Hace un año sentí un pánico que aún hoy resuena en mí. Los piratas informáticos cambiaron mi tarjeta SIM de T-Mobile sin mi aprobación, cerraron metódicamente el acceso a la mayoría de mis cuentas y comenzaron a comunicarse con mis amigos de Facebook para pedir prestado cripto. Sus tácticas de ingeniería social, para ser claros, eran ridículas, pero podrían haber sido catastróficas si mis amigos fueran menos inteligentes.
Avance un año y lo mismo me sucedió nuevamente: mi cobertura LTE desapareció alrededor de las 9 p.m. y parecía que mi teléfono estaba desconectado de la red. Presa del pánico, corrí a mi computadora para tratar de salvar todo lo que pude antes de que ocurrieran más daños. Fue una falsa alarma, pero mi pulso se aceleró y comencé a sudar frío. Ya había lidiado con esto una vez antes y no quería lidiar con eso de nuevo.
Lamentablemente, probablemente lo haga. Y tú también lo harás. El truco de intercambio de tarjetas SIM sigue vivo y bien y apunta a una y solo una solución: mantener su criptografía (y casi toda su vida) fuera de línea.
Las historias sobre hacks masivos basados en SIM han terminado. Más recientemente, un inversionista y representante de relaciones públicas de criptomonedas, Michael Terpin, perdió $ 24 millones a manos de los piratas informáticos que cambiaron su SIM de AT&T. Terpin está demandando al transportista por $ 224 millones. Esta medida, que podría sentar un precedente aterrador para los operadores, acusa a AT&T de “fraude y negligencia grave”.
De Krebs:
Terpin alega que el 7 de enero de 2018, alguien solicitó un intercambio de SIM no autorizado en su cuenta de AT&T, lo que provocó que su teléfono se apagara y enviara todos los mensajes de texto y llamadas telefónicas entrantes a un dispositivo que los atacantes controlaban. Armados con ese acceso, los intrusos pudieron restablecer las credenciales vinculadas a sus cuentas de criptomonedas y desviar casi $ 24 millones en monedas digitales.
Si bien podemos preguntarnos con incredulidad ante un inversionista criptográfico que mantiene su dinero en efectivo en una billetera en línea protegida por mensaje de texto, ¿cuántos otros servicios usamos que dependen de correos electrónicos o mensajes de texto, dos vectores fácilmente pirateados por ataques de suplantación de SIM? ¿Cuántos de nosotros nos resistiríamos a las técnicas que atrapó a Terpin?
Otro propietario de criptomonedas, Namek Zu’bi, perdió el acceso a su cuenta de Coinbase después de que los piratas informáticos cambiaron su SIM, iniciaron sesión en su cuenta y cambiaron su correo electrónico mientras intentaban domiciliaciones bancarias en su cuenta bancaria.
“Cuando los piratas informáticos se apoderaron de mi cuenta, intentaron realizar un débito directo en la cuenta. Pero debido a que bloqueé mis cuentas bancarias antes de que pudieran, parece que hay devoluciones de cargo bancarias en esa cuenta. Entonces, Coinbase esencialmente me está diciendo que lo siento, no puede recuperar su cuenta y no podemos ayudarlo, pero si desea usar la cuenta, debe $ 3K en devoluciones de cargo bancarias ”, dijo.
Ahora Zu’bi se enfrenta a un problema diferente: Coinbase lo acusa de tener $ 3,000 en mora y no le dará acceso a su cuenta porque no puede responder desde el correo electrónico del hacker.
“Traté de trabajar con la línea directa de coinbase que se supone debe ayudar con esto, pero no tenían ni idea incluso después de que les dije que el pirata informático cambió la dirección de correo electrónico en mi cuenta original y luego creó una nueva cuenta con mi dirección de correo electrónico. Desde entonces, he estado esperando que un ‘especialista’ me envíe un correo electrónico (se suponía que eran 4 días hábiles, han pasado 8 días) y todavía estoy bloqueado de mi cuenta porque el soporte de Coinbase no puede verificarme “, dijo. .
Ha sido un viaje frustrante.
“Como ávido partidario e inversionista en criptografía, me desconcierta cómo uno de los líderes del mercado que supuestamente acaba de lanzar soluciones de custodia de grado institucional apenas puede lidiar con un fraude básico de adquisición de cuentas”, dijo Zu’bi.
He estado usando carteras de hardware de Trezor durante un tiempo, guardándolas en lugares seguros fuera de mi casa y manteniendo un registro separado de las semillas en otra ubicación. Tengo muy pocas criptomonedas, pero incluso por una fracción de unos pocos BTC, tiene sentido practicar el almacenamiento seguro. En última instancia, si posee criptografía, ahora es su propio banco. Que confiaría en cualquier persona, incluido un banco fiduciario, para mantener segura su moneda digital es profundamente engañoso. Diablos, apenas confío en Trezor y parecen ser los únicos solución para un almacenamiento seguro ahora.
Cuando me piratearon por primera vez, publiqué recomendaciones del intercambio de cifrado Kraken. Todavía son aplicables hoy:
Llame a su compañía telefónica y:
Establezca un código de acceso / PIN en su cuenta
Asegúrese de que se aplique a TODOS los cambios de la cuenta Asegúrese de que se aplique a todos los números de la cuenta Pregúnteles qué sucede si olvida el código de acceso Pregúnteles qué sucede si también lo pierde
Instituir una congelación de puertos
Instituir un bloqueo de SIM
Agregar una bandera de alto riesgo
Cierre su cuenta de administración en línea basada en la web
Bloquear el registro futuro al sistema de gestión en línea
Hackearte a ti mismo
Vea qué información filtrarán
Vea qué cambios de cuenta puede realizar
También recomiendan cambiar su correo electrónico de telecomunicaciones a algo tremendamente inapropiado y usar un teléfono quemador o un número de Google Voice que esté completamente desconectado de sus cuentas regulares como una especie de ciego para sus mensajes de texto y alertas de dos factores.
Lamentablemente, hacer todas estas cosas es bastante difícil. Además, los transportistas no se lo ponen fácil. En mayo, un hombre de 27 años llamado Paul Rosenzweig fue víctima de un hack de intercambio de SIM a pesar de que tenía el bloqueo de SIM instalado en su cuenta. Un empleado deshonesto de T-Mobile pasó por alto la seguridad, lo que resultó en la pérdida de una cuenta única de Twitter y Snapchat de tres caracteres.
En última instancia, nada es seguro. La conclusión es simple: si está en criptografía, espere ser pirateado y espere que sea doloroso y frustrante. Lo que haga ahora (configurar una seguridad real de dos fábricas, descargar su criptografía en hardware físico, realizar copias de seguridad diligentes y proteger sus claves) hará que las cosas sean mucho mejores para usted a largo plazo. En última instancia, no querrá despertarse una mañana con el teléfono apagado y toda su criptografía desviada al bolsillo de un universitario como Joel Ortiz, un hacker que ahora se enfrenta a la cárcel por “13 cargos de robo de identidad, 13 cargos de piratería y dos cargos de hurto mayor”. Lamentablemente, ninguna de las criptomonedas que robó ha salido a la luz después de su arresto.
Source link