Ar eSIM gali būti nulaužtos? eSIM saugumas ir įsilaužimo rizika

Vis daugiau įrenginių dabar turi eSIM, o ne tradicines SIM korteles. Jos yra įmontuotos tiesiai į jūsų telefoną, planšetinį kompiuterį ar išmanųjį laikrodį, todėl yra labai patogios, ypač keliaujant.

Tačiau su naujomis technologijomis atsiranda ir naujų rūpesčių. Ar eSIM gali būti nulaužtos? Ar jos tikrai saugios naudoti? Ir į kokias rizikas turėčiau atkreipti dėmesį?

Šis straipsnis išanalizuos viską. Sužinosite, kaip veikia eSIM, kokios yra realios saugumo rizikos ir kokių paprastų veiksmų galite imtis, kad apsaugotumėte savo duomenis.

 

Ar eSIM gali būti nulaužtos? Mitų ir tikrovės atskyrimas

eSIM, arba įterptieji abonento tapatybės moduliai, yra sukurti atsižvelgiant į stiprų saugumą. Įsivaizduokite juos kaip mažą skaitmeninį seifą, įmontuotą jūsų įrenginyje. Šis seifas naudoja galingą šifravimą, kuris yra tarsi slaptas kodas, siekiant apsaugoti jūsų informaciją. eSIM taip pat yra jūsų įrenginio aparatinės įrangos dalis, o tai reiškia, kad ji yra fiziškai apsaugota ir ją nėra taip lengva paveikti kaip išimamą plastikinę SIM kortelę. Ši integruota prigimtis padeda apsaugoti ją nuo tam tikrų fizinių atakų. Jos atitinka pasaulinius saugumo standartus, nustatytus organizacijų, tokių kaip GSMA (Groupe Spéciale Mobile Association), siekiant užtikrinti, kad jas būtų sunku nulaužti.

Nors eSIM paprastai yra saugesnės už tradicines SIM korteles, yra įprasta klaidinga nuomonė, kad jos yra “neįveikiamos”. Jokia technologija nėra visiškai atspari visoms grėsmėms. Įsilaužėliai visada stengiasi rasti naujų būdų, kaip apeiti saugumą. eSIM saugumas taip pat priklauso nuo įrenginio, kuriame ji yra, ir tinklų, prie kurių ji jungiasi, saugumo. Taigi, nors jos ir žymiai padidina saugumą, jos nėra stebuklingas skydas.

Įsivaizduokite saugų banko seifą su storomis plieninėmis durimis ir sudėtingomis spynomis. Jis sukurtas taip, kad įsilaužti būtų beveik neįmanoma. Tačiau, jei labai sumanus vagis aptinka nepastebėtą silpnumą, galbūt ventiliacijos sistemoje, arba jei kas nors, turintis vidinės prieigos, yra apgautas ar priverstas padėti, seifas vis tiek gali būti pažeistas. Tas pats principas taikomas ir eSIM; jos yra labai saugios, tačiau ne apsaugotos nuo kiekvienos įsivaizduojamos grėsmės.

Didžiausios eSIM įsilaužimo grėsmės ir atakos metodai

Nors tiesiogiai “nulaužti” pačią eSIM mikroschemą dėl jos konstrukcijos yra labai sunku, atakos dažniausiai nukreiptos į kitas sistemos silpnas vietas, siekiant perimti kontrolę arba pasiekti jūsų eSIM profilį.

• SIM/eSIM apsikeitimas (angl. Swapping): SIM apsikeitimas, kuris taikomas ir eSIM, yra tai, kai įsilaužėlis įtikina jūsų mobiliojo ryšio operatorių (jūsų paslaugų teikėją) perkelti jūsų telefono numerį į jų valdomą SIM kortelę arba eSIM profilį. Jie gali tai padaryti apsimesdami jumis, naudodami pavogtą asmeninę informaciją, kad atsakytų į saugos klausimus, arba kartais papirkdami operatoriaus darbuotoją.

Tokio tipo ataka nėra tik teorinė. Ji jau nutiko aukšto rango asmenims. 2023 m. rugsėjo mėn. „Ethereum“ bendraįkūrėjo Vitaliko Buterino X (buv. Twitter) paskyra buvo užgrobta, kai atakuojantys asmenys įtikino jo operatorių atlikti SIM apsikeitimą (angl. SIM swap). Perėmę jo numerio kontrolę, jie išplatino apgaulingą NFT dovanos nuorodą, kuri iš sekėjų išsiurbė apie 690 000 USD kriptovaliutomis.

