Podvody typu SIM swap cílící na zákazníky Celcom, Maxis a Digi v Malajsii

Představte si, že se ráno probudíte a telefon nemá signál. Restartujete ho, zkontrolujete SIM – všechno vypadá v pořádku, ale síť nikde. O pár hodin později zjistíte, že váš bankovní účet je prázdný, e-peněženka vybraná a heslo k e-mailu změněné. Vítejte ve světě podvodů typu SIM swap.

Útoky SIM swap se v Malajsii prudce rozšířily a zasahují zákazníky všech velkých operátorů – Celcom, Maxis, Digi i U Mobile. Malajská komise pro komunikace a multimédia (MCMC) rostoucí hrozbu uznala a banky začaly své klienty před tímto typem podvodu varovat.

Jak podvod SIM swap funguje

Útok SIM swap nevyžaduje žádné technické hackování. Zneužívá postup, kterým operátoři nahrazují ztracené nebo poškozené SIM karty. Takto probíhá krok za krokem:

Krok 1: Shromáždění vašich údajů

Útočník získává vaše osobní údaje prostřednictvím:

• Úniků dat – uniklých databází s čísly IC (malajský občanský průkaz), telefonními čísly a adresami
• Sociálních sítí – veřejně sdílených narozenin, zaměstnavatele a telefonního čísla
• Phishingu – falešných e-mailů nebo SMS, jejichž cílem je vylákat osobní údaje
• Sociálního inženýrství – telefonátů, při kterých se vydává za pracovníka banky nebo úřadu

Krok 2: Návštěva prodejny operátora

S vaším číslem IC a osobními údaji v ruce útočník navštíví prodejnu operátora (nebo autorizovaného prodejce) a požádá o výměnu SIM. Může přitom:

• Použít falešný IC s vaším číslem, ale se svou fotografií
• Podplatit nebo zmanipulovat zaměstnance operátora
• Využít online proces výměny SIM s ukradenými přihlašovacími údaji
• Předložit podvodné policejní oznámení o krádeži SIM

Krok 3: Aktivace nové SIM

Jakmile je nová SIM aktivována, vaše původní SIM se deaktivuje. Telefon ztratí signál. Útočník teď dostává všechny hovory a SMS určené vám – včetně:

• Bankovních zpráv s kódem TAC (Transaction Authorization Code)
• Jednorázových kódů OTP (One-Time Password) pro e-peněženky
• Kódů pro obnovení hesla k e-mailu a sociálním sítím
• Kódů dvoufázového ověření

Krok 4: Vybrání vašich účtů

S přístupem k vašemu telefonnímu číslu útočník:

1. Obnoví heslo k vašemu internetovému bankovnictví pomocí ověření přes SMS
2. Přihlásí se do Maybank2u, CIMB Clicks nebo jiného bankovního portálu
3. Zadá převody na účty tzv. mul (prostředníků)
4. Vybere vaši Touch 'n Go eWallet, GrabPay a další propojené peněženky
5. Změní hesla k vašemu e-mailu a sociálním sítím, aby vás z nich vyřadil

Celý proces – od aktivace SIM po vybrání účtů – může proběhnout za méně než 30 minut.

Proč je Malajsie obzvlášť zranitelná

Zákazníky malajských operátorů činí obzvlášť zranitelnými několik faktorů:

Faktor	Vysvětlení
Systém postavený na IC	Téměř vše se odvíjí od vašeho 12místného čísla IC
Rozsáhlé úniky dat	Několik velkých úniků osobních údajů Malajsijců
TAC přes SMS	Mnoho bank stále standardně ověřuje transakce přes SMS
Síť prodejců	Tisíce autorizovaných prodejců s různou úrovní zabezpečení
Povinná registrace SIM	Propojení skutečné identity se SIM zvyšuje hodnotu čísla

Varovné signály útoku SIM swap

Signál	Co znamená
Náhlá ztráta mobilního signálu	Vaše SIM byla deaktivována
Nemůžete volat ani přijímat hovory	Na vašem čísle je aktivní nová SIM
Nečekané e-maily o obnovení hesla	Útočník přebírá vaše účty
Oznámení o bankovních transakcích, které jste nezadali	Někdo převádí peníze
Přátelé dostávají z vašeho čísla podivné zprávy	Útočník používá vaše číslo

Důležité: Pokud nečekaně ztratíte signál a během několika minut se neobnoví, nečekejte. Jednejte okamžitě.

