SIM-swap

SIM-swap: prevencia a signály útoku

SIM-swap (tiež výmena SIM, SIM hijacking alebo SIM jacking) je typ sociálneho inžinierstva a podvodu, pri ktorom útočník presmeruje vaše telefónne číslo na SIM kartu, ktorú kontroluje. Následne získava jednorazové SMS kódy, resetuje heslá a preberá účty – od e-mailu a sociálnych sietí až po internet banking a kryptopeňaženky. Útok je nebezpečný preto, že telefónne číslo je v mnohých ekosystémoch stále považované za „dôveryhodný“ identifikátor.

Ako SIM-swap funguje: typický reťazec útoku

1. Zber informácií o obeti (OSINT): útočník zhromažďuje meno, dátum narodenia, adresu, e-mail, posledné štyri číslice účtu, či odpovede na bezpečnostné otázky z verejných zdrojov, únikov dát, sociálnych sietí a phishingu.
2. Kontaktovanie operátora: cez zákaznícku linku, chat, predajné miesto alebo kompromitovaného insidera sa útočník snaží presadiť výmenu SIM/eSIM alebo prenos čísla (port-out) na svoju kartu.
3. Prevzatie čísla: po úspešnej autentifikácii (často len formálnej) sa číslo presmeruje. Vaša pôvodná SIM stratí sieť.
4. Eskalačná fáza: reset hesiel účtov pomocou SMS, prelamovanie 2FA viazaného na číslo, uzamknutie obete z kritických služieb a finančné transakcie.

Primárne vektory kompromitácie

• Sociálne inžinierstvo na operátora: predstieranie identity, naliehavosť („stratil som telefón“), napodobnené dokumenty.
• Phishing a vishing: podvrhnuté e-maily/SMS/volania zbierajúce „overovacie“ údaje alebo jednorazové kódy.
• Úniky z iných služieb: dáta z porušených databáz slúžia na sekundárne overenie u operátora.
• Insider threat: podplatený alebo kompromitovaný pracovník predajného miesta.
• Slabé procesy pri prenose čísla: nedostatočné „port-out“ bloky, chýbajúca dodatočná autentifikácia.

Včasné signály, že prebieha alebo prebehol SIM-swap

• Náhla strata signálu (hlas/SMS/dáta) bez výpadku v okolí a bez vášho zásahu; ikona „No Service“ alebo „Emergency calls only“.
• Vlna e-mailov o resetovaní hesla a nečakané bezpečnostné upozornenia z rôznych služieb.
• SMS notifikácie o prenose čísla/eSIM aktivácii prijaté tesne pred stratou siete (niekedy až po obnovení prístupu cez e-mail).
• Prihlásenia z nových zariadení alebo zmena zotavovacích údajov (recovery e-mail/telefón) bez vášho vedomia.
• Bankové upozornenia na nové zariadenie, aktiváciu mobilného bankovníctva alebo pokusy o platbu.
• Komunikačné aplikácie (WhatsApp/Signal/Telegram) hlásia re-registráciu vášho čísla na inom zariadení.

Okamžité kroky pri podozrení na útok

1. Kontaktujte operátora z alternatívneho kanála (iný telefón, pobočka, online chat) a požiadajte o urgentné zablokovanie prenosu, vrátenie čísla a vyšetrenie výmeny SIM. Trvajte na zázname incidentu.
2. Dočasne zmrazte finančné kanály: deaktivujte mobilné bankovníctvo, požiadajte o dočasné blokovanie prevodov/kartových transakcií.
3. Resetujte heslá a 2FA z bezpečného zariadenia. Uprednostnite aplikátorové (TOTP) alebo hardvérové 2FA a odstráňte telefónne číslo ako faktor.
4. Skontrolujte e-mailové účty (výmena recovery údajov, pravidlá preposielania, nové filtre, prihlásenia). E-mail je „kľúč ku všetkému“.
5. Oznámte incident banke, zamestnávateľovi (ak ide o pracovné účty) a podľa potreby polícii/poisťovni (pre krytie škôd).
6. Auditujte zariadenia a aplikácie: odhláste všetky relácie, zrušte nové autorizované zariadenia, skontrolujte, či nedošlo k aktivácii SMS preposielania.

