, не изчаквайте да видите дали услугата ще се възстанови. Третирайте го като активна атака, докато не се докаже обратното, и изпълнете контролния списък за реакция в края на тази статия.

Ключалка 1: Укрепете операторския си акаунт​

Операторът ви е входната врата на тази атака и всичките три големи американски оператора вече предлагат безплатни ключалки, специално създадени за нея. Правилата на FCC, в сила от юли 2024 г., изискват операторите да удостоверяват сигурно клиентите преди SIM промени или преноси и да ви уведомяват незабавно, когато бъде направена такава заявка — но опционалните ключалки на ниво акаунт отиват по-далеч, като отказват прехвърлянето още в началото.

Verizon: Number Lock плюс SIM Protection. Number Lock блокира пренасянето на номера ви към друг оператор, докато не изключите ключалката. Отделен превключвател SIM Protection пази срещу SIM промени на съществуващата ви линия. Активирайте и двете в приложението My Verizon под сигурност на акаунта — едното без другото оставя пропуск.

T-Mobile: Account Takeover Protection плюс SIM Protection. Account Takeover Protection блокира неоторизирани прехвърляния на вашите линии, с отделни настройки Port Out Protection и SIM Protection до него. Управлявайте ги в приложението T-Life под акаунта си. SIM Protection на T-Mobile обикновено изисква проверка на самоличността в магазин за заобикаляне, което е точно триенето, което искате срещу телефонен измамник.

AT&T: Wireless Account Lock. AT&T обединява двете задачи в една единствена Wireless Account Lock, която блокира преноси на номера и SIM промени, управлявана в приложението myAT&T. Също задайте отделния пароль за акаунт, който AT&T изисква преди промени по акаунта по телефона.

Три операторски правила, които важат навсякъде:

1. Задайте операторски PIN или пароль, който не е рожденият ви ден, адресът или последните четири цифри от социалноосигурителния ви номер. Атакуващите пристигат, знаейки всичко това. Този код е различен от кода за отключване на телефона ви — това е паролата, която операторът ви изисква, преди да пипне акаунта ви.
2. Генерирайте PIN за прехвърляне на номер само когато действително сменяте оператор. PIN-ът за прехвърляне е еднократно пълномощно, а не постоянна защита. Постоянната защита е ключалката на акаунта.
3. Попитайте за забележка „само лично". Няколко оператора ви позволяват да маркирате акаунта, за да изисква проверка с посещение в магазин с документ за самоличност за SIM или port промени. Телефонната поддръжка е мястото, където се случва представянето за друг; насочването на промените през човек, който проверява документ за самоличност, премахва канала на атакуващия.

Ако бизнес линиите ви са на операторски акаунт, управляван от някой друг — офис мениджър, IT изпълнител — потвърдете, че тези ключалки са активирани и там. Номерът, който получава текстовите съобщения за удостоверяване от банката ви, е този, който трябва да защитите, който и да плаща сметката.

Ключалка 2: Откажете се от SMS удостоверяване​

Текстовите кодове са единствената точка на провал, която SIM swapping експлоатира. Извадете телефонния си номер от пътя за удостоверяване и атаката губи своята печалба, дори и да успее.

Използвайте приложение за удостоверяване навсякъде, където се предлага. Приложения като Google Authenticator, Authy, Microsoft Authenticator или 1Password генерират кодове на устройството ви, които никога не пътуват през мобилната мрежа. Насоките на FTC са изрични: ако се притеснявате от SIM swapping, използвайте приложение за удостоверяване или хардуерен ключ, защото текстовото удостоверяване няма да спре SIM swap. Активирайте удостоверяване чрез приложение първо на имейла — това е пътят за възстановяване на всичко останало — после на банкирането, заплатите, платежните процесори и самия операторски акаунт.

