SIM swap: když vám někdo ukradne telefonní číslo i s kódy z banky

Je odpoledne a telefon ukazuje „Žádná služba“. Doma, kde máte signál vždycky. Restartujete ho, nic. Myslíte si, že je výpadek sítě. Ve skutečnosti právě někdo jiný přebírá vaše číslo, na které vám chodí kódy z banky a obnova hesel k e-mailu. Útok se jmenuje SIM swap a v Česku má i domácí variantu: telefonát „od operátora“, který nabízí převod na eSIM. Chybí málo a o peníze přijdete dřív, než stihnete zavolat na zákaznickou linku.

Skutečné případy z Česka

Policie ČR popsala v roce 2023 několik případů, kdy podvodníci převzali telefonní čísla obětí.

• Královéhradecký kraj, květen 2023: Muži z Rychnovska volala žena, která se vydávala za pracovnici telefonní společnosti. Chtěla po něm číselné kódy, které mu přicházely na telefon. Muž je sdělil. Podvodnice pak zřídila nové eSIM, převzala čísla muže i jeho partnerky, dostala se do jejich aplikací, odčerpala peníze z účtu partnerky a uzavřela na ni úvěry. Telefony obětem přestaly fungovat. Škoda přesáhla 600 tisíc korun.
• Plzeňský kraj, červen 2023: Kriminalisté z oddělení kybernetické kriminality varovali před podvodníky, kteří se vydávají za pracovníky mobilního operátora a v rámci „digitalizace“ nabízejí přechod z klasické SIM na eSIM. Oběť nadiktuje kód z SMS a podvodník převezme telefonní číslo. V jednom případě muž přišel o 850 tisíc korun.

Plzeňská policie k tomu uvedla důležitou věc: pokud jste o eSIM nežádali a „operátor“ vám ji sám nabízí, jde s největší pravděpodobností o podvod, protože operátor přechod ze SIM na eSIM sám nenavrhuje.

Postup připomíná triky falešných bankéřů po telefonu: volající má připravený věrohodný důvod, tlačí na rychlost a potřebuje od vás jediný údaj, kód z SMS.

Co je SIM swap a jak útok probíhá

SIM swap znamená, že útočník dosáhne toho, aby vaše telefonní číslo začalo fungovat na SIM kartě nebo eSIM v jeho zařízení. Vaše SIM se tím odpojí. Od té chvíle mu chodí vaše hovory a SMS, včetně jednorázových kódů.

Způsob 1: útočník přesvědčí operátora

Americká obchodní komise FTC popisuje klasický scénář: podvodník kontaktuje operátora, tvrdí, že je zákazník, který telefon ztratil nebo ho má poškozený, a požádá o aktivaci nové SIM karty s vaším číslem v telefonu, který ovládá on. K přesvědčivému příběhu mu pomáhají osobní údaje o vás, třeba z úniků dat nebo ze sociálních sítí.

Způsob 2: útočník přesvědčí vás

Česká varianta z policejních případů je jednodušší. Podvodník volá vám, vydává se za operátora a vylaká kód, který operátor posílá při převodu čísla na eSIM nebo při přihlášení do zákaznického účtu. Vy mu tím sami otevřete dveře. Zobrazené číslo volajícího přitom může být podvržené, na což policie výslovně upozorňuje.

Způsob 3: pomoc zevnitř

Americký Federální úřad pro vyšetřování (FBI) ve varování z roku 2022 uvádí ještě dvě cesty: podplacení zaměstnance operátora a phishing, kterým útočníci nalákají zaměstnance ke stažení škodlivého programu a získají přístup do systémů operátora.

Co následuje po převzetí čísla

1. Útočník na webu banky, e-mailu nebo sociální sítě klikne na „zapomenuté heslo“.
2. Ověřovací kód přijde na vaše číslo, tedy do jeho telefonu.
3. Změní heslo a odpojí vás od účtu.
4. V bankovní aplikaci převádí peníze, případně sjedná půjčku, jako v případu z Rychnovska.
5. Přes váš e-mail nebo komunikátor může oslovovat vaše známé.

Proč je telefonní číslo tak cenné

Telefonní číslo se stalo univerzálním klíčem. Slouží k obnově hesla, k potvrzení plateb, k přihlášení do komunikátorů a často jako jediný druhý krok ověření. Google ve své nápovědě k dvoufázovému ověření upozorňuje, že ověřovací kódy odeslané pomocí SMS nebo hovorů mohou být zranitelné vůči útokům založeným na telefonním čísle, a jako bezpečnější doporučuje přístupové klíče, bezpečnostní klíče nebo výzvy na telefonu.

