精选文章

如何保护自己免受Sim Swap攻击

2020-07-09 17:36:45 | 来源:中培企业IT培训网

在开始之前,我们先来了解一个小故事。就在去年八月,Twitter的首席执行官杰克·多尔西(Jack Dorsey)遭到一群黑客的妥协,杰克·多尔西借此机会向他的420万推特粉丝发布了反犹太主义和种族主义言论。在研究了该问题之后,Twitter的团队确认他已成为Sim Swapping Attack的受害者。

相同的攻击曾被用来入侵其他知名人物,例如杰西卡·阿尔芭(Jessica Alba),并耗尽像您和我这样的普通人的加密货币和传统银行帐户。那么如何保护自己免受Sim Swap攻击?这是所有问题的概述,以及如何保护自己免受下一个威胁。 如果能得到杰克·多尔西的方法,就能保护自己免受Sim交换攻击的简单方法。

  Sim交换的工作原理

现在,许多安全的网站和服务(例如银行,电子邮件和社交媒体)将我们的手机号码连接起来,作为第二种身份验证方式,目的是验证您是真实的人。这很容易,因为基本上我们每个人都有一个移动电话号码,这为试图创建大量假帐户的不良演员创造了进入障碍。

尽管此方法确实提供了一些好处和附加的安全级别,但它具有一些相当大的漏洞。

“模拟交换”是指犯罪分子与您的电话公司和社会工程师联系,或者欺骗他们,以将您的移动连接更改为他们控制的设备。例如,他们可能打电话给您的提供商,并假装是您,并说您的手机已被盗,您需要他们将服务切换到刚购买的新手机。

或者,他们可能只是口袋里有手机提供商的一名雇员,可以执行SIM卡交换而无需进行社会工程。

将您的SIM卡交换到新设备后,犯罪分子将收到您的所有短信和电话。然后,犯罪分子使用您的手机号码来重置密码并访问所有安全帐户,这通常会在几分钟之内帮助您保护自己的加密货币和银行帐户余额。

他们还可能将您拒于社交媒体或云存储服务之外,并要求赎金以换取安全返回您的个人信息。这种攻击的唯一一线希望是,一旦发生这种情况,您将立即知道,因为您的设备将失去服务。

很吓人吧?使用您电话号码的任何服务都容易受到此类攻击,世界上任何人都可以在没有任何特殊技术知识的情况下执行该攻击。

认为您的承运人可以确保您的安全?普林斯顿大学今年发表的一项研究发现,包括ATT,T-Mobile和Verizon等在内的美国主要运营商肯定容易受到Sim Swapping的影响。

要保持安全,就需要您采取积极行动。这里有一些保护自己的策略。

  首先要做的事情-启用2FA

尽管存在Sim Swapping的风险,但您应始终在帐户上启用2因子身份验证。通过使用用户名和密码之外的辅助密码发送到您的手机,这将确保您的帐户安全,从而可以访问您的帐户。2FA现在是大多数安全服务的标准功能,可以在登录名和安全设置中启用。

虽然我意识到我只是花了几段描述基于SMS的身份验证的缺点,但现实是启用它可以阻止大多数威胁。即使犯罪分子通过恶意软件或数据泄露来发现您的密码,他们仍然需要访问您的SMS消息才能进入您的帐户。

大多数攻击者都不会费心去执行SIM卡交换,而只会简单地转到没有启用2FA的目标。

就是说,重要的是要记住,许多服务将使您仅使用手机号码即可重置密码。因此,攻击者通常无需知道您的密码就可以使用Sim Swap来访问帐户。

您的第一道防线-沟渠短信

保护自己的最简单方法是选择可用的基于应用程序的2FA。虽然启用2FA总比没有好,但许多服务提供了两种。最常见的是基于SMS的,它将SMS发送到您的手机,并且容易受到Sim Swaps的攻击。不太常见但更安全的是基于应用程序的身份验证。

您的验证码不是通过短信发送给您,而是由您的移动设备上的Authenticator应用生成的,其中最受欢迎的是Google Authenticator。

您需要做的就是下载一个身份验证器应用程序,然后在每个帐户上配置2FA设置时选择基于应用程序的身份验证。系统将提示您使用身份验证器应用程序扫描QR码,然后进行设置!

