SIM-swap (подмена SIM-карты) — чем опасен и как защититься

Определение

SIM-swap — угон номера, а не взлом телефона. Мошенник приходит к оператору и выпускает новую SIM-карту на ваш номер: по поддельной доверенности, по украденным или подделанным документам, иногда в сговоре с сотрудником салона. Ваша карта в тот же момент отключается, входящие звонки и SMS идут на его устройство.

Отличие от смишинга в том, что вас не нужно уговаривать. При смишинге жертва сама переходит по ссылке из сообщения; при SIM-swap от неё вообще ничего не требуется — достаточно, чтобы номер был привязан к банку и почте.

Как работает

Технически это легальная процедура перевыпуска, поставленная на поток. Номер атакующему известен заранее — из утечки базы, из объявления на Авито, из чека. Паспортные данные добирают из другой утечки, и в салоне остаётся показать документы.

1. Перевыпуск: от 15 минут до часа. Ваш телефон в это время теряет сеть — статус «Нет SIM-карты» при живом Wi-Fi.
2. Сброс пароля по SMS в банковском приложении, на почте, в личном кабинете маркетплейса.
3. Вход и вывод денег или оформление кредита. Окно у атакующего — часы, пока вы не дойдёте до салона.

Дальше номер бросают. Восстановить SIM вы сможете, но чужая сессия в аккаунте останется активной, если её не закрыть отдельно: сессионный токен живёт независимо от SIM-карты.

Родственный вектор — перенос номера к другому оператору (MNP). Схема та же, только заявление подаётся не на перевыпуск, а на переход, поэтому тянется несколько дней и заметнее для жертвы.

Связанные концепции

Что реально защищает, а что нет:

• запрет действий с номером без личного визита — настройка в личном кабинете оператора, включается за минуту и снимает большую часть схем;
• переход с SMS-кодов на TOTP или passkey: код считается на устройстве, номер к нему отношения не имеет;
• SMS, оставленный резервным способом входа рядом с включённым генератором, обнуляет всю защиту — атака идёт по слабому звену;
• отдельный номер только для банков, который не написан ни в одном объявлении и не привязан к мессенджерам;
• самозапрет на кредиты через Госуслуги: даже с доступом к SMS оформить заём на вас не получится;
• push-уведомления банка вместо SMS — приложение привязано к устройству, а не к SIM.

Пропала сеть без причины — не ждите. Позвоните оператору с другого телефона и заблокируйте номер, затем в банк, чтобы приостановить операции, и смените пароли с закрытием всех сессий.

Частые вопросы