人生中最昂贵的教训:SIM卡转移攻击的细节(译文)

上周三我损失了10万美元。它在24小时的时间内在“SIM转移攻击”中消失,耗尽了我的Coinbase帐户。事件已经过去了四天,我被摧毁了。我寝食难安;我充满了焦虑,懊悔和尴尬。

这是我生命中最昂贵的一课,我想与尽可能多的人分享我的经验与教训。我的目标是提高对这类攻击的认识,并促使大家提高在线身份的安全性。

这仍然是非常原始的(我还没有告诉我的家人);请大家保留对本文所述的天真安全措施的判断。

攻击的细节

您可能会问自己,究竟什么是“SIM转移攻击”?为了描述攻击,我们来看一下典型的在线身份。对于大多数人来说,下图应该看起来很熟悉。

我们大多数人都有一个主电子邮件帐户,该帐户与很多其他在线帐户相关联。我们大多数人还有一个移动设备,如果你忘了密码,可以用这个移动设备来恢复您的电子邮件密码。

授权的SIM转移

将SIM卡转移到另一台设备是移动运营商为其客户提供的服务。它允许客户将他们的电话号码转移到新设备。在大多数情况下,这是完全合法的要求;当我们升级到新手机,切换移动运营商等时会发生这种情况。

SIM转移攻击

但是,“SIM转移攻击”是由未经授权的来源(攻击者)执行的恶意转移。攻击者将您的 SIM卡转移到他们控制的手机上。然后,攻击者在您的电子邮件帐户上启动密码重置流程。验证码会从您的电子邮件提供商发送到您的电话号码。 攻击者会截获该电话号码,因为他们现在控制您的SIM卡。下图逐步概括了攻击过程。

一旦攻击者控制了您的主电子邮件帐户,他们就会开始绕过您通过该电子邮件地址(银行帐户,社交媒体帐户等)管理并支配您的任何在线服务及其资产。如果他们非常恶意,他们甚至可以锁定你的帐户而你却几乎无法收回它们。

花点时间检查一下单个Google帐户绑定的大量敏感信息:

  • 您的地址,出生日期和其他私人,个人身份信息
  • 访问您(和/或您的合作伙伴)的潜在妥协照片
  • 访问您的日历和即将到来的旅行日期
  • 访问您的私人电子邮件,文档和搜索历史记录
  • 访问您的个人联系人及其私人信息以及与您的关系
  • 访问您的主电子邮件地址用作身份验证来源的所有其他在线服务

事件时间线

通过更好地掌握如何进行此类攻击以及所涉及的范围,让我们深入探讨此特定攻击的时间线。我想描绘一下攻击是如何被执行的,以及我是如何经历这些事件的,以及如果您遇到类似的症状,您可以做些什么来保护自己。

时间线分为四个部分:

  • 我所经历的:从我的观点来看所经历的事件。如果你遇到类似的事情,这些都是你可能受到攻击的明确指示。

  • 攻击者正在做什么:黑客用来进入我的Coinbase帐户的基本策略。

  • 我感知到的威胁级别:我在这些事件发生时将其归因于威胁级别。

  • 我应该拥有的威胁级别:事后看来,我希望在这些事件发生时我会拥有的威胁级别。

经验教训+建议

这是我生命中最昂贵的一节课。我在24小时内失去了相当重要比例的净值资产; 并且是不可逆的。以下是我鼓励其他人用来更好地保护自己的在线安全的一些建议: 使用硬件钱包,以确保您的加密:将您的密码到硬件钱包 /离线存储/ 多SIG钱包,只要你不交易。不要将资金闲置在交易所或法定进场。我将Coinbase视为银行账户,并且在发生攻击时你绝对没有追索权。我比大多数人更了解风险,但从未想过这样的事情会发生在我身上。我非常后悔没有采取加密安全措施。

  • 基于SMS的2FA还不够:无论您尝试在线保护的资产和/或身份如何,都要升级到基于硬件的安全性(即:攻击者为实施攻击而必须物理获取的物理内容)。虽然Google Authenticator和Authy可以将您的移动设备转变为基于硬件的安全性,但我建议您更进一步。拿起你实际控制的YubiKey,不能被欺骗。

  • 减少您的在线足迹:减少不必要地在线分享个人身份信息(出生日期,位置,嵌入其中的地理位置数据的图片等)的冲动。在发生攻击时,所有这些准公开数据都可以针对您。 Google Voice 2FA:在某些情况下,在线服务不支持基于硬件的2FA(它们依赖于较弱的基于SMS的2FA)。在这些情况下,您最好创建一个Google语音电话号码(无法通过SIM卡转移)并使用具有2-Factor Auth恢复号码的电话号码。

  • 创建辅助电子邮件地址:不是将所有内容绑定到单个电子邮件地址,而是为关键在线身份(银行帐户,社交媒体帐户,加密交换等)创建辅助地址。请勿将此电子邮件地址用于其他任何内容并将其保密。使用某种形式的基于硬件的2FA备份该地址。

  • 离线密码管理器:使用密码管理器输入密码。更好的是,使用密码存储等脱机密码管理器。lrvick拥有各种密码管理器的优秀对比图表,以及针对更具技术倾向的审查建议。

关于读者的评论

我明白这一点:鉴于我天真的安全实践,我可能就应该注定被黑客攻击。这样做不会减少受到任何伤害,并且会削弱这个故事的主旨,即:

  • 让别人知道受到伤害是多么容易
  • 使用上述知识和建议来优先考虑您的在线身份的安全性

我禁不住想到我可以做的小而轻松的事情来保护自己。我的脑海中涌现各种假设。

然而,这些想法伴随懒惰和幸存者偏见。我从来没有认真对待我的在线安全,因为我从未经历过攻击。虽然我了解自己的风险状况,但是我就是太懒导致我没有用该有的严谨来保护我的资产。

我恳请你们从这些错误中吸取教训。

参考

  1. The Most Expensive Lesson Of My Life: Details of SIM port hack
Share Comments
comments powered by Disqus