Les nouvelles règles de la FCC vont réduire le SIM swapping. Je suis pessimiste.

Après des années d’inaction, la FCC a annoncé cette semaine qu’elle allait enfin protéger les consommateurs contre une escroquerie qui prend le contrôle de leurs numéros de téléphone portable en trompant des employés travaillant pour les opérateurs de téléphonie mobile. Alors que les commissaires se félicitaient de ce geste, il y a peu de raisons de croire que cela mettra fin à une pratique qui est trop courante depuis plus d’une décennie. Les escroqueries, connues sous le nom de « SIM swapping » et de « port-out fraud », ont toutes les deux le même objectif: s’emparer du numéro de téléphone portable d’un propriétaire légitime en trompant les employés de l’opérateur qui le gère. Le SIM swapping se produit lorsque des criminels se font passer pour quelqu’un d’autre et demandent que le numéro de la victime soit transféré à une nouvelle carte SIM, généralement sous le prétexte que la victime vient d’obtenir un nouveau téléphone. Dans les escroqueries de port-out, les criminels font à peu près la même chose, sauf qu’ils trompent l’employé de l’opérateur en transférant le numéro cible vers un nouvel opérateur. Ce type d’attaque existe depuis plus de 10 ans et est devenu plus courant avec l’exubérance irrationnelle qui a fait augmenter le prix du Bitcoin et d’autres crypto-monnaies. Les personnes stockant de grandes quantités de pièces numériques ont été fréquemment visées. Une fois que les criminels prennent le contrôle d’un numéro de téléphone, ils déclenchent des réinitialisations de mot de passe fonctionnant par clic sur des liens envoyés dans des messages textes. Les criminels vident ensuite les comptes en crypto-monnaie et bancaires traditionnels. La pratique est devenue si courante qu’une industrie entière de service de SIM swap a surgi. Plus récemment, ces escroqueries ont été utilisées par des acteurs de menace pour cibler et, dans certains cas, pénétrer avec succès les réseaux d’entreprise appartenant à certains des plus grandes organisations mondiales. Les criminels poursuivant ces escroqueries sont étonnamment habiles dans l’art du jeu de la confiance. Lapsus$, un groupe de menace composé principalement d’adolescents, a utilisé à plusieurs reprises des transferts de SIM et d’autres formes d’ingénierie sociale avec un niveau de succès déroutant. De là, les membres utilisent les numéros commandés pour pénétrer d’autres cibles. Juste le mois dernier, Microsoft a présenté un groupe jusqu’alors inconnu qui utilise régulièrement des transferts de SIM pour séduire les entreprises fournissant des services de traitement des télécommunications mobiles.