SIM swapping

O que é o SIM swapping

O SIM swapping é a apropriação da linha telefônica de uma pessoa por um terceiro, que consegue que a operadora transfira o número para um SIM sob seu controle. A partir desse momento, as ligações e as mensagens dessa linha, incluindo os códigos de uso único, chegam ao aparelho do atacante.

Não há intrusão em nenhum sistema da organização. Também não há engano da vítima, pelo menos não no passo decisivo. O que se viola é o processo de verificação de identidade de um terceiro: a operadora de telefonia.

Isso torna o SIM swapping um caso incômodo. A organização afetada não participou do controle que falhou, mas é ela que perde.

O que se rouba não é o celular nem a conta. É a linha, e com ela tudo o que o número comprova: os códigos OTP que chegam por SMS e as validações que um serviço faz ligando ou escrevendo para esse número.

Não é phishing de um código, e a diferença importa

Os dois caminhos terminam no mesmo lugar, um atacante com o código em mãos, mas são interrompidos com controles diferentes.

• Phishing de um código — o atacante convence o titular a entregar o OTP que acabou de receber. O código passa pela pessoa, e a defesa mira a pessoa: educação, sinais na interface, limites de nova tentativa.
• SIM swapping — o atacante não pede nada ao titular. Ele convence a operadora, e o código deixa de chegar ao titular. A defesa não pode depender do usuário, porque o usuário nunca participa.

Daí vem o sinal mais útil do lado da organização: o titular de uma linha transferida costuma ficar sem serviço antes de descobrir qualquer coisa. A perda de sinal antecede a tentativa de acesso.

Como o ataque corre, passo a passo

A sequência é curta e a janela de exploração é breve, o que explica que quase sempre aconteça fora do horário de atendimento.

1. Reunir os dados do titular. Nome, documento, endereço, data de nascimento e o número da linha. Vêm de vazamentos acumulados, de redes sociais ou de um phishing prévio dirigido a completar exatamente esses campos.
2. Escolher o canal da operadora. Loja física, atendimento telefônico, canal digital ou um funcionário cooptado. Os quatro têm processos diferentes e o atacante tenta pelo que menos verifica.
3. Pedir a reposição do SIM ou a portabilidade. O pretexto habitual é um extravio ou a troca de aparelho. O que se apresenta como prova de identidade é o conjunto de dados do passo 1.
4. Superar a verificação da operadora. É o passo que decide todo o ataque, e acontece inteiramente fora da organização que depois vai sofrer a fraude.
5. A linha é ativada no aparelho do atacante. O telefone do titular perde o serviço. Esse é o primeiro indício e costuma ser lido como uma falha de rede.
6. Disparar a recuperação de acesso nos serviços que dependem do número. Banco, e-mail, carteira digital, redes. Cada um envia seu código de recuperação para a linha, que já não é da vítima.
7. Receber os códigos e operar. Com o e-mail tomado, o atacante ganha ainda a via de recuperação de todo o resto. O incidente vira um account takeover em vários serviços ao mesmo tempo.

O passo 4 é o único que importa, e não é controlado pela organização que perde o dinheiro. Essa assimetria é a característica que define esta fraude.

O controle que decide está fora da sua organização

Convém dizer sem rodeios porque muda o planejamento: nenhuma medida que um banco, uma carteira digital ou uma plataforma tome impede que uma operadora entregue uma linha à pessoa errada.

O que está sob controle da organização é a dependência. A pergunta útil não é como evitar um SIM swap, e sim o que deixa de funcionar quando um acontece. Se a resposta inclui o segundo fator e a recuperação de conta, o número de telefone virou a chave mestra sem que ninguém tenha decidido isso explicitamente.

Há duas variantes do mesmo problema que costumam ser esquecidas:

• Portabilidade para outra operadora — o número se muda com a pessoa, e o processo de portabilidade tem sua própria verificação, diferente da de reposição de SIM.
• Reciclagem de números — uma linha cancelada volta a ser atribuída depois de um prazo. O novo titular herda a via de recuperação das contas que o anterior nunca atualizou, sem que tenha havido nenhum ataque.

O SMS deixa de ser um fator quando outra pessoa controla a linha

Um fator de autenticação vale pela propriedade que assume. O OTP por SMS assume que quem tem o número é o titular. É uma suposição sobre o registro de um terceiro, não uma prova criptográfica.

• OTP por SMS — cai por completo com o SIM swap. Também é o fator mais exposto ao phishing, porque é um código que a pessoa pode ler e ditar.
• OTP em aplicativo (TOTP) — o segredo vive no dispositivo, não na linha. Um SIM swap não o alcança. Continua podendo ser ditado sob engano.
• Passkey e credencial FIDO2 — a chave privada está no dispositivo e não sai dele. Nem o SIM swap nem uma página falsa a obtêm.
• Biometria com verificação de presença — não depende de um canal de entrega. É o fator que mais claramente não viaja pela rede telefônica.

