Échange de sim: une menace croissante pour le vol d'identité et la sécurité financière

Gros plan d'un smartphone avec deux cartes SIM prêtes pour l'installation. Le conseil d'Eric a récemment plaidé de culpabilité devant le tribunal de district des États-Unis pour le

A close-up of a smartphone with two SIM cards ready for installation.

Un gros plan d'un smartphone avec deux cartes SIM prêtes pour l'installation.

Eric Council has pleaded guilty in the United States District Court for the District of Columbia to conspiracy to commit aggravated identity theft. The charges stem from his role in a hacking incident that targeted the X, formerly Twitter, account of the Securities and Exchange Commission (SEC).

Le Conseil d'Eric a plaidé coupable au tribunal de district des États-Unis pour le district de Columbia de complot en vue de commettre un vol d'identité aggravé. Les accusations découlent de son rôle dans un incident de piratage qui a ciblé le X, anciennement Twitter, compte de la Securities and Exchange Commission (SEC).

The hackers sent false tweets from then-SEC Chairman Gary Gensler's account, falsely stating that the SEC had authorized Bitcoin exchange-traded funds (ETFs). The false tweets caused Bitcoin's price to increase by over $1,000, quickly allowing Council's accomplices to make a profit. However, Gensler quickly announced that the tweets were not real and that the SEC account had been hacked, causing Bitcoin's value to drop by more than $2,000, by which time the damage had been done.

Les pirates ont envoyé de faux tweets du compte du président de la SEC, Gary Gensler, déclarant à tort que la SEC avait autorisé les fonds négociés en bitcoin (ETF). Les faux tweets ont fait augmenter le prix de Bitcoin de plus de 1 000 $, permettant rapidement aux complices du conseil de réaliser un profit. Cependant, Gensler a rapidement annoncé que les tweets n'étaient pas réels et que le compte SEC avait été piraté, faisant baisser la valeur de Bitcoin de plus de 2 000 $, date à laquelle les dégâts avaient été causés.

Exchange traded funds operate similarly to mutual funds, offering individuals an easy way to invest in assets such as gold, junk bonds or cryptocurrencies, without purchasing the underlying assets directly. Ironically, the SEC approved 11 Bitcoin exchange-traded funds the day after the incident.

Les fonds négociés en bourse fonctionnent de manière similaire aux fonds communs de placement, offrant aux particuliers un moyen facile d'investir dans des actifs tels que l'or, les obligations indésirables ou les crypto-monnaies, sans acheter directement les actifs sous-jacents. Ironiquement, la SEC a approuvé 11 fonds négociés en échange de Bitcoin le lendemain de l'incident.

The SEC's X account was protected not only by a username and password, but also by dual factor authentication. This method sends a code to the user's cell phone each time they access the account, ensuring identity verification and protecting against unauthorized access. However, as this case demonstrates, dual factor authentication can be bypassed using a technique known as SIM swapping.

Le compte X de la SEC a été protégé non seulement par un nom d'utilisateur et un mot de passe, mais aussi par l'authentification double facteur. Cette méthode envoie un code au téléphone portable de l'utilisateur chaque fois qu'il accéde au compte, garantissant la vérification de l'identité et protégeant contre l'accès non autorisé. Cependant, comme le démontre ce cas, l'authentification à double facteur peut être contournée à l'aide d'une technique connue sous le nom d'échange de sim.

A Subscriber Identity Module, commonly known as a SIM card, is an integrated circuit that stores subscriber information necessary for authentication on mobile devices such as cell phones. SIM cards can be moved between different devices, especially when users upgrade to new phones. SIM swapping is a criminal activity in which an individual convinces a phone carrier to transfer the victim's SIM card to a device controlled by the hacker.

Un module d'identité d'abonné, communément appelé carte SIM, est un circuit intégré qui stocke les informations d'abonnés nécessaires à l'authentification sur des appareils mobiles tels que les téléphones portables. Les cartes SIM peuvent être déplacées entre les différents appareils, en particulier lorsque les utilisateurs passent vers de nouveaux téléphones. L'échange de SIM est une activité criminelle dans laquelle un individu convainc d'un transporteur de téléphone de transférer la carte SIM de la victime sur un appareil contrôlé par le pirate.

