Cryptovaluta tientallen T-Mobile-klanten gestolen via sim-swapping
Vorige maand zijn vanuit een telefoonwinkel in het Limburgse Vaals negentig telefoonnummers van T-Mobile-klanten overgenomen via sim-swapping. De overgenomen telefoonnummers werden vervolgens gebruikt voor het overnemen van crypto-accounts en het stelen van duizenden euro's aan cryptovaluta, zo meldt NRC.
Afgelopen vrijdag werd bekend dat de politie in een onderzoek naar sim-swapping een telefoonwinkel in het Limburgse Vaals had doorzocht. Eerder werden in dit onderzoek al drie werknemers van een telecomprovider aangehouden. Bij sim-swapping weten criminelen het telefoonnummer van een slachtoffer over te zetten op een simkaart waarover zij beschikken.
De oorspronkelijke simkaart heeft daardoor geen toegang meer tot het netwerk, waardoor slachtoffers niet meer kunnen bellen, berichten versturen of mobiel internetten. Vaak wordt sim-swapping gepleegd door middel van social engineering, waarbij oplichters een telecomprovider bellen en zich voordoen als het slachtoffer. Er zijn echter ook gevallen bekend waarbij medewerkers van telecomproviders bij de fraude betrokken waren.
De hoofdverdachte in deze zaak kon door zijn functie bij de telecomprovider telefoonnummers van slachtoffers op andere simkaarten overzetten, aldus de politie. Zo kreeg hij de controle over de telefoonnummers en kon vervolgens de via sms verstuurde codes onderscheppen om de crypto-accounts van zijn slachtoffers over te nemen. Daarbij zijn duizenden euro's buitgemaakt, zo laten slachtoffers weten. Volgens NRC gaat het om drie medewerker van T-Mobile, die inmiddels door de telecomprovider wegens computervredebreuk op staande voet zijn ontslagen.
De eigenaar van de telefoonwinkel in Vaals laat tegenover de krant weten dat iemand met zijn wachtwoord heeft ingelogd op de dealeromgeving van T-Mobile. Vervolgens zijn zo de negentig telefoonnummers van T-Mobile-klanten op een andere simkaart overgezet. De dealerportaal van T-Mobile is vanaf het internet benaderbaar. Daarnaast sloeg het T-Mobile systeem geen alarm toen er tientallen aanvragen voor simswaps tegelijk binnenkwamen via de account van een kleine externe partij, meldt NRC.
Hoe de inbraak heeft kunnen plaatsvinden kan de eigenaar niet zeggen. Bij de doorzoeking afgelopen vrijdag zijn geen aanhoudingen verricht. Volgens de politie is er wel een nieuwe stap in het lopende onderzoek gezet en worden nieuwe aanhoudingen niet uitgesloten.
Als je zelf je eigen key bewaart in een offline device dan ben je niet kwetsbaar voor een dergelijke aanval.
JIj wilt een bedrijf in de gevangenis gooien? Hoe doe je dat. Alleen de directeur of alle werknemers opsluiten?
Nee, een bedrijf kun je eigenlijk alleen aanpakken via betalingen en dat gebeurd al lang. Ook in dit geval kunnen de slachtoffers proberen om de schade op t-mobile te verhalen. En dat lijkt me een kansrijke methode omdat dit geen lek was maar een bewuste oplichting door t-mobile zelf. (Eigenlijk door de werknemers, maar t-mobile is verantwoordelijk voor die schade veroorzaakt is door zijn werknemers)
Als je zelf je eigen key bewaart in een offline device dan ben je niet kwetsbaar voor een dergelijke aanval.
Het wachtwoord doet hier niet ter zake omdat de medewerkers gewoon legitiem toegang hadden tot het beheer platform van t-mobile. (al dan niet met een sterke 2fa authenticatie)
Zeker nu heel veel werknemers vanuit hun thuissituatie werken, worden ook mogelijkheden geschapen om dit soort zaken vanuit huis aan te passen op de servers. De klanten waarvoor zo'n swap legitiem nodig is, moeten ook vanuit huis geholpen kunnen worden.
En als een werknemer minder toezicht voelt, komt men eerder in de verleiding hier misbruik van te maken.
Het wachtwoord doet hier niet ter zake omdat de medewerkers gewoon legitiem toegang hadden tot het beheer platform van t-mobile. (al dan niet met een sterke 2fa authenticatie)
Blijkbaar werd er geen gebruik gemaakt van 2fa. Er kon ingelogd worden met alleen een wachtwoord. Dan maakt het wel degelijk uit hoe sterk of zwak het wachtwoord is.
Oh, je betaalt ze peanuts, alle waar naar z'n geld (of is het bitcoins) zou ik zo zeggen?
Tussen de getrainde aapjes zitten ook wel eens "valse" exemplaren.
Ze moeten voortdurend gecontroleerd worden en de baas kan alleen hun muis omdraaien aan het eind van de werkdag,
als ze niets verdachts meer hebben laten openstaan of "de context te goed hebben begrepen".
Maar iemand 'aan de andere kant van een scherm controleren, blijft 'moeilijk'.
Vroeger zat de chef centraal op de werkvloer, met zijn medewerkers als satellieten eromheen.
Hij kon precies zien wat alle handjes deden en deed je iets verkeerd, dan werd je "om de klok" gestuurd.
Ja ook in de USA ging dat eerder zo. Sluifmouwen weer invoeren onder de witte boord?
Goed bij zo'n multinational te hebben gewerkt, later ben je dankbaar voor het scherp houden van je.
#sockpuppet
Dit was ook een belangrijk bezwaar tegen invoering van de huidige generatie sim-kaarten, maar marketing en recycle lobby's die maar gewoon niet willen luisteren.
Zoiets. Eigenlijk denk ik niet dat het de eigenaar zelf zal zijn . Die zou moeten realiseren dat hij(?) als eerste bekeken wordt voor wat er met zijn wachtwoord gedaan wordt, en die heeft een winkel te verliezen.
Maar z'n personeel/hulpje/stagiair heeft geen winkel te verliezen , en werkt ook met "het" wachtwoord van de zaak.
Dit was ook een belangrijk bezwaar tegen invoering van de huidige generatie sim-kaarten, maar marketing en recycle lobby's die maar gewoon niet willen luisteren.
Hou toch op , heeft niks te maken met 'huidige generatie sim kaarten' en ook niet marketing of recycle.
Je nummer kunnen behouden bij verlies/defect van een fysieke sim is een heel erg noodzakelijke feature
Evenals je nummer kunnen meenemen wanneer je naar een andere telco gaat. De SIM is wel telco/netwerk gebonden.
En je nummer kunnen behouden bij de (wat zeldzamere) overgangen van sim->micro sim -> nano sim is ook erg noodzakelijk.
nummer <-> sim - zie het maar als de DNS naam vs IP adres.
Als je zelf je eigen key bewaart in een offline device dan ben je niet kwetsbaar voor een dergelijke aanval.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