Zkuste si na chvíli představit, co všechno by se stalo, kdyby vaše číslo dnes odpoledne patřilo někomu jinému:

• kódy pro potvrzení plateb a přihlášení do bankovnictví by chodily jemu;
• přes „zapomenuté heslo“ by si mohl obnovit přístup k e-mailu a sociálním sítím;
• komunikátor navázaný na číslo by mohl aktivovat ve svém telefonu a psát vašim známým;
• volání z banky nebo od rodiny by vyzvánělo u něj, ne u vás.

Proto se převzetí čísla nedá brát jako technická nepříjemnost. Jde o klíč, který otevírá většinu dveří najednou.

Rozsah problému ilustrují americká data. FBI v roce 2022 uvedlo, že mezi lety 2018 a 2020 přijalo 320 stížností na SIM swap se škodou přibližně 12 milionů dolarů. Jen za rok 2021 to bylo 1 611 stížností a škody přes 68 milionů dolarů. Srovnatelnou českou statistiku se nám dohledat nepodařilo.

Varovné signály

Co udělat hned: když telefon ztratí signál

Počítají se minuty. Útočník potřebuje čas na změnu hesel a převody, vy ho můžete přerušit.

1. Ověřte, že nejde o výpadek. Zeptejte se někoho vedle sebe se stejným operátorem, jestli má signál. Zkuste telefon restartovat. Pokud signál chybí jen vám, jednejte.
2. Z jiného telefonu zavolejte operátorovi. Číslo najděte na jeho oficiálním webu nebo na smlouvě, ne ve zprávě, která vám přišla. Řekněte, že máte podezření na neoprávněnou výměnu SIM, a požádejte o zablokování nové SIM nebo eSIM a o obnovení čísla. FTC doporučuje kontaktovat operátora jako první krok.
3. Zavolejte bance. Opět na číslo z karty nebo webu. Požádejte o zablokování přístupu do bankovnictví a karet a o kontrolu posledních transakcí.
4. Z počítače změňte heslo k e-mailu. Pak postupně ke sociálním sítím a dalším důležitým účtům. Odhlaste neznámá zařízení.
5. Zkontrolujte nastavení dvoufázového ověření. Útočník si mohl přidat svůj telefon, e-mail nebo aplikaci. Odeberte je.
6. Varujte blízké. Zprávy z vašeho čísla nebo účtů teď nemusí psát vy.
7. Podejte trestní oznámení. Na lince 158 nebo na služebně. Připravte si čas ztráty signálu, výpis transakcí a záznam hovoru s „operátorem“, pokud ho máte.

Když jste kód už někomu nadiktovali

Neodkládejte to s nadějí, že se nic nestane. Hned zavolejte operátorovi na oficiální číslo a řekněte, jaký kód a komu jste sdělili. Pak volejte bance. Policie v obou případech radí: zavěste a číslo si ověřte sami, nevolejte zpátky na číslo, ze kterého vám volali.

Co si připravit pro operátora, banku a policii

• přesný čas, kdy telefon ztratil signál, a kdy vám případně volal „operátor“;
• číslo, ze kterého volal, a co po vás chtěl;
• snímky obrazovky SMS a e-mailů o aktivaci SIM, eSIM nebo o přihlášení;
• seznam účtů, které jsou na telefonní číslo navázané;
• výpis podezřelých transakcí z bankovnictví, jakmile se k němu dostanete.

Čím přesnější časovou osu předložíte, tím snáz se dohledá, kdo a jak o změnu SIM požádal, a tím snáz se v bance rozliší, které platby nejsou vaše.

Co mohlo následovat

Převzaté číslo je pro útočníka startovní bod. V případech, které popsala policie, došlo k vybrání účtu i k sjednání úvěrů na jméno oběti. Kromě peněz hrozí převzetí e-mailu a sociálních sítí, zneužití komunikátorů k podvodům na vaše známé a ztráta přístupu k fotkám a zálohám. Pokud útočník získá i e-mail, může převzít prakticky všechny účty, které se přes něj obnovují.

Obnova trvá dny až týdny: vyřídit novou SIM, dostat se zpátky do účtů, reklamovat transakce v bance. Proto se vyplatí věnovat prevenci půl hodiny dopředu.

Jak se chránit

U operátora

• Zabezpečte zákaznický účet. FTC doporučuje nastavit na účtu u operátora PIN nebo heslo. Zeptejte se svého operátora, jaké možnosti ochrany nabízí, a zapněte je.
• Chraňte samoobsluhu. Aplikace nebo web operátora, kde se dá objednat eSIM, by měly mít silné jedinečné heslo.
• Nic neřešte z příchozího hovoru. Když vám „operátor“ něco nabízí, zavěste a zavolejte na oficiální číslo sami.

