Serangan Pertukaran SIM

SIM swap (juga disebut pembajakan SIM atau pembajakan SIM) adalah serangan di mana orang yang tidak berwenang meyakinkan operator seluler untuk mengeluarkan kartu SIM baru yang terikat pada nomor telepon korban. Setelah pertukaran selesai, telepon pengguna yang sah kehilangan layanan dan telepon penyerang menerima semua panggilan dan SMS — termasuk kode otentikasi untuk akun apa pun yang menggunakan 2FA berbasis telepon.

Bagaimana serangan biasanya terjadi

Jalur penyerang:

1. Recon. Kumpulkan informasi korban: nama lengkap, tanggal lahir, alamat, sebagian SSN, nomor rekening. Bersumber dari pembobolan data, media sosial, dan OSINT.
2. Hubungi operator. Baik melalui telepon, chat online, atau langsung di toko retail. Berpura-pura menjadi korban, mengaku ponselnya hilang atau membutuhkan SIM baru.
3. Bypass verifikasi. Pertanyaan berbasis pengetahuan dijawab dari pengintaian. Dalam beberapa kasus, karyawan yang disuap atau direkayasa sosial melewatkan verifikasi sepenuhnya.
4. Aktifkan SIM baru. Operator mentransfer nomor tersebut; ponsel korban kehilangan sinyal.
5. Pengambilalihan akun. Penyerang meminta pengaturan ulang kata sandi pada email, bank, pertukaran kripto. Kode reset tiba melalui SMS ke telepon penyerang. Dalam beberapa jam, penyerang telah mengubah kata sandi dan mengunci korbannya.
6. Menguras akun. Setelah berada di email dan bank/kripto, penyerang memindahkan dana, menjual aset, atau mengekstraksi nilai.

Seluruh rangkaian dapat diselesaikan dalam waktu kurang dari satu jam untuk penyerang yang siap. Korban sering kali hanya menyadarinya ketika ponselnya berhenti bekerja.

Mengapa 2FA berbasis SMS mengaktifkan 2FA berbasis

SMS ini bergantung pada asumsi bahwa pengguna mengontrol nomor telepon. Pertukaran SIM secara langsung mematahkan asumsi tersebut. Setelah penyerang mengetahui nomornya, mereka mendapatkan faktor kedua Anda untuk setiap akun yang diamankan melalui SMS. Inilah alasan utama para profesional keamanan secara konsisten memperingatkan agar tidak menggunakan SMS sebagai metode 2FA utama. 2FA berbasis

SMS masih lebih baik daripada tanpa 2FA — ini menghentikan pengisian kredensial oportunistik. Namun untuk akun mana pun yang memiliki nilai berarti, SMS adalah faktor kedua terlemah yang dapat diterima, dan semakin tidak dapat diterima sama sekali.

Kasus terkenal

• Michael Terpin kehilangan $24 juta dalam mata uang kripto karena pertukaran SIM pada tahun 2018; litigasi berikutnya terhadap AT&T mengeksplorasi tanggung jawab operator.
• Joel Ortiz menerima hukuman 10 tahun pada tahun 2019 karena pertukaran SIM senilai lebih dari $7 juta dalam mata uang kripto dari korban.
• Grup pertukaran SIM COMM didakwa pada tahun 2020 karena pertukaran yang menargetkan mata uang kripto, identitas pencurian, dan penipuan kartu kredit yang melibatkan ratusan korban.
• Twitter CEO Jack Dorsey akunnya disusupi melalui pertukaran SIM pada tahun 2019.

Pertahanan operator (dan batasannya)

Semua operator besar di AS, UE, dan negara lain saat ini penawaran:

• PIN Akun — kata sandi terpisah diperlukan untuk melakukan perubahan. Pertahanan kritis; aktifkan di setiap saluran.
• SIM lock — operator tidak akan memproses pertukaran SIM tanpa verifikasi sekunder.
• Port-out lock — menonaktifkan porting nomor tanpa pembukaan kunci eksplisit.
• Verifikasi identitas — ditingkatkan pengawasan terhadap permintaan pertukaran SIM, terutama setelah aktivitas mencurigakan baru-baru ini.

Hasil tangkapan: pertahanan ini dapat dilewati dengan rekayasa sosial atau penyuapan terhadap karyawan garis depan. T-Mobile, AT&T, Verizon, Vodafone, dan lainnya semuanya mengalami insiden pertukaran SIM yang dibantu oleh orang dalam. Pertahanan meningkatkan standar tetapi tidak menghilangkan serangan.

Apa yang dapat Anda lakukan

• Segera siapkan PIN operator. Setiap akun harus memilikinya. Langkah pertama.
• Gunakan berbasis aplikasi atau perangkat keras 2FA, bukan SMS. Untuk email, perbankan, kripto, media sosial. SMS hanya sebagai cadangan terakhir ketika tidak ada lagi yang didukung.
• Kunci perangkat keras untuk akun bernilai tertinggi. YubiKey atau sejenisnya membuat pertukaran SIM tidak berguna terhadap akun yang dilindunginya.
• Akun email 2FA tanpa SMS. Email utama Anda mengontrol pengaturan ulang kata sandi untuk yang lainnya. Lindungi dengan TOTP atau kunci perangkat keras, bukan SMS.
• Perhatikan tanda-tandanya. Hilangnya layanan seluler secara tiba-tiba saat berada dalam jangkauan, terutama tanpa penyebab yang jelas, dapat menjadi tanda pertama pertukaran SIM. Segera hubungi operator Anda dari telepon lain.
• eSIM jika didukung. Lebih sulit untuk menukar dari jarak jauh dibandingkan SIM fisik dalam penerapan beberapa operator.
• Nomor telepon autentikasi terpisah. Beberapa pengguna dengan kekayaan bersih tinggi memiliki nomor terpisah yang tidak pernah dikaitkan secara publik dengan mereka, hanya digunakan untuk 2FA.

Jika Anda mencurigai adanya pertukaran SIM

1. Hubungi operator Anda dari telepon lain. Verifikasi status saluran Anda.
2. Jika ditukar, minta pembalikan segera dan setel ulang PIN akun.
3. Kunci rekening bank dan pialang Anda (hubungi institusi).
4. Ubah kata sandi pada email dan akun penting lainnya dari perangkat lain.
5. Ajukan laporan polisi. Bagi korban di AS, ajukan juga ke IC3 FBI.
6. Jika terjadi kerugian finansial, segera hubungi institusi tersebut — batas waktu pelaporan penipuan penting.

Tanggapan peraturan

FCC mengadopsi aturan pertukaran SIM pada tahun 2024 yang mewajibkan operator AS untuk menerapkan prosedur verifikasi khusus dan memberi tahu pelanggan tentang permintaan port-out. Regulator UE telah menerapkan persyaratan serupa. Penegakannya tidak merata; peraturan tersebut telah mengurangi upaya pertukaran SIM biasa tetapi penyerang yang termotivasi masih berhasil secara teratur.