Nada disso torna o SMS inutilizável. Continua sendo o fator de menor atrito e o único disponível para uma parte importante da população da região. O que ele não deveria ser é a única coisa que separa um atacante de uma operação sensível, nem a via de recuperação quando todo o resto falha.

Onde aparece em uma jornada de identidade

O SIM swapping não ataca o cadastro. Ataca os momentos em que o número de telefone vale como prova de identidade.

• Segundo fator por SMS — o código chega ao SIM do atacante e o fator de posse fica cumprido a favor dele.
• Recuperação de acesso — os fluxos de "esqueci minha senha" que enviam um link ou um código para o número cadastrado.
• Confirmação de operações — as autorizações que um banco valida com uma mensagem para o telefone declarado.

Nos três casos a organização está delegando um trecho da sua autenticação a um terceiro: a operadora móvel, que administra quem controla a linha com seus próprios processos e seus próprios canais de atendimento.

A quem afeta e quanto custa

O SIM swapping se dirige a contas de valor conhecido, então o alvo costuma estar escolhido antes do passo 1.

• Serviços financeiros e carteiras digitais — transferências e consumo de saldo, com a particularidade de que chegam com um segundo fator corretamente validado.
• Criptoativos — o caso em que a operação é irreversível e o incentivo do atacante é máximo.
• Telecomunicações — a operadora enfrenta a reclamação por um processo próprio e, em vários países da região, a exposição regulatória pela verificação no cadastro e na reposição de linhas.
• Varejo e gaming — recuperação de contas com saldo ou com meios de pagamento salvos.

O custo operacional tem uma forma característica: a organização recebe uma reclamação por uma operação que seus registros mostram como legítima e corretamente autenticada. Reconstruir o que aconteceu exige sinais que a autenticação sozinha não guarda.

Quais controles o detêm

A lista se divide em duas, e a metade mais determinante nenhum provedor de identidade vende.

Do lado da operadora de telefonia, e do regulador.

• Verificação reforçada para reposição de SIM e portabilidade — presença física, biometria ou fatores adicionais antes de mover um número.
• Período de espera após uma troca de SIM — um atraso deliberado antes de a linha receber mensagens de serviços financeiros. Rompe a janela do ataque, que é curta por desenho.
• Bloqueio de portabilidade a pedido do titular — disponível em alguns mercados, quase desconhecido entre usuários.
• Controle interno sobre o pessoal de lojas e canais — o passo 2 muitas vezes não é um engano, e sim um funcionário cooptado.

Do lado da organização que depende do número.

• Consulta de sinais de troca de linha — existem serviços que informam se um SIM foi substituído ou portado nos últimos dias. Compram-se de agregadores de dados de telecomunicações, não de provedores de identidade, e sua cobertura varia muito por país e por operadora.
• Fatores que não dependem da linha — TOTP, passkeys ou biometria com verificação de presença.
• Reverificação de identidade na recuperação de conta — recuperar o acesso exige voltar a provar quem é a pessoa, e não só receber um código. É o controle que fecha o passo 6.
• Período de resfriamento após uma troca de fator ou de dados de contato — um atraso antes de habilitar operações sensíveis depois de uma mudança.
• Notificação ao canal anterior, não ao novo — avisar da mudança ao e-mail e ao número que estavam cadastrados antes. Parece um detalhe e é um dos poucos avisos que a vítima pode chegar a ver a tempo.
• Escalonamento na operação sensível — voltar a pedir presença na transferência, não só no acesso.
• Sinais de dispositivo e de sessão — dispositivo novo, comportamento atípico, sequência de recuperação acelerada.

Uma equipe que queira cobrir esta fraude por completo precisa de pelo menos um provedor de dados de telecomunicações e de uma conversa com as operadoras do seu mercado. Nenhuma das duas coisas um provedor de autenticação resolve.

Como a VU aborda

A VU trabalha sobre a dependência, que é o que a organização de fato controla.

A Autentica suporta sete fatores: rosto, TOTP, OTP por SMS, OTP por e-mail, link mágico, senha e documento de identidade. Que o OTP por SMS esteja no catálogo é informação, não uma ressalva: a escolha do fator é da organização, e esta página existe para que seja feita sabendo o que acontece quando a linha muda de mãos.

A reverificação biométrica na recuperação de conta é a peça que fecha o passo 6. Se voltar a entrar exige provar presença com o Verifica, ter o número deixa de bastar. A prova de vida é certificada pela iBeta no Nível 2 de seu programa de testes, que aplica a metodologia da norma ISO/IEC 30107-3.

Sobre o comportamento posterior, o Protege contra a fraude avalia sinais de dispositivo e de sessão, que é o que permite olhar com outro critério uma recuperação seguida de uma transferência.