Ecco una guida per aiutarvi a prevenire e proteggervi dalla minaccia dei pirati che prendono il controllo del vostro numero di telefono per violare i vostri account online.
I pirati informatici hanno preso di mira gli utenti di Instagram con nomi utente brevi o unici, così come i detentori di Bitcoin. Per rubare gli account o le criptovalute della vittima, i pirati informatici acquisiscono innanzitutto i numeri di telefono cellulare dei bersagli, il che dà loro la possibilità di reimpostare le password di qualsiasi account associato a un dato numero.
Questo tipo di attacco è noto come truffa del porting – un’espressione derivata dal concetto di trasferimento di un numero da un operatore all’altro – ed è anche chiamato scambio di SIM o SIM swapping. Un pirata informatico che era solito effettuare lo scambio di SIM mi ha detto che accadeva «continuamente», mentre i fornitori di servizi di telecomunicazione conoscevano questo metodo di attacco da anni. Secondo T-Mobile, centinaia di persone sono state colpite da questa truffa . Negli ultimi mesi, Motherboard ha parlato con più di 30 vittime a cui era stato sottratto il numero. Oltre al suo account Instagram, una vittima del dirottamento della SIM con cui ho parlato ha visto violati i propri account Amazon, Ebay, Paypal, Netflix e Hulu.
«I nostri telefoni sono la nostra più grande vulnerabilità», mi ha detto.
Allora, cosa puoi fare per proteggerti?
In definitiva, questo attacco si basa su truffatori che ingannano l’assistenza tecnica dell’operatore e, se i rappresentanti dell’azienda abboccano, è importante ricordare che si può fare solo fino a un certo punto. La buona notizia è che puoi rendere il furto del tuo numero di telefono molto più difficile per i pirati. E, cosa ancora più importante, puoi adottare misure per limitare i danni nel caso in cui riescano comunque a rubarlo.
Ecco come.
RAFFORZARE LA SICUREZZA DEL TUO ACCOUNT
Di fronte al moltiplicarsi degli attacchi contro gli account dei clienti, i principali fornitori di telefonia mobile negli Stati Uniti hanno introdotto nuove funzionalità di sicurezza volte a rendere più difficile ai pirati informatici la presa di controllo di account e numeri di telefono.
AT&T consente ai clienti di aggiungere un codice di autenticazione ai propri account. Questa credenziale è distinta dalla password che i clienti usano per accedere ai propri account online. Questo codice di autenticazione sarà richiesto per apportare modifiche importanti all’account, come il trasferimento del numero su un’altra SIM.
Verizon indica che ogni cliente deve ora disporre di un PIN o di una password come metodo di «autenticazione principale» quando contatta un call center. Questo PIN è simile al codice di autenticazione che i clienti AT&T possono configurare, poiché viene utilizzato quando si comunica con l’assistenza tecnica di Verizon e fornisce un ulteriore livello di sicurezza.
L’anno scorso, T-Mobile ha iniziato a offrire una « funzionalità di blocco della portabilità » per proteggersi da questi attacchi. Si tratta essenzialmente di un codice di autenticazione, distinto dalla password abituale per accedere all’account online, che è richiesto ogni volta che qualcuno tenta di apportare modifiche all’account, ad esempio per ottenere una nuova SIM. Chiedete a un rappresentante T-Mobile di aggiungere questo codice al vostro account. Questo può proteggervi da un pirata informatico che potrebbe fingersi voi, o da un truffatore che tenta di usare un’identità falsa in un negozio T-Mobile, perché gli verrà comunque richiesto di fornire il codice.
Sprint offre inoltre ai clienti un PIN separato da fornire durante lo scambio della SIM, oltre alla possibilità di rispondere a una domanda di sicurezza.
Ti consigliamo di chiamare direttamente il tuo operatore e di spiegargli che temi che dei criminali possano impossessarsi del tuo numero di telefono, chiedendogli quali misure di sicurezza aggiuntive puoi adottare per proteggere il tuo account.