• Kenksminga programinė įranga (angl. Malware) ir sukčiavimas (angl. Phishing): Kenksminga programinė įranga ir sukčiavimas yra įprasti būdai, kaip įsilaužėliai bando gauti jūsų informaciją. Jei kenksminga programinė įranga užkrečia jūsų telefoną, ji gali pavogti jautrius duomenis, kurie padeda įsilaužėliui perimti jūsų eSIM profilį. Sukčiavimo schemos gali apgauti jus, kad apsilankytumėte padirbtoje svetainėje, kuri atrodo kaip jūsų operatoriaus svetainė, prašydama jūsų prisijungimo duomenų.

Tikras pavyzdys, kokia tai gali būti pavojinga, yra „BRATA“ „Android“ bankinis Trojos arklys, kuris vėl pasirodė 2022 m. viduryje su naujomis funkcijomis, suteikiančiomis jam visišką nuotolinės prieigos kontrolę prie telefonų. Jis plinta SMS nuorodomis, apsimetančiomis banko saugumo įspėjimais; įdiegus, jis gali įrašinėti ekraną, perimti kiekvieną gaunamą SMS žinutę (įskaitant operatoriaus OTP), ir netgi inicijuoti gamyklinių nustatymų atkūrimą, kad būtų sunaikinti įrodymai. Turėdami tokią gilią prieigą, atakuojantys asmenys galėtų gauti prisijungimo duomenis, reikalingus eSIM perdavimui arba numerio perkėlimui.

• Netikri eSIM QR kodai: eSIM nustatymas dažnai apima QR kodo nuskaitymą. Įsilaužėliai gali sukurti netikrus QR kodus, kurie atrodo teisėti. Jei nuskaitysite tokį kodą, galite netyčia įdiegti kenkėjišką profilį, kuris neprijungs jūsų prie tinkamo operatoriaus, arba jis gali nukreipti jūsų duomenis per įsilaužėlio serverius. Būkite labai atsargūs, iš kur gaunate QR kodus. Naudokite tik kodus tiesiogiai iš patikimo operatoriaus arba eSIM paslaugų teikėjo. Įtariai vertinkite nepageidaujamus QR kodus, siunčiamus el. paštu arba rastus atsitiktinėse svetainėse.

• Programinės aparatinės įrangos (angl. Firmware) ir atminties išnaudojimai: Jūsų telefono programinė aparatinė įranga yra pagrindinė programinė įranga, leidžianti veikti jo aparatūrai. Jei programinėje aparatinėje įrangoje arba tame, kaip įrenginys valdo savo atmintį, yra saugumo spragų (pažeidžiamumų), kvalifikuotas įsilaužėlis potencialiai gali jais pasinaudoti, kad gautų gilią prieigą prie įrenginio. Kai kurie nepastebėti rizikos veiksniai yra tai, kad reguliariai neatnaujinant telefono operacinės sistemos ir programinės aparatinės įrangos, kyla didelė rizika. Šie atnaujinimai dažnai apima saugumo pažeidžiamumų pataisas. Kita rizika yra programėlių atsisiuntimas iš neoficialių programėlių parduotuvių, nes jose gali būti paslėptų išnaudojimų.

• Man-in-the-Middle (MITM) atakos: Įsivaizduokite, kad siunčiate laišką, ir kažkas jį perima, perskaito, o tada išsiunčia toliau jums nežinant. „Man-in-the-Middle“ (MITM) ataka yra panaši, bet skaitmeninei informacijai. Jei nustatote savo eSIM arba tvarkote paskyrą nesaugiame viešajame „Wi-Fi“ tinkle, tame pačiame tinkle esantis įsilaužėlis gali potencialiai perimti duomenis, siunčiamus tarp jūsų telefono ir operatoriaus. Čia dalijamės šiuo praktiniu vadovu apie tai, kaip saugiai naudotis viešuoju „Wi-Fi“.

