La FCC dice que las nuevas reglas frenarán el intercambio de SIM. soy pesimista

Después de años de inacción, la FCC dijo esta semana que finalmente protegerá a los consumidores contra una estafa que toma el control de sus números de teléfono celular engañando a los empleados que trabajan para operadores de telefonía móvil. Si bien los comisionados se felicitaron por la medida, todavía hay pocas razones para creer que detendrá una práctica que ha sido demasiado común durante la última década.

Las estafas, conocidas como “intercambio de SIM” y “fraude de transferencia”, tienen el mismo objetivo: arrebatar el control de un número de teléfono celular a su legítimo propietario engañando a los empleados del operador que lo atiende. El intercambio de SIM ocurre cuando los delincuentes se hacen pasar por otra persona y solicitan que el número de la víctima sea transferido a una nueva tarjeta SIM, generalmente con el pretexto de que la víctima acaba de obtener un teléfono nuevo. En las estafas de transferencia, los delincuentes hacen prácticamente lo mismo, excepto que engañan al empleado del operador para que transfiera el número objetivo a un nuevo operador.

Esta clase de ataque existe desde hace más de una década y se volvió más común en medio de la exuberancia irracional que hizo subir el precio de Bitcoin y otras criptomonedas. Las personas que almacenan grandes sumas de monedas digitales han sido objetivos frecuentes. Una vez que los delincuentes toman el control de un número de teléfono, activan restablecimientos de contraseña que funcionan haciendo clic en enlaces enviados en mensajes de texto. Luego, los delincuentes vacían las criptomonedas y las cuentas bancarias tradicionales.

La práctica se ha vuelto tan común que toda una Intercambio de SIM como servicio industria ha surgido. Más recientemente, estas estafas han sido utilizadas por actores de amenazas para atacar y, en algunos casos, violar con éxito redes empresariales que pertenecen a algunas de las organizaciones más grandes del mundo.

Los delincuentes que persiguen estas estafas son sorprendentemente expertos en el arte del juego de la confianza. Lapsus$, un grupo de amenazas compuesto en su mayoría por adolescentes, ha utilizado repetidamente intercambios de SIM y otras formas de ingeniería social con un nivel de éxito confuso. A partir de ahí, los miembros utilizan números requisados ​​para atacar otros objetivos. El mes pasado, Microsoft perfiló un grupo previamente desconocido que regularmente utiliza intercambios de SIM para atrapar a empresas que brindan servicios de procesamiento de telecomunicaciones móviles.

Una clave del éxito del grupo, al que Microsoft llama “Octo Tempest”, es su minuciosa investigación que le permite hacerse pasar por víctimas en un grado que la mayoría de la gente nunca imaginaría. Los atacantes pueden imitar el idiolecto distintivo del objetivo. Tienen un fuerte dominio de los procedimientos utilizados para verificar que las personas son quienes dicen ser. No hay razón para pensar que las reglas no serán fáciles de cumplir para grupos como estos con un mínimo esfuerzo adicional.

Reglas vagas

Esta semana, la FCC finalmente dijo que iba a poner fin al intercambio de SIM y al fraude de transferencia. Las nuevas reglas, el comisión dijo, “requieren que los proveedores de servicios inalámbricos adopten métodos seguros para autenticar a un cliente antes de redirigir el número de teléfono de un cliente a un nuevo dispositivo o proveedor. Las nuevas reglas requieren que los proveedores de servicios inalámbricos notifiquen inmediatamente a los clientes cada vez que se realice un cambio de SIM o una solicitud de transferencia en las cuentas de los clientes y tomen medidas adicionales para proteger a los clientes del fraude de transferencia y intercambio de SIM”.

Pero no existe una guía real sobre cuáles deberían ser estos métodos de autenticación segura o qué constituye una notificación inmediata. En cambio, las reglas de la FCC se redactaron para brindar explícitamente a “los proveedores de servicios inalámbricos la flexibilidad de ofrecer las medidas de protección contra fraude más avanzadas y apropiadas disponibles”. Al desafío se suma un grupo de transportistas con empleados mal pagados y mal capacitados y culturas impregnadas de apatía y descuido.

Nada de esto quiere decir que la FCC no creará en última instancia reglas que proporcionen un control significativo de una estafa que ha alcanzado proporciones epidémicas. Significa que el problema será extremadamente difícil de resolver.

Por el momento, los intercambios de SIM y las estafas de transferencia son una realidad, y hay pocos motivos para ser optimistas de que un puñado de requisitos vagamente redactados marquen la diferencia. Por ahora, lo mejor que puede hacer es, cuando sea posible, asegurarse de que las cuentas estén protegidas mediante un PIN o una contraseña verbal y seguir estas instrucciones. precauciones adicionales proporcionada por la Comisión Federal de Comercio.