Incontrate gli hacker che maneggiano handle di Instagram e criptovalute sottratte in un mercato sotterraneo ombroso e brulicante di account e nomi utente rubati. Il loro punto debole? I loro numeri di telefono.
Il dirottamento della SIM è una minaccia poco conosciuta ma in crescita. Per imparare a impedire agli hacker di rubarvi il numero di telefono, leggete la nostra guida su come proteggervi da questi attacchi.
Sembrava una qualunque notte calda di settembre nella periferia di Salt Lake City. Rachel Ostlund aveva appena messo a letto i figli e si stava preparando ad andare a dormire anche lei. Stava inviando un messaggio di testo alla sorella quando, all’improvviso, il suo telefono cellulare ha perso il segnale. L’ultimo messaggio ricevuto da Rachel proveniva da T-Mobile, il suo operatore. La SIM associata al suo numero di telefono, come recitava il messaggio, era stata “aggiornata”.
Rachel ha fatto ciò che la maggior parte delle persone avrebbe fatto in quella situazione: ha spento e riacceso il telefono. Non ha funzionato.
Salì le scale e disse al marito Adam che il suo telefono non funzionava. Adam ha provato a chiamare il numero di Rachel dal suo cellulare. Squillava, ma il telefono nelle mani di Rachel non si accendeva. Nessuno rispondeva. Nel frattempo, Rachel ha effettuato l’accesso alla sua posta elettronica e ha notato che qualcuno stava reimpostando le password di diversi suoi account. Un’ora dopo, Adam ricevette una telefonata.
«Passami Rachel», ha chiesto una voce dall’altro capo della linea. “Subito.”
Adam ha risposto di no e ha chiesto cosa stesse succedendo.
“Vi fottiamo, vi violentiamo e stiamo distruggendo la vostra vita”, ha detto l’interlocutore. “Se sapete cosa è meglio per voi, passatemi vostra moglie.”
Adam ha rifiutato.
«Distruggeremo il vostro credito», ha proseguito la persona, citando membri della famiglia di Rachel e Adam, insieme ai loro indirizzi, dati che la coppia ritiene di aver ottenuto dall’account Amazon di Rachel. «Che cosa succederebbe se facessimo loro del male? Che cosa succederebbe se distruggessimo il loro credito e poi lasciassimo loro un messaggio che dice che è colpa vostra?
“Ti fottiamo, ti violentiamo e stiamo distruggendo la tua vita.”
La coppia non lo sapeva ancora, ma era appena diventata l’ultima vittima degli hacker che dirottavano numeri di telefono per impossessarsi di preziosi nomi utente di Instagram e venderli in cambio di Bitcoin. In quella notte di fine estate 2017, gli Ostlund stavano parlando con due di questi hacker, che avevano preso il controllo dell’account Instagram di Rachel, il cui nome utente era @Rainbow. Ora chiedevano a Rachel e Adam di rinunciare al suo account Twitter @Rainbow.
Nel fiorente mercato sotterraneo di handle di giochi e social media rubati, un nome utente unico e breve può valere da 500 a 5.000 dollari USA, secondo le persone coinvolte nel commercio e l’esame degli elenchi su un mercato popolare. Diversi hacker coinvolti nel mercato hanno affermato che l’account Instagram @t, ad esempio, è stato di recente venduto per circa 40.000 dollari in Bitcoin.
Il vostro telefono o Instagram è stato hackerato? Raccontaci la tua storia.Potete contattare questo giornalista in tutta sicurezza su Signal al +1 917 257 1382, sulla chat OTR all’indirizzo [email protected] o via email all’indirizzo [email protected].
Hackerando il numero di telefono di Rachel, i criminali sono riusciti a impossessarsi non solo del suo account Instagram, ma anche dei suoi account Amazon, Ebay, Paypal, Netflix e Hulu. Nessuna delle misure di sicurezza adottate da Rachel per proteggere alcuni di questi account, inclusa l’autenticazione a due fattori, ha più importanza una volta che gli hacker hanno preso il controllo del suo numero di telefono.
«Fu una notte molto tesa», ricordò Adam. “Non riesco a credere che abbiano avuto la faccia tosta di chiamarci.”
IMMAGINE: SHUTTERSTOCK
UNA MINACCIA SOTTOVALUTATA
A febbraio, T-Mobile ha inviato un SMS di massa mettendo in guardia i clienti da una minaccia «settoriale». Secondo la società, i criminali utilizzano sempre più una tecnica chiamata «truffa del port-out» per prendere di mira e sottrarre i numeri di telefono delle persone. La truffa, nota anche come SIM swapping o dirottamento della SIM , è semplice ma estremamente efficace.
Innanzitutto, i criminali chiamano il numero dell’assistenza tecnica di un operatore di telefonia mobile fingendosi la propria vittima. Spiegano al dipendente dell’azienda di aver “perso” la SIM, chiedendo che il loro numero di telefono venga trasferito su una nuova SIM che i pirati possiedono già. Con un po’ di ingegneria sociale – magari fornendo il codice fiscale della vittima o l’indirizzo di casa (spesso disponibili grazie a una delle numerose violazioni di dati degli ultimi anni) – i criminali convincono il dipendente di essere chi dicono di essere, e a quel punto il dipendente trasferisce il numero di telefono sulla nuova SIM.
Gioco terminato.
“Con il numero di telefono di qualcuno”, mi ha spiegato un hacker che esegue lo scambio della SIM, “puoi accedere a ogni account che possiedono in pochi minuti e non possono farci nulla.”
