Recentemente, dagli esperti di sicurezza informatica della società russa FACCT è giunto un preoccupante avviso: le tecniche di frode online stanno diventando sempre più sofisticate, mettendo a serio rischio la sicurezza dei conti correnti bancari. In particolare, l’attenzione è stata rivolta verso le eSIM, ovvero le SIM incorporate negli smartphone, che stanno gradualmente prendendo il posto delle tradizionali SIM fisiche. Sebbene le eSIM offrano indubbi vantaggi, come la facilità nel cambiare operatore telefonico, si è scoperto che possono anche agevolare azioni malevole da parte di hacker decisi a impossessarsi dei numeri di telefono altrui per poi attaccare i conti bancari associati.
FACCT, pur non divulgando dettagli che potrebbero favorire ulteriori attacchi, ha sottolineato l’esistenza di diverse tecniche per perpetrare queste frodi, rendendo il pericolo molto più imminente di quanto si potrebbe immaginare.
Comprendere le eSIM e il rischio di sicurezza
Le eSIM, acronimo di “Embedded Subscriber Identity Module”, rappresentano una versione moderna e integrata delle SIM card, saldate direttamente all’interno dei dispositivi mobili. Questa tecnologia elimina la necessità per l’utente di sostituire fisicamente la SIM quando si desidera cambiare numero o trasferirlo su un altro smartphone, richiedendo invece un’operazione a distanza da parte dell’operatore telefonico.
Il processo di attivazione di una eSIM normalmente richiede la scansione di un QR Code fornito dall’operatore. Tuttavia, è proprio in questa fase che un cybercriminale potrebbe intervenire, realizzando una frode conosciuta come “SIM swapping”. Questa pratica consiste nel dirottare il numero di telefono di un utente sulla eSIM controllata dall’hacker, che ne diventa così il nuovo “proprietario”.
Una volta che un malintenzionato riesce a impadronirsi del numero di telefono di una persona, le potenziali minacce alla sicurezza dei suoi account online si intensificano. FACCT evidenzia come, sfruttando credenziali rubate o ottenute tramite attacchi di forza bruta, gli hacker possano iniziare una portabilità non autorizzata del numero telefonico. Attraverso la creazione di un QR Code falsificato, possono attivare una nuova eSIM a nome della vittima, disattivando contemporaneamente la sua SIM o eSIM originale.
Questo non solo isola la vittima dal proprio numero di telefono ma apre la strada a ulteriori frodi, comprese quelle bancarie. Infatti, accedere al conto corrente di qualcuno e sottrarne i fondi richiede spesso il superamento di ulteriori barriere di sicurezza, come la Strong Customer Authentication (SCA). Quest’ultima, una forma di autenticazione a due fattori, include l’invio di password monouso (OTP) al numero di telefono registrato, indispensabili per autorizzare transazioni significative.