Podvody se SIM swap v Indonésii: jak útočníci vyberou váš účet a e-peněženku

Podvod SIM swap patří k nejničivějším kybernetickým útokům, které postihují indonéské uživatele mobilních telefonů. Při úspěšném SIM swapu útočník převezme kontrolu nad vaším telefonním číslem — a s ním i nad každým účtem, který spoléhá na ověření přes SMS. Během několika minut může vybrat váš bankovní účet, vyprázdnit e-peněženky a odříznout vás od celého digitálního života.

Indonésie ve velké míře spoléhá na OTP (jednorázová hesla) zasílaná přes SMS u bank, e-peněženek i státních služeb, a její obyvatelé jsou proto obzvlášť zranitelní. Takto přesně tento útok funguje a takto se proti němu bránit.

Jak funguje útok SIM swap

Řetězec útoku

Krok 1: Shromažďování informací
    ↓
Krok 2: Výměna SIM karty
    ↓
Krok 3: Zachycení OTP
    ↓
Krok 4: Převzetí účtů
    ↓
Krok 5: Vybrání peněz

Krok 1: Shromažďování informací

Před útokem podvodník shromáždí vaše osobní údaje:

Potřebná informace	Jak ji získají
Celé jméno	Sociální sítě, úniky dat
NIK (číslo KTP)	Úniky dat (úniky z BPJS a Dukcapil)
Telefonní číslo	Sociální sítě, vizitky, úniky dat
Rodné příjmení matky	Sociální inženýrství, slídění na sociálních sítích
Datum narození	Sociální sítě, úniky dat
Adresa	Úniky dat, sociální sítě
Nedávná historie transakcí	Sociální inženýrství přes falešné hovory z banky

Kvůli rozsáhlým únikům dat v Indonésii (popsaným v našem průvodci únikem dat NIK/KTP) je většina těchto informací snadno k mání na tržištích na dark webu.

Krok 2: Výměna SIM karty

S vašimi osobními údaji v ruce se útočník obrátí na mobilního operátora — Telkomsel, Indosat Ooredoo Hutchison, XL Axiata nebo Smartfren — a požádá o výměnu SIM karty. Může přitom:

• Navštívit kamennou pobočku s falešnou KTP odpovídající vaší identitě
• Zavolat na zákaznickou linku a projít ověřovacími otázkami díky vašim uniklým údajům
• Podplatit zaměstnance operátora — hrozba zevnitř je doloženým vektorem útoku
• Použít podvodnou plnou moc, podle níž jedná vaším jménem

Krok 3: Zachycení OTP

Jakmile je nová SIM karta aktivována, váš telefon okamžitě ztratí signál. Všechny vaše SMS zprávy nyní přijímá SIM útočníka, včetně:

• Bankovních OTP
• Ověřovacích kódů e-peněženek
• Kódů pro obnovení hesla k e-mailu
• Ověřovacích kódů WhatsApp
• OTP státních služeb

Krok 4: Převzetí účtů

Útočník rychle prochází vaše účty:

1. Obnoví heslo k mobilnímu bankovnictví pomocí SMS OTP
2. Přihlásí se do vašich účtů GoPay, OVO a DANA
3. Převezme váš e-mail obnovením hesla přes SMS
4. Získá přístup ke všem dalším účtům propojeným s vaším telefonním číslem

Krok 5: Vybrání peněz

Cíl	Metoda	Rychlost
Bankovní účet	Převod na účty bílých koní	Minuty
GoPay	Převod nebo nákup	Minuty
OVO	Převod do banky nebo nákup	Minuty
DANA	Převod na propojený účet	Minuty
Zůstatek na Tokopedii	Nákup a další prodej zboží	Hodiny
Kryptoburza	Výběr do externí peněženky	Minuty

Celý proces — od aktivace SIM po vyprázdněné účty — může trvat méně než 30 minut.

Varovné signály probíhajícího SIM swapu

Včasné rozpoznání útoku je zásadní. Sledujte tyto signály:

Varovný signál	Co znamená	Co je třeba udělat
Náhlá ztráta mobilního signálu	Vaše SIM byla deaktivována	Okamžitě kontaktujte operátora z jiného telefonu
„Žádná služba“ nebo „Pouze tísňová volání“	Na vaše číslo byla aktivována nová SIM	Spěchejte na pobočku operátora se svou KTP
Nečekaná SMS o změně SIM	Operátor může poslat upozornění před výměnou	Okamžitě volejte na linku operátora
Nelze volat ani posílat SMS	Vaše SIM už není aktivní	Jde o nouzovou situaci — jednejte během minut
Bankovní oznámení o transakcích, které jste neprovedli	Útočník už vybírá vaše účty	Zavolejte do banky a nechte účty zmrazit

Jakmile váš telefon nečekaně ztratí signál a do 2–3 minut se neobnoví, považujte to za možný útok SIM swap. Nečekejte.

