Seznamte se s hackery, kteří obchodují s instagramovými přezdívkami a kryptoměnami získanými na stinném, rušném černém trhu s ukradenými účty a uživatelskými jmény. Slabinou jejich obětí? Telefonní čísla.
Únos SIM karty je málo známá, ale rostoucí hrozba. Chcete-li se dozvědět, jak hackerům zabránit v krádeži vašeho telefonního čísla, přečtěte si náš průvodce, jak se před těmito útoky chránit.
Vypadalo to jako každá jiná teplá zářijová noc na předměstí Salt Lake City. Rachel Ostlundová právě uložila děti do postelí a chystala se jít spát i ona sama. Psala sestře textovou zprávu, když její mobil nečekaně ztratil signál. Poslední zpráva, kterou Rachel obdržela, přišla od jejího operátora T-Mobile. SIM karta jejího telefonního čísla, stálo v ní, byla „aktualizována“.
Rachel udělala to, co by v takové situaci udělala většina lidí: telefon vypnula a znovu zapnula. Nepomohlo to.
Vyšla po schodech nahoru a řekla svému manželovi Adamovi, že jí telefon nefunguje. Adam se pokusil zavolat na Rachelino číslo ze svého mobilu. Zvonilo to, ale telefon v Rachelině ruce se nerozsvítil. Nikdo to nezvedl. Rachel se mezitím přihlásila do e-mailu a všimla si, že někdo resetuje hesla k několika jejím účtům. O hodinu později Adamovi někdo zavolal.
„Dejte mi Rachel k telefonu,“ požadoval hlas na druhém konci linky. „Hned.“
Adam odmítl a zeptal se, co se děje.
„Ojedeme vás, znásilníme vás a právě ničíme váš život,“ řekl volající. „Pokud víte, co je pro vás dobré, dejte svou ženu k telefonu.“
Adam refused.
„Zničíme vám úvěrovou historii,“ pokračovala dotyčná osoba a jmenovala členy rodiny Rachel a Adama i jejich adresy, které podle páru získala z Rachelina účtu na Amazonu. „Co by se stalo, kdybychom jim ublížili? Co by se stalo, kdybychom jim zničili úvěrovou historii a pak jim nechali zprávu, že za to můžete vy?“
„Ojedeme tě, znásilníme tě a právě ti ničíme život.“
Manželé to ještě nevěděli, ale právě se stali poslední obětí hackerů, kteří unášejí telefonní čísla, aby ukradli cenná uživatelská jména na Instagramu a prodali je za Bitcoin. Té noci na konci léta 2017 mluvili Ostlundovi se dvěma z těchto hackerů, kteří převzali Rachelin účet na Instagramu s přezdívkou @Rainbow. Nyní po Rachel a Adamovi požadovali, aby se vzdali i jejího účtu na Twitteru @Rainbow.
Na módním černém trhu s ukradenými přezdívkami ze sociálních sítí a herních platforem se může unikátní krátké uživatelské jméno prodávat za 500 až 5 000 amerických dolarů, uvádějí lidé zapojení do obchodu i přehled nabídek na oblíbeném tržišti. Několik hackerů působících na tomto trhu tvrdilo, že účet @t na Instagramu se nedávno prodal například za Bitcoin v hodnotě asi 40 000 dolarů.
Byl váš telefon nebo Instagram hacknut? Řekněte nám svůj příběh.Tohoto novináře můžete bezpečně kontaktovat přes Signal na čísle +1 917 257 1382, přes OTR chat na adrese [email protected] nebo e-mailem na adrese [email protected].
Hackeři si tím, že zneužili Rachelino telefonní číslo, dokázali přivlastnit nejen její účet na Instagramu, ale také účty na Amazonu, Ebay, Paypalu, Netflixu a Hulu. Žádná bezpečnostní opatření, která Rachel u některých z těchto účtů zavedla, včetně dvoufázového ověření, už nemají žádný význam, jakmile hackeři převezmou kontrolu nad jejím telefonním číslem.
„Byla to velmi napjatá noc,“ vzpomínal Adam. „Nemůžu uvěřit, že měli tu drzost nám zavolat.“
IMAGE : SHUTTERSTOCK
UNE MENACE SURVEILLÉE
V únoru rozeslal T-Mobile hromadnou SMS varující zákazníky před hrozbou, která se týká celého odvětví. Podle společnosti zločinci stále častěji využívají techniku zvanou „port-out scam“, aby se zaměřili na telefonní čísla lidí a ukradli je. Tento podvod, známý také jako SIM swapping nebo únos SIM karty , je jednoduchý, ale nesmírně účinný.
Zločinci nejprve zavolají na technickou podporu mobilního operátora a vydávají se za svou oběť. Zaměstnanci společnosti řeknou, že svou SIM kartu „ztratili“, a požádají, aby jejich telefonní číslo bylo přeneseno na novou SIM kartu, kterou hackeři již mají u sebe. S trochou sociálního inženýrství – třeba když uvedou číslo sociálního pojištění oběti nebo adresu jejího bydliště (která bývá často dostupná díky jednomu z mnoha úniků dat z posledních let) – zločinci přesvědčí zaměstnance, že jsou tím, za koho se vydávají, a zaměstnanec pak telefonní číslo převede na novou SIM kartu.
Jeu terminé.
„S něčím telefonním číslem,“ vysvětlil mi hacker, který provádí SIM swapping, „se můžete během pár minut dostat do všech jeho účtů a oni s tím nemohou nic dělat.“
SNÍMEK OBRAZOVKY TEXTOVÉ ZPRÁVY, KTEROU DOSTALA RACHEL OSTLUND, KDYŽ HACKEŘI PŘEVZALI JEJÍ TELEFONNÍ ČÍSLO.