Преминете към хардуерен ключ за сигурност за най-ценното. ФБР препоръчва физическите ключове за сигурност като най-силния вариант: USB или NFC ключ, който трябва да присъства физически за вход. Ключът не може да бъде фиширан, препратен или SIM-swapped. Като минимум сложете такъв на основния си бизнес имейл и на входа за банката.

Справете се с банките, които предлагат само SMS. Някои по-малки банки и по-стари платформи за бизнес банкиране все още удостоверяват само чрез текст. За тези акаунти ключалките на оператора от предишния раздел са единствената ви техническа защита — което е още една причина да ги активирате — плюс сигналите за транзакции, разгледани по-долу. Когато избирате банка или доставчик на заплати, попитайте дали поддържат приложения за удостоверяване или хардуерни ключове, и третирайте „не" като реална дупка в сигурността.

Правете резервни копия на приложението си за удостоверяване правилно. Отказът от SMS създава нов риск: загуба на устройството, което държи кодовете ви. Повечето приложения за удостоверяване предлагат криптирано резервно копие в облака или синхронизация между няколко устройства — включете ги. Съхранявайте разпечатани кодове за възстановяване за критични акаунти някъде, където крадец не може да ги намери, но вашият наследник може, като сейф в банка.

Ключалка 3: Потвърждавайте всеки превод с обратно обаждане​

Атакуващите чрез SIM-swap обичат преводите, защото преводите са бързи, трудни за обръщане и — за бизнес сметки — слабо защитени. Дори ако вашият собствен номер никога не бъде прехвърлен, номерата на вашите доставчици и клиенти могат да бъдат, и точно така съобщение с убедителна формулировка „сменихме банката, моля преведете тук" пристига от познат адрес. Един процедурен контрол побеждава почти всичко това.

Обадете се обратно на известен номер преди всяко първоначално плащане или плащане с променена дестинация. Когато някой — доставчик, клиент, партньор, дори ваш собствен служител — ви помоли да изпратите пари на нови банкови данни, спрете и им се обадете на телефонен номер, който вече имате в архива, а не на такъв, отпечатан в съобщението. Потвърдете словесно номерата на банковия клон и сметката. Този единствен навик, прилаган без изключения, неутрализира както измамата с плащания, движена от SIM-swap, така и обикновения компромис с бизнес имейл.

Направете навика структурен, а не героичен:

• Изисквайте двойно одобрение за преводи и нови получатели. Повечето платформи за бизнес банкиране поддържат двоен контрол: един човек въвежда плащането, втори го одобрява. Самотен атакуващ с вашите идентификационни данни не може да завърши кражбата.
• Задайте дневни лимити за преводи и ACH, които отговарят на реалните ви нужди. Дневен лимит за преводи от 250 000 долара на сметка, която превежда 8000 долара месечно, не е удобство — това е бюджетът на атакуващия. Намалете тавана до малко над най-голямото ви легитимно плащане.
• Разделете задълженията при промени в заплатите. Пренасочването на директни депозити е любим начин за монетизиране на SIM-swap. Изисквайте всяка промяна в банковите данни да бъде потвърдена словесно със служителя и някой друг, различен от заявителя, да я въведе.

Документирайте правилото за обратно обаждане писмено и кажете на доставчиците си, че го спазвате. Когато измамник, оказващ натиск „спешно, преведете днес", срещне служител, чиято писмена процедура казва „винаги се обаждаме обратно", процедурата печели.

Ключалка 4: Настройте сигнали, които хващат превземането навреме​

Ако първите три ключалки се провалят, скоростта е всичко. Измама, хваната за минути, понякога може да бъде обърната; измама, открита при месечното осчетоводяване, е изчезнала. Изградете слой от предупредителни механизми:

