El frau per segrest de SIM, també conegut com a SIM splitting, port-out scam, SIM swapping o simjacking, és una sofisticada forma de robatori d’identitat que aprofita vulnerabilitats en els protocols dels operadors de telefonia mòbil. Aquest tipus d’atac permet als delinqüents transferir fraudulentament el número de telèfon de la víctima a una targeta SIM sota el seu control.
Encara que a primera vista pugui semblar una simple pèrdua de cobertura, les conseqüències poden ser devastadores: accés a dades personals, robatori de comptes bancaris o wallets de criptomonedes, i fins i tot danys irreparables en la reputació de la víctima.
Què és una SIM?
Una SIM (Subscriber Identity Module) és un mòdul que emmagatzema informació essencial per a la comunicació mòbil, com el número de telèfon i les dades d’autenticació de l’operador. Tradicionalment, les SIM es presenten com petits xips físics que s’insereixen en els dispositius mòbils.
Actualment, però, també existeixen les eSIM, una versió digital integrada directament en el hardware dels dispositius moderns. Tant les SIM com les eSIM són imprescindibles per connectar-se a les xarxes de telefonia, actuant com un pont entre la identitat digital i física de l’usuari.
Com funciona el frau per segrest de SIM?
El segrest de SIM comença amb la recopilació d’informació personal de la víctima, obtinguda a través de xarxes socials, filtracions de dades, correus de phishing o tècniques d’enginyeria social. Amb aquestes dades, els atacants contacten amb l’operador mòbil suplantant la identitat de la víctima i sol·liciten la transferència del número a una nova SIM al seu nom, al·legant, per exemple, la pèrdua del dispositiu o de la targeta.
Un cop completada la transferència, els delinqüents poden interceptar trucades, missatges i codis d’autenticació en dos passos (2FA), obtenint així accés directe a comptes personals.
Aquesta porta oberta permet restablir contrasenyes de correus electrònics, xarxes socials i serveis financers, robar fons de comptes bancaris o wallets de criptomonedes, extorsionar la víctima o revendre les credencials a mercats il·legals. A més, poden afectar la seva reputació amb publicacions ofensives a les xarxes socials, com va passar en el conegut cas de Jack Dorsey, que comentarem més endavant.
Com reconèixer un atac per segrest de SIM
Detectar un segrest de SIM pot ser difícil, però hi ha senyals clares que t’han d’alertar immediatament:
- Pèrdua sobtada de cobertura mòbil: Si el teu telèfon deixa de funcionar sense motiu aparent —com perdre la senyal o no poder fer trucades—, podria ser un senyal que la teva SIM ha estat desactivada o compromesa.
- Notificacions sospitoses: Presta atenció a alertes o correus electrònics sobre intents de restabliment de contrasenyes o accessos no autoritzats als teus comptes.
- Incapacitat per fer trucades o enviar missatges: Si de cop no pots comunicar-te, és probable que el teu número s’hagi transferit a una altra SIM controlada pels atacants.
- Publicacions estranyes a xarxes socials: Si veus continguts o missatges inusuals publicats des dels teus perfils, és possible que els delinqüents ja en tinguin el control.
- Bloqueig de comptes: Dificultats per accedir al teu correu electrònic, xarxes socials o banca en línia podrien indicar que els teus comptes estan compromesos.
- Transaccions financeres no autoritzades: Moviments sospitosos o no reconeguts en els teus comptes bancaris o en wallets de criptomonedes són un senyal clar que les teves dades poden estar en risc.
Què fer si ets víctima d’un segrest de SIM
Si sospites que estàs patint aquest tipus de frau, actua immediatament seguint aquests passos:
- Contacta amb el teu operador mòbil: Informa de la situació, demana el bloqueig de la SIM afectada i sol·licita una nova targeta. A més, demana informació sobre com s’ha produït la transferència per detectar possibles negligències del proveïdor.
- Protegeix els teus comptes financers: Avisa al teu banc o plataforma digital, congela els comptes afectats i intenta revertir les operacions sospitoses. En el cas de criptomonedes, notifica-ho a l’exchange i recull els detalls de les transaccions per rastrejar els fons (tot i que recuperar-los pot ser molt difícil).
- Actualitza les teves contrasenyes i mètodes d’autenticació: Canvia les contrasenyes de totes les teves plataformes i desactiva l’autenticació via SMS, substituint-la per aplicacions d’autenticació més segures com Google Authenticator o Authy.
- Presenta una denúncia: Considera denunciar el cas davant les autoritats competents, com la policia cibernètica, i valorar una possible demanda contra l’operador si s’identifica una fallada en els seus protocols de seguretat. Encara que això no garanteix recuperar els actius perduts, pot contribuir a establir precedents i exigir responsabilitats.
- Supervisa les teves comptes: Mantén una vigilància activa sobre possibles activitats inusuals en totes les teves plataformes digitals.
Les xarxes socials són una font clau per als delinqüents que duen a terme atacs de segrest de SIM. La informació personal que comparteixes, com dates de naixement, noms de familiars o mascotes, i llocs de feina, pot ser utilitzada per suplantar la teva identitat.
