Co je SIM swapping a proč jsou SMS kódy slabým faktorem

Ověření pomocí SMS je rozšířené, protože je jednoduché: kód dostanete do telefonu a funguje bez instalace. Jeho slabinou je, že se spoléhá na telefonní číslo, ne na samotné zařízení. Číslo je však služba operátora, kterou lze za určitých okolností přesměrovat. Tento článek vysvětluje, co je SIM swapping a jak se před tímto útokem chránit.

Jak funguje SIM swapping

Při SIM swappingu se útočník vydává před operátorem za vás a žádá o převedení čísla na novou SIM kartu, kterou ovládá. Po úspěchu přicházejí všechny hovory a SMS na jeho zařízení, včetně ověřovacích kódů. Následně může spustit obnovu hesel k účtům, které jsou na vaše číslo vázané.

Útočníci používají osobní údaje získané z úniků dat, ze sociálních sítí nebo pomocí phishingu. Někdy se snaží ovlivnit i pracovníky operátora. Způsoby ochrany se liší podle operátora a země, proto se u svého poskytovatele informujte o dostupném zabezpečení čísla.

Další slabiny SMS

SMS zprávy nejsou šifrované end-to-end a procházejí sítěmi operátorů. Za určitých podmínek je lze zachytit nebo přesměrovat. Dalším problémem je phishing: falešná stránka vás požádá o kód a útočník ho okamžitě použije na skutečné stránce. Proti tomu nepomůže žádná metoda, která vyžaduje opsání kódu.

Telefon navíc může být zamčený nebo mimo dosah sítě a kód nepřijde včas. Při cestách do zahraničí s jinou SIM kartou můžete o ověřování přijít. Tato praktická omezení jsou dalším důvodem, proč je vhodné mít i jiný způsob ověření.

Lepší alternativy

Aplikace generující časově založené kódy nezávisejí na telefonním čísle a fungují offline. Odolnější vůči phishingu jsou hardwarové klíče a passkeys postavené na standardech FIDO, které ověřují pravou doménu. Přehled najdete v kategoriích autentikátory a bezpečnostní klíče.

Pokud služba nabízí jen SMS, použijte ji, ale číslo zabezpečte u operátora. U důležitých účtů, včetně kryptoměnových burz, upřednostněte silnější druhý faktor. Riziko ztráty prostředků při zneužití účtu nese uživatel a obvykle ji nelze zvrátit.

Jak se chránit před SIM swappingem

Zjistěte, jaké možnosti ochrany nabízí váš operátor: dodatečné heslo nebo PIN ke změnám na čísle, osobní ověření při výměně SIM. Omezte množství veřejně dostupných osobních údajů a nepoužívejte telefonní číslo jako jediný obnovovací kanál. Pro klíčové účty použijte jiný způsob obnovy.

Pokud váš telefon náhle bez zjevného důvodu ztratí signál a nedaří se ho obnovit, okamžitě kontaktujte operátora a z jiného zařízení změňte hesla k důležitým účtům. Související informace najdete v článku o vícefázovém ověření a ve slovníku.

Co dělat při podezření na převzetí čísla

Nejprve z jiného zařízení kontaktujte operátora a požádejte o ověření stavu SIM karty a čísla. Zároveň změňte hesla k nejdůležitějším účtům, nejdříve k e-mailu a finančním službám, a odhlaste všechny relace. Pokud je to možné, přejděte místo SMS na aplikaci nebo hardwarový klíč.

Zkontrolujte aktivitu na účtech a podezřelé transakce oznamte poskytovateli služby. U kryptoměn je situace citlivější, protože transakce jsou nevratné. Pravidelně si proto ověřujte, co máte na kterém účtu, a nenechávejte zbytečně větší částky na burzách.