• Operatoriaus pažeidimai: Kartais silpna vieta yra ne jūsų telefonas ar jūsų veiksmai, o jūsų mobiliojo ryšio operatorius. Jei operatorius patiria duomenų pažeidimą, įsilaužėliai gali pavogti klientų duomenų bazes. Ši informacija gali apimti išsamią informaciją apie jūsų paskyrą ir potencialiai net duomenis, susijusius su eSIM profiliais (pvz., aktyvinimo kodus ar valdymo kredencialus). Šie pavogti duomenys tada gali būti naudojami SIM apsikeitimui (SIM swapping) ar kitoms tapatybės vagystės schemoms.

Realus eSIM įsilaužimų poveikis

Kai įsilaužėlis gauna prieigą per eSIM įsilaužimą, jis gali padaryti didelę žalą. Pavyzdžiui, jie galėtų:

• Perimti dviejų veiksnių autentifikavimo (2FA) kodus, siunčiamus SMS žinutėmis, suteikdami jiems prieigą prie jūsų el. pašto, banko sąskaitų, socialinių tinklų ir kitų internetinių paslaugų.

• Skambinti ir siųsti žinutes apsimesdami jumis, potencialiai apgaudinėdami jūsų kontaktus ar skleisdami dezinformaciją.

• Pasiekti asmeninius duomenis, saugomus prie jūsų telefono numerio susietose paskyrose.

• Įvykdyti finansinį sukčiavimą, pasiekiant jūsų banko programėles ar atliekant neautorizuotus pirkimus.

• Sukelti tapatybės vagystę, kai jie naudoja jūsų pavogtą informaciją, kad atidarytų naujas paskyras ar įvykdytų nusikaltimus jūsų vardu.

Tai nėra tik teorinės rizikos. Viename aukšto lygio atvejuje, 2024 m. vasario mėn. JAV prokurorai susiejo SIM apsikeitimo (SIM swapping) grupę, žinomą kaip „Powell Crew“, su 400 milijonų dolerių vagyste iš kriptovaliutų biržos „FTX“ 2022 m. pabaigoje. Tyrėjai teigia, kad grupė naudojo suklastotus asmens dokumentus, kad užgrobtų „AT&T“ darbuotojo telefono numerį, o vėliau perėmė vienkartinius slaptažodžius, kad atrakintų skaitmenines pinigines.

Šis incidentas rodo, kokios pavojingos ir brangios gali būti SIM apsikeitimo atakos, ypač kai jos paveikia jau ir taip spaudimo patiriančias įmones.

Kaip šios rizikos gali paveikti jus

SIM klonavimas ar eSIM nulaužimas nėra tik techninė problema, tai gali turėti realių, asmeninių pasekmių. Poveikis gali skirtis priklausomai nuo to, kas esate ir kaip naudojatės telefonu. Pavyzdžiui:

• Verslo savininkai: Nulaužta eSIM gali lemti jautrių klientų duomenų praradimą, neteisėtą prieigą prie verslo banko sąskaitų arba įmonės reputacijos pažeidimą. Įsivaizduokite, kad perimami klientų pranešimai arba atskleidžiami konfidencialūs verslo sandoriai.

• Keliautojai: Jei jūsų eSIM yra pažeista užsienyje, galite prarasti pagrindinę bendravimo priemonę, turėti problemų pasiekiant kelionių rezervacijas ar banko programėles ir susidurti su sunkumais susisiekiant su savo operatoriumi dėl pagalbos.

• Technologijas išmanantys asmenys: Nors dažnai geriau žino apie rizikas, technologijas išmanantys vartotojai gali naudoti savo telefono numerį daugeliui svarbių internetinių paslaugų. Pažeidimas gali būti ypač niokojantis, jei jis apeina jų stiprias saugumo priemones (pvz., jei jie per daug pasitiki SMS pagrindu veikiančiu 2FA).

Kaip aptikti eSIM įsilaužimą: pagrindiniai ženklai, kurių neturėtumėte ignoruoti

Žinojimas, ko ieškoti, gali padėti greitai reaguoti, jei įtariate, kad jūsų eSIM buvo pažeista.

