SIM swapping
A transferência de uma linha telefônica para um cartão SIM controlado por outra pessoa. O que é exatamente, em que se diferencia do phishing de um código e o que isso faz ao segundo fator de uma conta.
Em resumo
O SIM swapping é a transferência de um número de telefone para um cartão SIM diferente, feita sem o consentimento do titular. O atacante consegue que a operadora móvel associe a linha a um SIM que ele controla, e a partir desse momento passa a receber as chamadas e mensagens direcionadas ao número.
O que se rouba não é o celular nem a conta. É a linha, e com ela tudo o que o número comprova: os códigos OTP que chegam por SMS e as validações que um serviço faz ligando ou escrevendo para esse número.
Não é phishing de um código, e a diferença importa
Os dois caminhos terminam no mesmo lugar, um atacante com o código em mãos, mas são interrompidos com controles diferentes.
- Phishing de um código — o atacante convence o titular a entregar o OTP que acabou de receber. O código passa pela pessoa, e a defesa mira a pessoa: educação, sinais na interface, limites de nova tentativa.
- SIM swapping — o atacante não pede nada ao titular. Ele convence a operadora, e o código deixa de chegar ao titular. A defesa não pode depender do usuário, porque o usuário nunca participa.
Daí vem o sinal mais útil do lado da organização: o titular de uma linha transferida costuma ficar sem serviço antes de descobrir qualquer coisa. A perda de sinal antecede a tentativa de acesso.
Onde aparece em uma jornada de identidade
O SIM swapping não ataca o cadastro. Ataca os momentos em que o número de telefone vale como prova de identidade.
- Segundo fator por SMS — o código chega ao SIM do atacante e o fator de posse fica cumprido a favor dele.
- Recuperação de acesso — os fluxos de "esqueci minha senha" que enviam um link ou um código para o número cadastrado.
- Confirmação de operações — as autorizações que um banco valida com uma mensagem para o telefone declarado.
Nos três casos a organização está delegando um trecho da sua autenticação a um terceiro: a operadora móvel, que administra quem controla a linha com seus próprios processos e seus próprios canais de atendimento.
O que reduz a exposição
Um fator que não depende da linha. Os fatores de MFA vinculados ao dispositivo ou à biometria não trafegam pela rede telefônica, então uma transferência de linha não os alcança.
O desenvolvimento completo do ataque, com a sequência inteira e os pontos onde é possível interrompê-lo, está na página do tipo de fraude: SIM swapping.
Perguntas frequentes
É a transferência do número de telefone de uma pessoa para um cartão SIM controlado por um terceiro, feita sem o seu consentimento. Uma vez concluída, as chamadas e mensagens dessa linha chegam ao atacante, incluindo os códigos de uso único que muitos serviços enviam por SMS para confirmar identidade ou autorizar operações. O titular original perde o serviço no próprio aparelho.
Em quem é enganado. No phishing de um código, o titular recebe a mensagem e a entrega. No SIM swapping, o engano acontece na operadora móvel e o titular nunca vê o código, porque ele deixa de chegar até ele. É por isso que os controles focados em alertar o usuário não cobrem esse caso.
Não. O SIM swapping é um método e o account takeover é o resultado: o controle de uma conta alheia. Uma transferência de linha é uma das rotas que levam a esse resultado, junto com o phishing e o credential stuffing. Nomeá-los separadamente ajuda, porque cada rota é interrompida em um lugar diferente.