A més, l’enginyeria social —una tècnica basada en la manipulació psicològica— juga un paper fonamental. Els atacants poden contactar amb empleats dels operadors mòbils i convèncer-los, mitjançant tàctiques d’urgència o empatia, perquè autoritzin el traspàs del número de telèfon.
El cas de Jack Dorsey: Un exemple de segrest de SIM
L’any 2019, Jack Dorsey, cofundador i exCEO de Twitter, va ser víctima d’un segrest de SIM. Els atacants van aconseguir el control del seu número de telèfon i van utilitzar la funció de “text a tweet” per publicar missatges ofensius des del seu compte oficial.
Aquest incident va demostrar que fins i tot figures públiques amb amplis coneixements en ciberseguretat poden ser vulnerables si els delinqüents aconsegueixen aprofitar debilitats en els sistemes d’autenticació mòbil.
Com protegir-te del segrest de SIM
Prevenir és la millor defensa. Et deixem algunes recomanacions essencials per reduir el risc:
- Limita la informació personal que comparteixes a xarxes socials: Evita publicar dades sensibles com el teu número de telèfon, adreça o qualsevol detall que pugui ajudar algú a suplantar-te.
- Utilitza autenticació amb app o dispositiu físic: Substitueix els codis SMS per mètodes més segurs com aplicacions d’autenticació (Google Authenticator, Authy…) o claus físiques com les basades en U2F o FIDO2.
- Activa l’autenticació biomètrica: Si el teu dispositiu ho permet, utilitza empremtes dactilars, reconeixement facial o escaneig d’iris per afegir una capa addicional de seguretat.
Altres mesures preventives importants
- Configura un PIN per a la teva SIM: Canvia el PIN predeterminat de la teva targeta SIM des de la configuració del dispositiu. A més, si el teu operador ho permet, activa un PIN específic per a la transferència del número, la qual cosa complica molt més els intents no autoritzats de segrest de SIM.
- Enforteix la seguretat amb el teu operador mòbil: Demana que s’activin contrasenyes úniques i preguntes de seguretat per accedir al teu compte de client. Alguns operadors també ofereixen alertes en temps real sobre intents de modificació del teu número o del perfil d’usuari.
- Utilitza gestors de contrasenyes: Aquestes eines generen i guarden contrasenyes robustes, reduint el risc que comptes importants es comprometin per l’ús de contrasenyes dèbils o repetides.
- Vincula comptes sensibles a mètodes més segurs: Sempre que sigui possible, evita utilitzar el teu número de telèfon com a mitjà d’autenticació en serveis crítics, com ara bancs o xarxes socials. Opta per aplicacions d’autenticació o claus físiques.
- Activa notificacions de seguretat: Configura alertes automàtiques en serveis com el correu electrònic, comptes bancaris o altres plataformes per rebre avisos immediats davant d’activitats sospitoses.
Claus d’autenticació física: la solució més robusta
Les claus físiques d’autenticació, basades en estàndards com U2F (Universal 2nd Factor) o FIDO2, són una de les eines més segures per prevenir el segrest de SIM. Aquest dispositiu físic, que cal connectar al mòbil o a l’ordinador per iniciar sessió, actua com una capa addicional de verificació que no es pot interceptar ni manipular fàcilment.
Què són i com funcionen?
Aquestes claus, com YubiKey o Titan Security Key, requereixen presència física per verificar l’accés a les teves comptes. Això elimina totalment el risc associat a l’autenticació per SMS, ja que els atacants no poden replicar ni transferir la clau física de manera remota.
Avantatges de les claus d’autenticació física:
- Compatibilitat amb múltiples plataformes, com Google, Microsoft o Facebook.
- Immunitat davant d’atacs remots o intents de suplantació.
- Ús més ràpid i senzill en comparació amb altres mètodes d’autenticació.
Aquest tipus de clau representa el sistema més robust contra fraus digitals, i implantar-les en les teves comptes més crítiques és una mesura fonamental per protegir-te davant amenaces com el segrest de SIM.
Conclusions
El frau per segrest de SIM és una amenaça creixent que pot afectar tant persones particulars com figures públiques. La millor defensa és la prevenció proactiva: reforçar la seguretat dels dispositius, usar mètodes d’autenticació avançats i limitar la informació personal disponible en línia.
Adoptar mesures com les claus físiques, eliminar l’ús d’SMS per a verificacions i configurar alertes de seguretat són accions concretes que poden reduir significativament el risc de ser víctima d’aquest tipus d’atac sofisticat.
Recursos:
[1] Immunebytes – How to protect yourself against a sim swap fraud
[2] Kaspersky – ¿Qué es el intercambio de SIM?
A Block&Capital, especialistes en selecció de personal, treballem per crear oportunitats on el creixement i l’èxit siguin a l’abast de tothom. Si estàs preparat per fer un pas endavant en la teva carrera professional, no dubtis a contactar amb nosaltres.
Últims posts