With increasing numbers of financial transactions, including online banking, being conducted via cell phones, identity theft is on the rise. Criminals who gain access to their victims' SIM cards can intercept security verification codes sent via text messages, rendering online banking insecure. This enables identity thieves to drain their victims' bank accounts and cause significant financial distress.

Avec un nombre croissant de transactions financières, y compris les services bancaires en ligne, effectués via des téléphones portables, le vol d'identité est en augmentation. Les criminels qui ont accès aux cartes SIM de leurs victimes peuvent intercepter les codes de vérification de sécurité envoyés par SMS, rendant les banques en ligne en insécurité. Cela permet aux voleurs d'identité de drainer les comptes bancaires de leurs victimes et de provoquer une détresse financière importante.

In this case, another conspirator identified the legitimate user associated with the cell phone number used for dual factor authentication of the @SECgov X account and provided Council with the essential personal information, which he used to create a counterfeit ID on his portable printer. With the fake ID in hand, Council visited an AT&T store and successfully convinced an employee to issue a replacement SIM card. He then purchased an iPhone and inserted the new SIM card, facilitating the hack of the @SECGov X account.

Dans ce cas, un autre conspirateur a identifié l'utilisateur légitime associé au numéro de téléphone portable utilisé pour l'authentification à double facteur du compte @Secgov X et a fourni au Conseil les informations personnelles essentielles, qu'il a utilisées pour créer un ID contrefait sur son imprimante portable. Avec le faux identifiant en main, le conseil a visité un magasin AT&T et a réussi à convaincre un employé de publier une carte SIM de remplacement. Il a ensuite acheté un iPhone et a inséré la nouvelle carte SIM, facilitant le piratage du compte @Secgov X.

Council's sentencing is set for May 16, 2025, where he could face a maximum sentence of five years in prison, a fine of $250,000, and up to three years of supervised release.

La condamnation du Conseil est fixée pour le 16 mai 2025, où il pourrait encourir une peine maximale de cinq ans de prison, une amende de 250 000 $ et jusqu'à trois ans de libération supervisée.

To protect against SIM swapping, the most effective measure is to set up a PIN or password for accessing your mobile service provider account. This precaution helps deter a criminal from impersonating you to your carrier and persuading them to transfer your SIM card merely by providing personal information or answering security questions.

Pour protéger contre l'échange de sim, la mesure la plus efficace consiste à configurer une broche ou un mot de passe pour accéder à votre compte de fournisseur de services mobiles. Cette précaution aide à dissuader un criminel de vous faire passer pour votre transporteur et de les persuader de transférer votre carte SIM simplement en fournissant des informations personnelles ou en répondant aux questions de sécurité.

AT&T allows users to set up a passcode for their accounts that differs from their online login password. The SIM card cannot be swapped without this passcode.

AT&T permet aux utilisateurs de configurer un code d'accès pour leurs comptes qui diffère de leur mot de passe de connexion en ligne. La carte SIM ne peut pas être échangée sans ce mot de passe.

Verizon permits customers to create a PIN or password for authentication when contacting customer service.

Verizon permet aux clients de créer une broche ou un mot de passe pour l'authentification lors de la contact avec le service client.

T-Mobile provides the option to set up a passcode, separate from the one used for online account access, which must be used when making account changes like swapping a SIM card. This security measure not only protects against criminals attempting to change the SIM card via a phone call, but also prevents anyone with fraudulent identification from making changes at a T-Mobile location.

T-Mobile offre la possibilité de configurer un code d'accès, séparé de celui utilisé pour l'accès au compte en ligne, qui doit être utilisé lors des modifications de compte comme l'échange d'une carte SIM. Cette mesure de sécurité protège non seulement les criminels qui tentent de modifier la carte SIM via un appel téléphonique, mais empêche également toute personne ayant une identification frauduleuse de modifier un emplacement T-Mobile.