U účtů

• Nahraďte SMS silnější metodou. FTC i FBI doporučují ověřovací aplikaci nebo bezpečnostní klíč, protože kód z SMS SIM swap nezastaví. Kde to jde, použijte přístupový klíč. Návod najdete v článku Dvoufázové ověření: proč ho zapnout.
• Nemějte telefonní číslo jako jedinou možnost obnovy. Přidejte záložní kódy uložené mimo telefon nebo druhé zařízení.
• Jedinečná hesla. FBI radí používat jedinečná a složitá hesla. Útočník se SIM, ale bez hesla, má práci těžší. Pomůže vám správce hesel.
• Hlídejte úniky. Pokud vaše údaje unikly, útočník se za vás u operátora snáz vydává. Jak to zjistit, popisuje článek Únik hesla: jak zjistit.

V běžném životě

• Méně osobních údajů na internetu. FTC doporučuje nezveřejňovat celé jméno, adresu a telefonní číslo na veřejných místech. FBI přidává i finanční informace.
• Ostražitost u zpráv s odkazy. Podvodníci sbírají údaje přes phishing, třeba SMS od falešného dopravce.
• Nepovolujte vzdálený přístup. Plzeňská policie mezi radami výslovně uvádí nepovolovat cizím lidem vzdálený přístup do zařízení.

Když telefon slouží ke všemu

Projděte si jednou, které účty jsou na telefonní číslo navázané: e-mail, banka, komunikátory, sociální sítě, obchody, aplikace operátora. U každého zjistěte, jak by šel obnovit bez SMS. Kde to jde, přidejte druhou možnost, například záložní e-mail, záložní kódy nebo druhé důvěryhodné zařízení. Cílem je, aby ztráta čísla znamenala nepříjemnost, ne ztrátu všech účtů.

Jak podobný telefonát obvykle vypadá

Modelová situace: Paní Alena (smyšlená postava) přijme hovor. Volající se představí jménem jejího operátora, zná její jméno a řekne, že operátor „digitalizuje“ zákazníky a její SIM karta brzy přestane fungovat. Převod na eSIM prý zabere minutu, stačí potvrdit kód, který jí teď přijde.

Na telefon skutečně přijde SMS s kódem, protože podvodník právě o převod požádal. Zpráva vypadá pravě. V tom je past: skutečná zpráva, falešný volající.

Paní Alena ale udělá tři věci správně. Řekne, že si to ověří, zavěsí a zavolá na číslo ze stránek operátora. Tam se dozví, že o žádnou změnu nežádala a nikdo z operátora jí nevolal. Kód nikomu nesdělila, takže se nic nestalo.

Věty, po kterých zbystřit

• „Vaše SIM karta brzy přestane fungovat.“
• „Přijde vám kód, jen mi ho přečtěte pro ověření.“
• „Nezavěšujte, jinak se proces přeruší.“
• „Nainstalujte si tuto aplikaci, pomohu vám s nastavením.“

Každá z nich je důvod hovor ukončit. Skutečnému operátorovi nebude vadit, když zavoláte zpátky na oficiální linku.

Co říká zákon

Převzetí čísla a vybrání účtu je trestná činnost a patří na policii. Na lince 158 nebo na služebně podáte trestní oznámení. Paralelně řešte s bankou neautorizované transakce a s operátorem neoprávněnou změnu SIM. Pokud vás „operátor“ přemluvil po telefonu k uzavření nové smlouvy nebo služby, přečtěte si i článek Smlouva po telefonu a odstoupení.

Jak přesně se v konkrétním případě rozdělí odpovědnost za škodu mezi vás, banku a operátora, závisí na okolnostech, například zda jste kód sami sdělili. Obecné pravidlo pro všechny scénáře proto neuvádíme.

Nejčastější chyby

• Čekání, že se signál vrátí. Hodina čekání je hodina pro útočníka.
• Zpětné volání na číslo, které volalo. Zobrazené číslo může být podvržené.
• Nadiktování kódu „kvůli ověření totožnosti“. Kód nikdy neslouží k tomu, abyste ho někomu četli.
• SMS jako jediný druhý krok u e-mailu a banky. Při SIM swapu ochrana padá.
• Heslo k aplikaci operátora stejné jako jinde. Kdo ho zná, může si objednat eSIM sám.
• Stud to nahlásit. Podvodníci jsou profesionálové. Rychlé nahlášení může část peněz zachránit.

Jak tomu příště zabránit

Domluvte se v rodině

Starší lidé bývají častým cílem telefonických podvodů. Vysvětlete jim, že operátor sám eSIM nenabízí a kód z SMS se nikomu neříká. Pomůže i domluvené heslo pro případ, že vám „z nového čísla“ volá příbuzný. Podobné triky popisují články Podvod na seniory a podvod s napodobeným hlasem příbuzného.

Připravte si nouzový postup

Zapište si na papír číslo na operátora a banku a nechte ho doma. Když telefon přestane fungovat, nebudete hledat na internetu v cizím zařízení.

Když už se útok stal

Po obnovení čísla projděte všechny účty. U sociálních sítí postupujte podle článku Hacknutý účet na Facebooku.