Если оставить сим-карту без присмотра, можно лишиться всех денег в банке, защищены от этого способа взлома единицы

Александр (имя изменено) потерял телефон. Беда не пришла одна. На следующий день в мобильных банках он заметил, что с карт списаны деньги, а в истории операций ряд переводов, которых он не совершал.

Один банк не позволил списать средства. Он обнаружил подозрительную активность и заблокировал счёт. Зато в другом мошенники произвели несколько операций, среди них покупка в магазине и попытка оформить кредит.

Сим-карты и номера телефона достаточно, чтобы получить доступ к мобильному банку, аккаунтам в соцсетях и подобным учётным записям. Особенно легко это будет сделать при отсутствии двухфакторной аутентификации с кодом из СМС в качестве пароля.

— Номер телефона считается доверенным способом двухфакторной авторизации во многих сервисах. Злоумышленник, получив в распоряжение смартфон, может извлечь из него сим-карту, вставить её в другое устройство, установить банковское приложение и использовать номер телефона в качестве логина в системе, а пароль обычно приходит в виде СМС, — рассказал исследователь мобильных угроз в Лаборатории Касперского Виктор Чебышев.

В случае с Александром один банк заблокировал карту, а второй нет. У банков есть системы проверки пользователя на основании его устройства. Если пользователь проводил платёж с одного, а теперь начинает с другого — это повод насторожиться.

— У банков очень много различных систем проверки мошеннических операций, в том числе проверяются марка, модель и серийный номер устройства. Если ещё вчера платежи осуществлялись с одной модели устройства, а сегодня — с совершенно другой, то это с большой долей вероятности станет поводом для внутренней проверки со стороны банка, — объяснил Виктор Чебышев.

Правда, рассчитывать на систему защиты не стоит. Она может спасти кошелёк, но не факт, что сделает это. Поэтому лучше обезопасить счёт заранее.

Решение проблемы — установка пароля-блокировки для сим-карты. Это то же самое, что и с блокировкой экрана, только без ПИН-кода для сим-карты хакер не получит доступа к ней и не сможет выполнять операции. Чтобы авторизоваться, злоумышленнику нужно будет ввести ПИН-код, а его знаете только вы. Это усложнит процесс взлома и увеличит время до получения доступа к чипу. Вам всё равно обязательно нужно позвонить оператору с требованием заблокировать сим-карту. С ПИН-кодом вы выиграете время.

Вот как его активировать на iPhone: 1) перейдите в "Настройки" —> "Сотовая связь" —> SIM-PIN; 2) активируйте переключатель; 3) введите старый ПИН-код для сим-карты, если он есть; 4) после успешной активации настройки можно изменить старый ПИН-код на новый, более удобный и запоминающийся.

На Android: "Настройки" —> "Безопасность и местоположение" —> "Безопасность и конфиденциальность" —> "Блокировка сим-карты" —> "Дополнительные настройки" —> "Шифрование и учётные данные" —> "Установить блокировку сим-карты". И введите ПИН-код.

Чтобы отключить или сменить ПИН-код на сим-карте, нужно будет ввести текущий. Так карточка будет защищена от использования злоумышленниками.

Не всегда. По словам экспертов Group-IB, гораздо более серьёзная проблема — перевыпуск сим-карт. В этом случае мошенник может привязать клонированную симку к интернет-банку и получить доступ ко всем счетам жертвы.

"У клиента есть, как правило, сутки на обращение в салон связи и банк, чтобы мошенник не успел ничего предпринять.Чтобы злоумышленники не могли перевыпустить вашу сим-карту и перепривязать к ней ваш интернет-банкинг, напишите в отделении у сотового оператора заявление, ограничивающее смену сим-карты без вашего участия", — советует замруководителя лаборатории компьютерной криминалистики Group-IB Анастасия Баринова.

Александр запросил возврат денег, списанных после потери смартфона. Банк отказал.

"До момента извещения банка об утрате средств доступа, карты / карточного токена или ПИНа клиент несёт ответственность за все операции по счетам, совершённые иными лицами с ведома или без ведома клиента", — рассказали ему в компании.

Это ещё одна причина сообщить об утрате устройства и сим-карты как можно быстрее. Вот как предостерегают пользователей сотовые операторы.

"Билайн": "Установка ПИН-кода на сим-карту — стандартная возможность, которая может быть включена или выключена самим клиентом. Блокируем их по заявлению клиента. В этом плане действия ничем не отличаются от случаев утери, например, банковских карт".

МТС: "ПИН-код — это базовый пароль, который стоит на всех наших сим-картах и даёт дополнительную защиту в случае пропажи вашей сим-карты. Пользователь сам выбирает, пользоваться им или нет. Но надеяться только на ПИН-код в такой ситуации не стоит. Первое и самое важное правило — если у вас украли телефон / пропала сим-карта или вам кажется, что к ней получили доступ мошенники, нужно немедленно связаться с техподдержкой любым удобным для вас способом (по телефону, на сайте, в приложении или соцсетях) и как можно быстрее её заблокировать.

Yota: "У наших клиентов есть возможность установить и изменить ПИН-код на сим-картах. Когда к нам обращается клиент с сообщением о потере сим-карты, мы ограничиваем доступ к услугам связи после подтверждения его личности. Стоит отметить, что сим-карта, как правило, теряется вместе с устройством, на котором могут быть установлены приложения банков, социальных сетей и т.д. Для защиты необходимо дополнительно ставить ПИН-код на сам гаджет, а также пароли на приложения. В случае пропажи телефона с сим-картой клиентам необходимо в кратчайшие сроки проинформировать нас, обратившись в контактный центр или на точку продаж Yota, чтобы временно заблокировать услуги связи на утерянной сим-карте".

"Мегафон": "Возможность установить ПИН-код на сим-карту есть у каждого абонента, сделать это можно в настройках телефона, это касается и смартфонов, и кнопочных устройств. Мы всегда рекомендуем устанавливать ПИН-код в качестве защиты, но решение остаётся на усмотрение абонента. Если ПИН-кода на сим-карте не было, а телефон украден, нужно как можно скорее заблокировать сим-карту, обратившись в ближайший салон связи или на горячую линию оператора. Мы постоянно взаимодействуем с банками и проводим комплекс технических мероприятий для защиты наших абонентов".

Исследователь мобильных угроз в Лаборатории Касперского Виктор Чебышев рекомендует пользователям совершить два действия:

1. Установить ПИН-код на сим-карту. Его потребуется вводить во время каждой перезагрузки устройства, но обычно это нечастая процедура.
2. Если есть техническая возможность, перейти на eSIM. Это виртуальная сим-карта, её невозможно извлечь из устройства так же просто, как обычную сим-карту, и злоумышленник не сможет оперативно получить доступ к сервисам, если сам смартфон достаточно хорошо защищён, например паролем на разблокировку экрана или отпечатком пальца.