Jak se chránit

Ochrana na úrovni operátora

Opatření	Telkomsel	Indosat	XL Axiata
Registrace biometrie pro změny SIM	Navštivte GraPARI	Navštivte Gerai Indosat	Navštivte XL Center
Nastavení PIN zámku SIM	Kontaktujte 188	Kontaktujte 185	Kontaktujte 817
Žádost o upozornění na změny SIM	V aplikaci nebo přes call centrum	V aplikaci nebo přes call centrum	V aplikaci nebo přes call centrum
Ověření, že registrované údaje jsou aktuální	Aplikace MyTelkomsel	Aplikace myIM3	Aplikace myXL

Ochrana bankovnictví a financí

1. Zapněte ověřování přes aplikaci místo SMS OTP všude, kde to jde
2. Nastavte limity transakcí — Omezte denní částky převodů, abyste minimalizovali možné ztráty
3. Zapněte push oznámení pro všechny transakce, nejen SMS
4. Používejte různá kontaktní čísla — Zvažte samostatné číslo pro bankovní a finanční služby
5. Zapněte biometrické přihlášení do bankovních aplikací a e-peněženek
6. Zaregistrujte si ověření zpětným voláním — Některé banky před velkými převody nabízejí telefonické ověření

Digitální hygiena

• Minimalizujte zveřejňování osobních údajů online — Nezveřejňujte své telefonní číslo, datum narození ani jméno matky
• Používejte 2FA přes aplikaci (Google Authenticator, Authy) místo SMS všude, kde je podporováno
• Sledujte signál svého telefonu — Všímejte si nečekané ztráty signálu
• Zabezpečte svůj e-mail pomocí 2FA přes aplikaci, protože e-mail je obnovovacím kanálem pro většinu účtů
• Pravidelně kontrolujte účty propojené s vaším telefonním číslem

Co dělat, pokud se stanete obětí SIM swapu

Prvních 5 minut

1. Zavolejte operátorovi z jiného telefonu — Požádejte o okamžitou deaktivaci SIM
2. Jděte na nejbližší pobočku operátora se svou originální KTP
3. Zavolejte do banky — Požádejte o úplné zmrazení účtu

První hodina

4. Změňte hesla ke všem důležitým účtům na zařízení, kterému důvěřujete
5. Odhlaste aktivní relace v e-mailu, bankovnictví a na sociálních sítích
6. Zmrazte účty e-peněženek — Kontaktujte GoPay (přes aplikaci Gojek), OVO (1500696), DANA (přes aplikaci)
7. Informujte blízké kontakty, že vaše číslo může být kompromitováno

Prvních 24 hodin

8. Podejte trestní oznámení na místní služebně Polsek s důkazy o neoprávněných transakcích
9. Nahlaste incident Bank Indonesia — Kontaktujte 131 nebo navštivte bi.go.id
10. Nahlaste incident OJK — Volejte 157 se stížnostmi na finanční služby
11. Zdokumentujte všechny ztráty pomocí snímků obrazovky a záznamů o transakcích
12. Kontaktujte oddělení podvodů své banky a zahajte reklamační řízení

Bezpečné sdílení informací k obnovení účtů

Po útoku SIM swap často potřebujete koordinovat postup s rodinou — sdílet dočasná hesla, referenční čísla z banky nebo údaje z policejního oznámení. V tak stresové situaci se informace často sdílejí neopatrně přes zprávy, které mohou být zachyceny.

LOCK.PUB umožňuje sdílet citlivé údaje k obnovení účtů přes odkazy chráněné heslem s omezenou platností (Pro). Když řešíte incident s bankou, právníkem nebo rodinou, můžete sdílet čísla případů, dočasné přihlašovací údaje a finanční informace, aniž by zůstaly odhalené v historii chatu.

Systémový problém

Podvody SIM swap v Indonésii uspějí díky kombinaci faktorů:

1. Masivní úniky dat zpřístupnily údaje pro ověření totožnosti v širokém měřítku
2. Přílišné spoléhání na SMS OTP při ověřování finančních operací
3. Nejednotné ověřování totožnosti na pobočkách operátorů
4. Omezená odpovědnost operátorů, když je výměna SIM podvodně schválena

Dokud operátoři nezavedou silnější biometrické ověřování pro změny SIM a banky neopustí OTP přes SMS, odpovědnost za přidání ochranných vrstev leží na jednotlivcích.

Pětiminutový bezpečnostní audit

Udělejte to hned teď:

1. Otevřete aplikaci svého operátora — Jsou vaše registrované údaje aktuální?
2. Zkontrolujte bankovní aplikaci — Máte zapnuté 2FA přes aplikaci?
3. Zkontrolujte e-mail — Je zabezpečen pomocí 2FA přes aplikaci (ne SMS)?
4. Nastavte upozornění na transakce — Máte zapnutá push oznámení u všech účtů?
5. Používejte LOCK.PUB — Sdílíte citlivé informace bezpečně?

Útok SIM swap dokáže během minut smazat roky úspor. Těchto pět kroků zabere méně času než příprava šálku kávy a může zachránit vše, co na účtech máte.