Strategická prevencia: znižovanie rizika pred útokom

• Neopierajte sa o telefónne číslo ako 2FA faktor: preferujte TOTP (aplikátor), hardvérové kľúče (FIDO2/U2F) alebo push notifikácie viazané na zariadenie. SMS nech je posledná možnosť.
• Zapnite „port-out freeze“ / zákaz prenosu čísla: kde je dostupné, vyžadujte špeciálny PIN/heslo pre každý prenos alebo výmenu SIM/eSIM.
• Operátorový bezpečnostný PIN a poznámka k účtu: nastavte jedinečný kód na obsluhu účtu, ktorý sa nezhoduje s inými heslami; žiadajte poznámku o neakceptovaní zmien bez fyzického dokladu a dodatočnej verifikácie.
• Minimalizujte stopu osobných údajov: nepublikujte dátum narodenia, adresu, rodné číslo; opatrne s kvízmi a formulármi, ktoré zbierajú „bezpečnostné otázky“.
• Oddelenie identít: rozdeľte kritické účty (banky, burzy, správca hesiel) na iný e-mail a iný 2FA faktor než bežné účty.
• Správca hesiel a jedinečné heslá: dlhé, náhodné, unikátne; pravidelné skeny únikov; deaktivujte SMS ako fallback, ak to služba umožňuje.
• Bezpečná eSIM prax: chráňte QR aktivácie, nepoužité profily bezpečne zmažte; nevystavujte aktivačné kódy e-mailom bez šifrovania.
• Firemné zásady: BYOD/Mobile-MDM, povinné ne-SMS 2FA do kritických systémov, procesy pre stratu čísla, školenia proti vishingu.

Hardening u operátora: čo požadovať

• Silná viacfaktorová verifikácia pri zmene SIM/port-out: kombinácia znalostných a vlastnených faktorov, prípadne overenie na existujúcom zariadení.
• „No-swap“ vlajka a schvaľovanie: zmeny len na predajni s platným dokladom a druhotným overením; telefonicky iba s bezpečnostným PIN.
• Auditná stopa a notifikácie: okamžité SMS/e-mail upozornenia na požiadavku a realizáciu zmeny s možnosťou okamžitej blokácie.
• Obrana proti insiderom: princíp najmenších oprávnení, segregácia povinností, detekcia anomálií v zákazníckych zásahoch.

Špecifiká pre e-mail a sociálne siete

• E-mail: zapnite security key alebo TOTP, zmeňte recovery telefón na sekundárny, ktorý nie je verejne známy, a pridajte recovery kódy.
• Komunikačné aplikácie: nastavte PIN/Lock (napr. WhatsApp 2-step verification), skryte obsah notifikácií, obmedzte viditeľnosť čísla v profile.
• Cloud a úložiská: revízia prístupov, vypnutie SMS fallbacku, kontrola prepojených aplikácií (OAuth).

Rozpoznávanie sociálneho inžinierstva

Varovné znaky: naliehavosť („ihneď overte identitu” pod hrozbou blokácie), žiadosť o celé rodné číslo, fotografie dokladov cez chat, diktovanie jednorazových kódov, žiadosť o vzdialený prístup. Legitímne subjekty nikdy nežiadajú jednorazové kódy na „overenie“ bez iniciácie z vašej strany.

Špeciálne scenáre a odporúčania

• Cestovanie a roaming: pred odchodom aktivujte port-out freeze, pripravte offline recovery kódy, informujte banku a zvážte dočasné odstránenie čísla z kritických účtov.
• Rodinní príslušníci: najzraniteľnejší sú tínedžeri a seniori; nastavte bezpečnostné PIN a spoločný plán reakcie.
• Podnikové čísla: katalogizujte čísla viazané na 2FA, u operátora zaveďte „high-risk“ politiku, sledujte anomálie v prihláseniach.

Metriky pripravenosti a detekcie

• Podiel účtov bez SMS 2FA (vyšší je lepší).
• Čas detekcie straty siete → blokácia port-out (minúty).
• Pokrytie port-out freeze v rámci organizácie.
• Počet incidentov s neautorizovanou výmenou SIM mesačne/štvrťročne.
• Úspešnosť školení proti vishingu (simulácie).

Časté mýty a omyly

• „Mám 2FA, som v bezpečí.“ Ak je 2FA viazaná na SMS, SIM-swap ju obchádza.
• „eSIM je imúnna.“ Nie; proces vydania eSIM môže byť zneužitý, ak je overenie slabé.
• „Operátor by to neumožnil.“ Aj pri dobrom procese rozhoduje ľudský faktor a omyly na podporách.

Kontrolný zoznam (osobný aj firemný)

• Vypnuté SMS ako primárna 2FA všade, kde je to možné.
• Aktívny port-out freeze a operátorový bezpečnostný PIN.
• Recovery kódy uložené offline; oddelené identity pre kritické účty.
• Monitorovanie bezpečnostných upozornení a okamžitý postup pri strate siete.
• Školenie proti vishingu a phishingu; interný „runbook“ pre incident.

SIM-swap je útok na procesy, nie na kryptografiu. Najlepšia obrana preto spočíva v odstránení telefónneho čísla z reťazca dôvery, sprísnení operátorských zmien, znižovaní dostupnosti osobných údajov útočníkom a v rýchlej reakcii pri prvých signáloch. Kombinácia technických opatrení a disciplinovaných postupov výrazne znižuje šancu, že sa vaše číslo stane bránou k vašej digitálnej identite a financiám.