Oběť od té chvíle přichází o službu, protože k mobilní síti může být s daným číslem připojena vždy jen jedna SIM karta. Hackeři pak mohou resetovat účty oběti a často obejít bezpečnostní opatření, například dvoufázové ověření, když použijí telefonní číslo jako metodu obnovení.
Některé služby, včetně Instagramu , vyžadují při nastavení dvoufázového ověření zadání telefonního čísla, což má nečekaný důsledek: hackerům to poskytuje další způsob, jak se dostat do účtu. Pokud totiž hackeři převezmou cílové číslo, mohou dvoufázové ověření obejít a získat přístup k účtu na Instagramu, aniž by znali heslo. ( Přečtěte si náš návod, jak chránit své telefonní číslo a s ním spojené účty před hackery .)
Eric Taylor, hacker dříve známý jako CosmoTheGod , tuto techniku použil při některých ze svých nejslavnějších kousků, například když v roce 2012 nabořil e-mailový účet generálního ředitele CloudFlare . Taylor, který nyní pracuje pro bezpečnostní společnost Path Network , mi řekl, že pokud máte k některému z online účtů připojené telefonní číslo, jste „zranitelní vůči třináct- až šestnáctiletým dětem, které převezmou vaše účty tím, že se ke svému telefonu dostanou za méně než pět minut poté, co zavolají vašemu zatracenému operátorovi.“
„Děje se to pořád,“ dodal.
Máte tip? Tohoto novináře můžete bezpečně kontaktovat přes Signal na čísle +1 917 257 1382, přes OTR chat na adrese [email protected] nebo e-mailem na [email protected].
Roel Schouwenberg, ředitel zpravodajství a výzkumu ve společnosti Celsus Advisory Group, se zabýval tématy, jako je SIM swapping, obcházení dvoufázového ověření a zneužívání mechanismů obnovy účtu. Podle něj není žádné telefonní číslo zcela bezpečné a spotřebitelé by si to měli uvědomovat.
„Přenést se dá jakýkoli typ čísla,“ řekl mi Schouwenberg. „Odhodlaný a dobře vybavený zločinec dokáže získat alespoň dočasný přístup k číslu, což je často dost na to, aby provedl úspěšný útok.“
Je to znepokojivé, protože čísla mobilních telefonů se staly „hlavními klíči“ celé naší online identity, jak vysvětlil v článku na blogu už loni.
„Většina systémů není navržena tak, aby odolala útočníkům, kteří převezmou telefonní čísla. Je to opravdu velmi závažné,“ napsal Schouwenberg. „Naše telefonní číslo se stalo téměř neodvolatelným identifikátorem. Nikdy to tak nebylo zamýšleno, stejně jako čísla sociálního zabezpečení nikdy nebyla zamýšlena jako doklad totožnosti. Telefonní číslo dnes poskytuje klíč od království pro většinu služeb a účtů.“
Co hackeři udělají, když ovládnou vaše telefonní číslo, závisí přesně na tom, co hledají.
« Je prends leur argent et je vis ma vie »
Když vám ukradnou kolo, měli byste zkontrolovat Craigslist, jestli ho někdo neprodává na černém trhu. Když vám přes SIM swap ukradnou účet na Instagramu, měli byste zkontrolovat OGUSERS.
Na první pohled vypadá OGUSERS jako každé jiné fórum. Je tu sekce „spam / vtipy“ a další pro diskusi o tématech, jako je hudba, zábava, anime a hry. Nejdůležitější a nejaktivnější částí je však tržiště, kde uživatelé kupují a prodávají herní a sociální uživatelská jména, někdy za tisíce dolarů.
Podle jednoho ze správců fóra v nedávném příspěvku někdo prodal instagramový účet @Bitcoin za 20 000 dolarů. V inzerátu, který byl 13. června stále online, uživatel nabízel k prodeji instagramový účet @eternity za 1 000 dolarů.
To jsou jen dva příklady typů účtů, které se na OGUSERS prodávají. Fórum vzniklo v dubnu 2017, aby lidem nabídlo místo pro nákup a prodej „OG“ uživatelských jmen. (Název fóra pochází ze slangového výrazu OG, zkratky pro „original gangster“.) OG na sociální síti je uživatelské jméno považované za cool, třeba proto, že jde o jediné slovo, jako je @Sex, @Eternity nebo @Rainbow. Nebo možná proto, že je velmi krátké, například @t nebo @ty. Terčem se stali i celebrity.
SNÍMEK OBRAZOVKY INSTAGRAMOVÉHO ÚČTU SELENY GOMEZ PO JEHO HACKNUTÍ.
V srpnu loňského roku například hackeři převzali instagramový účet Seleny Gomez a zveřejnili nahé fotografie Justina Biebera. První jméno na Gomezově účtu bylo také změněno na „Islah“, stejné, jaké v té době používal člen OGUSERS s uživatelským jménem Islah. Podle hackerů z OGUSERS tvrdí lidé, kteří se hlásí k hacknutí Gomez, že to provedli převzetím čísla mobilního telefonu spojeného s instagramovým účtem zpěvačky a herečky, která měla v době převzetí 125 milionů sledujících.
« Bon sang, ils ont vraiment piraté la personne la plus suivie sur Instagram », a commenté un membre d’OGUSERS dans un fil de discussion intitulé « RIP SELENA GOMEZ ».
Mluvčí Gomez odmítl komentář poskytnout e-mailem.
