• El método, que se valía de la ingeniería social, consistía en persuadir a los operadores de telefonía para que transfirieran los servicios telefónicos de sus víctimas a una tarjeta SIM bajo su control.

La Europol, junto con la policía nacional española y rumana, ha arrestado a 26 personas en relación con el robo de más de 3,5 millones de euros (3,9 millones de dólares) mediante el secuestro de números de teléfono de personas a través de ataques de intercambio de tarjetas SIM. 12 personas eran de España y las otras 14 de Rumania.

Este hecho se produce en un momento en que los ataques de intercambio de SIM se están convirtiendo en una de las mayores amenazas tanto para los operadores de telecomunicaciones como para los usuarios de móviles. El método utilizado consiste en ingeniería social, concretamente en persuadir a los operadores de telefonía para que transfieran los servicios telefónicos de sus víctimas a una tarjeta SIM bajo su control.

El intercambio de la tarjeta SIM permite a los atacantes acceder a las llamadas telefónicas entrantes, a los mensajes de texto y a los códigos de verificación únicos (o contraseñas únicas) que varios sitios web envían a través de mensajes SMS como parte del proceso de autenticación de dos factores (2FA).

En este sentido, un estafador puede hacerse pasar por la víctima con un proveedor de cuentas en línea y solicitar el restablecimiento de la contraseña o un código de autenticación al dispositivo de intercambio de la tarjeta SIM controlado por los ciberdelincuentes. De este modo, el atacante puede restablecer las credenciales de inicio de sesión de la cuenta de la víctima y acceder a la cuenta sin autorización.

Aunque es poco probable que estos tipos de ataques desaparezcan pronto, aseguran desde la Europol, se pueden tomar ciertas medidas de prevención, como configurar un PIN para limitar el acceso a la tarjeta SIM, desvincular los números de teléfono de las cuentas en línea o utilizar una aplicación de autenticación o una clave de seguridad para proteger las cuentas.

Más información:

Europol (16/03/2020)