• Сигнали за банкови транзакции на всеки бизнес акаунт. Активирайте push или имейл сигнали за преводи, нови получатели, промени в пароли, входове от нови устройства и всяка транзакция над праг, който зададете нисък — дори 1 долар за преводи. Насочете тези сигнали към имейл адрес, защитен с удостоверяване чрез приложение, не SMS.
• Сигнали за вход в имейл. Доставчикът на имейл може да ви уведоми за входове от нови устройства или местоположения. Тъй като имейлът е главният ключ, третирайте сигнал за непознат вход като тревога от пет аларми.
• Сигнали за операторски акаунт. Инсталирайте приложението на оператора си и активирайте уведомленията за сигурност, за да достигат известията за SIM промяна или port-out до вас по канал, който атакуващият не контролира.
• Замразяване на кредит, не само мониторинг. SIM swap често предхожда измама с нови акаунти на ваше име. Замразяването на кредита ви при трите бюра не струва нищо, отнема минути и прави повече от всяка платена услуга за мониторинг. Собствениците на бизнеси трябва също да обмислят замразяване на бизнес кредитните си профили, където бюрото го позволява.
• Ежедневен преглед на баланса. Двуминутен сутрешен поглед върху активността по оперативната сметка хваща това, което автоматичните сигнали пропускат. Осчетоводявайте поне седмично — измама, открита при осчетоводяване, е закъсняла, но все още е по-добре от откриване чрез известие за овърдрафт.

Ако се случи: Контролен списък за първия час​

Ако телефонът ви угасне неочаквано или получите сигнали за промени, които не сте направили, изпълнете този списък по ред, от устройство и връзка, които атакуващият не контролира:

1. Обадете се на оператора си незабавно — от друг телефон — и докладвайте предполагаем SIM swap. Помолете ги да замразят линията, да обърнат swap-а и да възстановят номера ви на вашата SIM карта.
2. Влезте първо в имейла от доверено устройство и сменете паролата, после прегледайте адресите за възстановяване, правилата за препращане и активните сесии. Атакуващите добавят скрито препращане, за да продължат да четат пощата ви, след като се възстановите.
3. Сменете паролите за банкиране, заплати и плащания и прегледайте всяка транзакция, получател и насрочено плащане от началото на swap-а.
4. Обадете се на отдела за измами на банката си — не на клона — и докладвайте предполагаем неоторизиран достъп. Попитайте за обръщане на скорошни преводи; скоростта има огромно значение.
5. Поставете предупреждение за измама при Equifax, Experian и TransUnion и замразете кредита си, ако още не сте.
6. Подайте сигнали до FTC на IdentityTheft.gov и Internet Crime Complaint Center на ФБР на ic3.gov. Занесете номерата на сигналите в банката и оператора си — те ускоряват споровете.
7. Документирайте всичко с часови марки в единен дневник: кога услугата спря, какво открихте, на кого се обадихте. Ако възстановяването прерасне в правен спор, този дневник е доказателство.

След това насрочете анализа след седмица: коя ключалка липсваше и какво се променя преди следващия опит? Атакуващите споделят списъци с меки цели. Бизнес, който веднъж е бил лесна цел, ще бъде опитан отново.

Дръжте финансовите си записи готови за най-лошия ден​

Реакцията при измама разчита на записи. Когато екипът за спорове на банката попита кои преводи са били неоторизирани, когато застрахователят поиска доказателство за загубата и когато счетоводителят ви трябва да осчетоводи кражбата правилно в края на годината, разпръснати входове и приблизителни спомени ви струват истински пари. Чистите счетоводни книги — всеки акаунт осчетоводен навреме, всяка промяна на получател записана, всеки превод съпоставен с фактура — превръщат хаотична седмица в документирано искане.

Докато затягате сигурността около акаунтите си, поддържането на ясни финансови записи е това, което ви позволява да докажете какво се е случило и да се възстановите по-бързо. Beancount.io предоставя счетоводство с обикновен текст, което ви дава пълна прозрачност и контрол върху финансовите ви данни — без черни кутии, без обвързване с доставчик. Започнете безплатно и вижте защо разработчиците и финансовите професионалисти преминават към счетоводство с обикновен текст.