UNO SCREENSHOT DEL MESSAGGIO DI TESTO CHE RACHEL OSTLUND HA RICEVUTO QUANDO GLI HACKER HANNO RIPRESO IL SUO NUMERO DI TELEFONO.
Da quel momento, la vittima perde il servizio, dato che una sola SIM alla volta può essere collegata alla rete mobile con un determinato numero. E gli hacker possono reimpostare gli account della vittima e aggirare spesso le misure di sicurezza, come l’autenticazione a due fattori, utilizzando il numero di telefono come metodo di recupero.
Alcuni servizi, Instagram compreso , richiedono agli utenti di fornire un numero di telefono durante la configurazione dell’autenticazione a due fattori, condizione che ha l’effetto inatteso di offrire agli hacker un altro metodo per accedere a un account. Infatti, se gli hacker prendono il controllo del numero di una vittima, possono aggirare la doppia verifica ed entrare nel suo account Instagram senza nemmeno conoscere la password. ( Consultate la nostra guida su come proteggere il vostro numero di telefono e gli account associati dagli hacker .)
Eric Taylor, un hacker noto in precedenza come CosmoTheGod , ha usato questa tecnica per alcune delle sue imprese più celebri, come quando ha violato l’account email del CEO di CloudFlare nel 2012. Taylor, che ora lavora per la società di sicurezza Path Network , mi ha detto che avere un numero di telefono associato a uno dei propri account online ti rende “vulnerabile a ragazzini di 13-16 anni che prendono il controllo dei tuoi account semplicemente prendendo il tuo telefono meno di cinque minuti dopo aver chiamato il tuo fottuto operatore.”
«Succede continuamente», ha aggiunto.
Hai una segnalazione? Puoi contattare questo giornalista in modo sicuro su Signal al +1 917 257 1382, via chat OTR all’indirizzo [email protected] o via email a [email protected].
Roel Schouwenberg, direttore dell’intelligence e della ricerca presso Celsus Advisory Group, ha condotto ricerche su problemi come lo scambio di SIM, l’aggiramento dell’autenticazione a due fattori e l’uso improprio dei meccanismi di recupero degli account. A suo parere, nessun numero di telefono è completamente sicuro e i consumatori devono esserne consapevoli.
«Qualsiasi tipo di numero può essere trasferito», mi ha detto Schouwenberg. «Un attore criminale determinato e dotato di risorse riuscirà a ottenere almeno un accesso temporaneo a un numero, che spesso basta per portare a termine una rapina.»
È inquietante, perché i numeri di telefono cellulare sono diventati delle «chiavi principali» di tutta la nostra identità online, come lo ha spiegato in un articolo di blog l’anno scorso.
«La maggior parte dei sistemi non è progettata per affrontare aggressori che si appropriano di numeri di telefono. È davvero molto grave», ha scritto Schouwenberg. «Il nostro numero di telefono è diventato un identificatore quasi irrevocabile. Non è mai stato concepito come tale, così come i numeri di previdenza sociale non sono mai stati concepiti come riferimenti. Oggi un numero di telefono fornisce la chiave del regno per la maggior parte dei servizi e degli account. “
Ciò che gli hacker fanno una volta che controllano il vostro numero di telefono dipende esattamente da ciò che cercano.
“Prendo i loro soldi e vivo la mia vita”
Se la vostra bicicletta viene rubata, dovete controllare su Craigslist se qualcuno la sta vendendo al mercato nero. Se il vostro account Instagram viene rubato tramite uno scambio di SIM, dovete controllare OGUSERS.
A prima vista, OGUSERS somiglia a qualsiasi altro forum. Esiste una sezione «spam / scherzi» e un’altra per discutere di argomenti come musica, intrattenimento, anime e giochi. Ma la parte più importante e più attiva è il mercato in cui gli utenti acquistano e vendono nickname di giochi e social media, a volte per migliaia di dollari.
In un messaggio recente, qualcuno ha venduto l’account Instagram @Bitcoin per 20.000 dollari, secondo uno degli amministratori del forum. In un elenco ancora online al 13 giugno, un utente annunciava la vendita di @eternity su Instagram a 1.000 dollari.
Questi sono solo due esempi del tipo di account in vendita su OGUSERS. Il forum è stato lanciato nell’aprile 2017 per offrire alle persone un luogo dove acquistare e vendere nomi utente «OG». (Il forum prende il nome dal termine gergale OG, abbreviazione di “gangster originale”.) Un OG su un social network è un nome utente considerato figo, forse perché è una parola unica come @Sex, @Eternity o @Rainbow. Oppure forse perché è un nickname molto corto, come @t o @ty. Anche le celebrità sono state prese di mira.
UNO SCREENSHOT DELL’ACCOUNT INSTAGRAM DI SELENA GOMEZ DOPO L’HACKERAGGIO.
Nell’agosto dell’anno scorso, ad esempio, degli hacker hanno dirottato l’account Instagram di Selena Gomez e pubblicato foto nude di Justin Bieber. Anche il primo nome visualizzato sull’account di Gomez è stato sostituito con «Islah», identico a quello usato all’epoca da una persona appartenente a OGUSERS e con il nome utente Islah. Secondo alcuni hacker di OGUSERS, le persone che affermano di essere dietro l’hack di Gomez hanno dichiarato di averlo fatto riprendendo il controllo del numero di cellulare associato all’account Instagram della cantante e attrice, che contava 125 milioni di follower al momento della stesura.
«Santo cielo, hanno davvero hackerato la persona più seguita su Instagram», ha commentato un membro di OGUSERS in un thread intitolato «RIP SELENA GOMEZ».
Un portavoce di Gomez ha rifiutato di commentare via email.