Plán okamžité reakce

Pokud máte podezření na SIM swap:

1. Okamžitě kontaktujte svého operátora z jiného telefonu:
   • Celcom: 1111
   • Maxis: 123
   • Digi: 016-221 1800
   • U Mobile: 018-388 1318
2. Požádejte o okamžité pozastavení svého čísla.
3. Zavolejte na linku pro podvody své banky:
   • Národní centrum pro reakci na podvody (NSRC): 997
   • Maybank: 03-5891 4744
   • CIMB: 03-6204 7788
   • Public Bank: 03-2170 8000
4. Změňte hesla k e-mailu, bankovnictví a e-peněženkám ze zabezpečeného zařízení přes WiFi (ne přes mobilní data).
5. Podejte oznámení na policii na nejbližší stanici.
6. Nahlaste incident MCMC na aduan.skmm.gov.my.

Jak se chránit

Opusťte ověřování přes SMS

Toto je jediný nejdůležitější krok. Kde je to možné, nahraďte SMS TAC ověřováním v aplikaci:

Banka	Možnost ověření v aplikaci
Maybank	Secure2u
CIMB	SecureTAC
Public Bank	PB SecureSign
RHB	RHB Mobile Banking
Hong Leong	HLB Connect SecureSign

U e-peněženek zapněte biometrické ověření (otisk prstu nebo rozpoznání obličeje) místo spoléhání na SMS OTP.

Posilte zabezpečení účtu u operátora

• Nastavte si u operátora PIN pro výměnu SIM, pokud je k dispozici. Přidá další krok ověření před jakoukoli změnou SIM.
• Zapněte upozornění na účtu – někteří operátoři vás o změnách na účtu informují e-mailem.
• Používejte aplikaci operátora ke sledování stavu účtu.
• Zeptejte se operátora na ochranu proti přenosu čísla (port-out) – ta zabrání převedení vašeho čísla k jinému operátorovi bez dodatečného ověření.

Omezte svou expozici

• Omezte osobní údaje, které sdílíte na sociálních sítích.
• Používejte pro každý účet jedinečné heslo – pomůže správce hesel.
• Kde je to možné, zapněte dvoufázové ověření pomocí ověřovací aplikace (Google Authenticator, Microsoft Authenticator) místo SMS.
• Pravidelně kontrolujte svůj výpis z CCRIS kvůli neoprávněným žádostem o úvěr.

Sdílejte citlivá data opatrně

Když potřebujete s někým sdílet své telefonní číslo, údaje z IC nebo informace o účtu, neposílejte je v prostých textových zprávách. Použijte LOCK.PUB k vytvoření odkazů chráněných heslem, jejichž platnost po nastavené době vyprší (Pro). Citlivé informace tak nezůstanou natrvalo v historii chatu, odkud by je bylo možné získat, pokud by byl účet kompromitován.

Reakce telekomunikačního odvětví

Malajští operátoři zavedli proti podvodům SIM swap několik opatření:

• Biometrické ověření na prodejnách při výměně SIM
• Ochranné lhůty – někteří operátoři nyní aktivaci SIM odkládají, aby měl skutečný majitel čas reagovat
• SMS upozornění na stávající číslo před zpracováním výměny SIM
• Přísnější audity prodejců ke snížení podvodů ze strany zaměstnanců

Zavádění se však liší a síť prodejců zůstává slabým místem. Autorizovaní prodejci nemusí vždy dodržovat stejné bezpečnostní postupy jako oficiální prodejny operátorů.

Budoucnost zabezpečení SIM

MCMC připravuje přísnější pravidla pro výměnu SIM, mimo jiné:

• Povinné biometrické ověření při všech změnách SIM
• Systémy upozornění v reálném čase
• Centralizované hlášení podvodů se SIM
• Sankce pro zaměstnance operátorů zapojené do podvodných výměn SIM

Dokud nebudou tato opatření plně zavedena, nejlepší ochranou je prevence: přejděte na ověřování v aplikaci, sledujte své účty a při prvních známkách potíží jednejte rychle.

---

Chraňte svou digitální identitu. Sdílejte citlivé informace přes šifrované odkazy chráněné heslem na LOCK.PUB (omezená platnost s Pro).