当要求输入验证码时,只需打开手机上的应用程序,然后输入显示在您要访问的网站上的6位数字即可。

身份验证器应用程序不受Sim交换影响。这些应用程序依赖于您的物理设备特有的详细信息,而电话公司无法将其转移到另一设备。这意味着,即使攻击者设法接管了您的邮件,他们也将无法复制您的唯一身份验证码或进入您的帐户。

  最佳解决方案-私人电话号码

尽管在理想情况下,Authenticator应用程序可以解决我们所有的问题,但挑战在于许多网站不支持基于应用程序的身份验证。有趣的是,我所有的银行帐户和信用卡都提供基于SMS的身份识别作为唯一选择。那么我们如何保护自己呢?

由于我们知道可以利用任何和所有运营商进行此攻击,因此我们唯一的解决方案是使用没人知道的电话号码。如果攻击者不知道使用哪个号码,则无法执行“模拟交换”。令人高兴的是,安全服务不会向攻击者透露我们的电话号码-他们通常必须通过其他方式来找到它们。

没有人知道的电话号码打败了电话的要害,因此仅出于此目的而购买第二部电话是有意义的。

前往附近的大型零售商购买最便宜的预付费电话并计划。您只需要使用一次此手机。由于在这种情况下,我们不打算将此手机用作匿名工具,因此也可以在线订购。

Mint Mobile倾向于为我们的目的提供最实惠的计划,以5美元的价格提供7天的试用期。您可以使用与他们的服务兼容的备用手机,也可以购买便宜的,未锁定的翻盖手机,价格约为30美元。

有了预付费设备后,请按照说明继续操作并记下您的新私人移动电话号码。这是您将在所有服务中专用于2FA的数字。在继续之前,我们将希望切换到免费的移动套餐,这样您就不必每月都为Mint的无线服务付费。那就是Google语音的来源。

导航到Google语音并登录到您现有的Google帐户或创建一个新帐户。这是确保您的Google帐户已启用基于应用程序的2FA的好时机。注册后,您需要按照以下说明将您的私人预付费电话号码移植到Google语音。

完成此交易您需要支付少量费用,通常为20美元,但作为交换,您将可以永久免费地以该号码接收电话和短信!这比在我的书中从Mint购买每月计划要好。

虽然您可以使用Google语音从浏览器接受呼叫和短信,但我认为这很痛苦。建议您下载Google语音应用以在您的移动设备上接收文本。不用说,您不应该使用Google语音的转发服务将文本转发到您的主号码,因为这样做会违背本练习的目的。

在此阶段,您可以收起预付费翻盖手机或备用设备,因为您将不再需要它。

现在,您就可以在所有帐户上将其设置为2FA电话号码,知道您已受到完全保护。没有人知道您的新电话号码,即使他们找到了它,由于启用了基于应用程序的2FA,他们也无法进入您的Google帐户进行访问。

  免费VoIP电话号码如何?

实际上,Google语音和许多其他服务允许您免费注册电话号码,为什么我们不使用这些电话号码?您可以尝试-但大多数服务不接受VoIP号码。原因很简单:可以轻松,廉价地匿名获取,因此犯罪分子和其他不良行为者经常使用它们。

为了避免这种限制,我们首先在预付费运营商处注册了该号码,然后将其移植到VoIP服务。您使用的服务无法知道您如何接收消息,他们只知道为VoIP服务保留了哪些号码,并阻止了这些号码的注册。由于您使用的是最初为预付费运营商保留的号码,因此您会一目了然。

以上就是关于如何保护自己免受Sim Swap攻击的全部内容。尽管实施此安全措施的成本和时间不多,但与数据泄露的财务和情感复杂性相比,它显得苍白。该解决方案将有效地保护您免受大多数网络威胁的影响,而无需您付出太多努力。网络安全无疑是积极主动地值得付出的领域之一。想了解更多网络安全的信息,请继续关注中培伟业。

标签: 信息安全