• Staigus paslaugos praradimas arba prisijungimo problemos: Akivaizdžiausias ženklas yra staigus mobiliojo ryšio paslaugos praradimas jūsų įrenginyje. Jei jūsų telefonas staiga rodo “Nėra ryšio” arba “Tik SOS”, kai turėtumėte turėti signalą, ir perkrovimas nepadeda, tai gali reikšti, kad jūsų eSIM profilis buvo deaktyvuotas arba perkeltas.

• Saugumo įspėjimai ir neįprasta veikla: Atkreipkite dėmesį į:

• Netikėtus saugumo įspėjimus iš jūsų banko, el. pašto ar socialinės žiniasklaidos paskyrų apie prisijungimo bandymus ar slaptažodžio pakeitimus, kurių jūs neatlikote.

• Gavote 2FA kodus, kurių neprašėte.

• Neįprasti mokesčiai jūsų telefono sąskaitoje arba susietose finansinėse paskyrose.

• Įrašai, padaryti iš jūsų socialinės žiniasklaidos paskyrų, kurių jūs nerašėte.

• El. laiškai, išsiųsti iš jūsų paskyros, kurių neatpažįstate.

 

Ką daryti, jei įtariate SIM sukčiavimą

1. NEDELSIANT susisiekite su savo mobiliojo ryšio operatoriumi: Pasakykite jiems, kad įtariate, jog jūsų eSIM/SIM buvo sukčiavimo būdu pakeista arba pažeista.

2. Pakeiskite slaptažodžius: Pradėkite nuo svarbiausių savo paskyrų: el. pašto, banko ir bet kurios paskyros, susietos su jūsų telefono numeriu atkūrimui.

3. Peržiūrėkite paskyros veiklą: Patikrinkite savo banko, el. pašto ir socialinės žiniasklaidos paskyras, ar nėra neautorizuotų operacijų ar veiklos.

4. Informuokite savo kontaktus: Įspėkite draugus ir šeimos narius, kad jūsų numeris/paskyros gali būti pažeistos, kad jie nepakliūtų į sukčiavimo schemas, siunčiamas jūsų vardu.

5. Nuskaitykite savo įrenginį dėl kenkėjiškos programinės įrangos: Naudokite patikimą mobiliąją saugumo programėlę.

6. Praneškite: Apsvarstykite galimybę pranešti apie incidentą atitinkamoms institucijoms, pvz., policijai ar vartotojų teisių apsaugos agentūrai.

 

Geriausia praktika, siekiant apsaugoti jūsų eSIM profilį

Prevencija visada geriau nei gydymas. Štai kaip galite padidinti savo eSIM saugumą:

• Atnaujinkite savo įrenginį ir eSIM programinę aparatinę įrangą: Jūsų telefono gamintojas ir operatorius reguliariai išleidžia operacinės sistemos ir kartais pačios eSIM programinės aparatinės įrangos atnaujinimus. Šiuose atnaujinimuose dažnai yra svarbių saugumo pataisų, kurios pašalina naujai atrastus pažeidžiamumus.

• Naudokite stiprius slaptažodžius ir daugiaveiksnį autentifikavimą: Apsaugokite savo mobiliojo ryšio operatoriaus paskyrą stipriu, unikaliu slaptažodžiu. Visoms savo internetinėms paskyroms įjunkite daugiaveiksnį autentifikavimą (MFA). Nors SMS pagrindu veikiantis 2FA yra geriau nei nieko, jis yra pažeidžiamas SIM/eSIM apsikeitimui.

• Saugokitės sukčiavimo (Phishing) ir įtartinų nuorodų: Būkite skeptiški dėl nepageidaujamų el. laiškų, tekstinių žinučių ar skambučių, prašančių asmeninės informacijos, prisijungimo duomenų arba nuskaityti QR kodą. Niekada nespauskite įtartinų nuorodų ir nesiųskite priedų iš nežinomų siuntėjų.

• Patikimi eSIM teikėjai: Gaukite eSIM, ypač kelionėms, tik iš gerai žinomų, patikimų operatorių ir eSIM teikėjų, tokių kaip Yoho Mobile. Pirkimas iš neaiškių ar nepatvirtintų svetainių gali būti rizikingas. Jie gali parduoti jums netinkamus profilius, netinkamai naudoti jūsų mokėjimo informaciją arba netgi pateikti QR kodus, kurie pažeidžia jūsų įrenginį.