NON ASSOCIATE IL VOSTRO NUMERO DI TELEFONO AI VOSTRI ACCOUNT ONLINE
Una volta che gli hacker rubano il vostro numero di telefono, lo utilizzano per reimpostare la password di qualsiasi account online associato al numero. In molti casi, ciò aggira l’autenticazione a due fattori. Ecco perché avere il controllo di un numero di telefono è così potente.
Se possibile, rimuovete il vostro numero di telefono da qualsiasi account che potrebbe interessare agli hacker. Potete comunque associare un numero di telefono a tali account, ma vi suggeriamo di usare un numero VoIP, come un numero Google Voice, che è immune al furto della SIM. Naturalmente, dovete proteggere anche questo numero, usando una password unica, l’autenticazione a due fattori sull’account e assicurandovi che non scada se non lo utilizzate regolarmente.
Per rimuovere il vostro telefono dal vostro account Gmail, accedete a myaccount.google.com, effettuate l’accesso (se necessario), quindi cliccate su Informazioni personali e privacy e Informazioni personali. Se avete il vostro numero, rimuovetelo. Assicuratevi inoltre di non avere un numero di telefono elencato in Opzioni di recupero dell’account. Al suo posto, aggiungete un’app di autenticazione come Google Authenticator per la verifica in due passaggi.
Se volete davvero avere un numero, vi suggeriamo di creare un nuovo numero Google Voice – da un account Gmail diverso, idealmente creato ad hoc – e di usare questo numero. Tenete presente che Google Voice è disponibile solo negli Stati Uniti, quindi altrove dovrete provare un altro servizio VoIP. (Suggerimento: create e salvate sempre i codici di recupero quando attivate la modalità a due fattori .)
Per rimuovere il vostro telefono dal vostro account Microsoft, accedete a account.live.com, andate su Sicurezza, quindi cliccate su Aggiorna informazioni sotto Aggiorna le informazioni di sicurezza. Se avete un numero di telefono, rimuovetelo, a meno che non si tratti di un numero Google Voice o di un altro numero VoIP.
Se utilizzate un dispositivo Apple, accedete a appleid.apple.com, effettuate l’accesso, quindi cliccate su Modifica accanto alla sezione Sicurezza. Aggiungete il vostro numero Google Voice o VoIP come numero di telefono attendibile, quindi rimuovete il vostro normale numero di telefono, se presente. Per iMessage e FaceTime, dovete comunque fornire il vostro numero di cellulare reale, ma potete usarne un altro come numero di telefono attendibile.
Su Twitter, cliccate sul vostro avatar, accedete a Impostazioni e privacy, quindi andate su Cellulare nel menu di destra. Se avete attivato la doppia verifica, dovrete fornire un numero. Per questo motivo, vi suggeriamo di fornire un numero VoIP o Google Voice in modo che gli hacker non possano scambiarlo. È anche possibile usare semplicemente un’app di autenticazione o una chiave di sicurezza e rimuovere completamente il vostro numero di telefono da Twitter.
La situazione è simile per Instagram: dall’app mobile, cliccate sul vostro avatar, quindi su Modifica profilo e sostituite il vostro numero con un numero VoIP o Google Voice. A differenza di Twitter, non è possibile rimuovere completamente il numero di telefono da Instagram senza disattivare la doppia verifica.
Per Facebook, selezionate Impostazioni sotto la freccia a discesa in alto a destra. Innanzitutto, cliccate su Cellulare nel menu di destra e rimuovete il vostro numero di telefono. Ora aggiungete il vostro numero Google Voice o un altro numero VoIP. Successivamente, accedete a Sicurezza e accesso (sempre nel menu di destra), cliccate su Modifica nell’opzione Utilizza l’autenticazione a due fattori e assicuratevi che il vostro nuovo numero VoIP o Google Voice sia presente.
Infine, per Amazon, cliccate su Account e liste, quindi su Il tuo account. Cliccate poi su Login e sicurezza, inserite la vostra password e verificate se il vostro numero è indicato. Se lo è, conoscete già l’esercizio: sostituitelo con il vostro numero VoIP o Google Voice.
Vi suggeriamo di fare lo stesso per Paypal, eBay, Netflix e altri account simili, nonché per la banca di vostra scelta.