Prevencija visada geriau nei gydymas. Paimkime, pavyzdžiui, kas nutiko „T-Mobile“ abonentui 2023 m. Kūčių vakarą. Jis pastebėjo vienkartinius PIN kodus, kurių neprašė. Jis penkis kartus skambino operatoriui, tvirtindamas, kad vyksta SIM apsikeitimas (SIM swap), ir aktyvavo laikiną sąskaitos sustabdymą, perkeldamas visus pagrindinius prisijungimus į autentifikavimo programėlę. Kai ryšys trumpam nutrūko, jis jau bendravo su „T-Mobile“ atstovu, todėl kenkėjiškas eSIM profilis buvo atšauktas per kelias minutes, ir atakuojantysis niekada nepasiekė jo „Wells Fargo“ sąskaitos.

eSIM saugumo ateitis: kas toliau?

Žvelgiant į ateitį, mokslininkai dirba su dar stipresniais šifravimo tipais. Kvantiniai kompiuteriai, nors ir vis dar daugiausia vystomi, vieną dieną galėtų įveikti šiandieninį standartinį šifravimą. “Po-kvantinė kriptografija” reiškia naujus šifravimo metodus, skirtus būti saugiems net prieš ateities kvantinius kompiuterius.

eSIM technologija nėra statiška. GSMA ir įrenginių gamintojai nuolat dirba tobulindami saugumo standartus ir funkcijas. Tai apima tokius dalykus kaip saugesnis nuotolinis parūpinimas (angl. remote provisioning), geresni autentifikavimo metodai ir greitesnis reagavimas į naujai atrastas grėsmes. Kadangi įsilaužėliai kuria naujus atakų metodus, eSIM saugumas prisitaikys, kad jiems atsispirtų.

Net ir pažangiausios technologijos negali mūsų apsaugoti, jei esame neatsargūs su slaptažodžiais, pakliūname į sukčiavimo schemas (phishing) arba ignoruojame programinės įrangos atnaujinimus. Taigi, nors technologija nuolat tobulėja, mūsų vaidmuo yra nuolat gauti informaciją ir praktikuoti protingus skaitmeninius įpročius. Jei jums įdomu, kaip eSIM veikia praktikoje, išbandyti nemokamą eSIM bandomąją versiją su „Yoho Mobile“ yra paprastas, be rizikos būdas išbandyti technologiją iš pirmų rankų, tuo pačiu metu nuolat galvojant apie saugumą. Jei vėliau norėsite įsigyti eSIM planą, naudokite kodą YOHO12 atsiskaitydami ir gaukite 12 % nuolaidą!

 

Nepastebėti DUK ir papildomos įžvalgos

Ar eSIM gali būti klonuotos?

Ne. Tikrasis vienas prie vieno klonavimas yra praktiškai neįmanomas, nes kiekvienos eSIM kriptografiniai raktai yra užrakinti saugioje aparatinėje įrangoje. Dauguma „eSIM įsilaužimų“ apima profilio perkėlimą į kitą įrenginį (SIM apsikeitimą (SIM swap)) arba operatoriaus paskyros pažeidimą, o ne paties lusto dubliavimą.

Kas nutiks, jei mano eSIM bus nulaužta keliaujant tarptautiniu mastu?

Nedelsdami susisiekite su savo namų operatoriumi per „Wi-Fi“, kad sustabdytumėte liniją, pereitumėte prie atsarginės fizinės SIM arba atsarginės eSIM, jei tokią turite, ir pakeistumėte svarbius slaptažodžius. Įspėkite pagrindinius kontaktus, stebėkite finansines sąskaitas ir – prieš bet kokią kelionę – apsaugokite savo operatoriaus prisijungimą stipriu slaptažodžiu ir programėle pagrįstu (ne SMS) 2FA.

Ar eSIM saugesnės vaikams ir pagyvenusiems žmonėms?

Taip. Integruoti lustai yra sunkiai pametami, leidžia lengvai nustatyti nuotoliniu būdu ir gali palaikyti patikimus tėvų kontrolės nustatymus. Tačiau abi grupės vis dar gali pakliūti į sukčiavimo (phishing) nuorodas ar netikrus QR kodus, o eSIM atkūrimas po įrenginio praradimo ar sugadinimo gali būti sunkesnis nei fizinės SIM pakeitimas.