SIM Swapping

Contexte: Bloomberg Businessweek publie un long récit d’enquête s’appuyant sur des documents de justice, des échanges Discord/Telegram et des entretiens (dont de multiples appels avec Noah Urban depuis une prison en Floride), retraçant l’ascension et la chute d’un jeune social engineer de Scattered Spider. Noah Urban, 18 ans au début des faits décrits, opérait comme ‘caller’ spécialisé en ingénierie sociale et SIM-swapping, trompant employés de telcos et de grandes entreprises pour obtenir identifiants et accès. Issu de la communauté en ligne dite ‘Com’, il a progressivement quitté les vols crypto rapides pour des intrusions plus ambitieuses visant des fournisseurs critiques. L’article décrit un écosystème mêlant rivalités internes (doxing, bricking, sextorsion), escalade vers des violences physiques, et une attention croissante des forces de l’ordre aux États-Unis et au Royaume-Uni. ...

L’annonce a été faite par AT&T, un des principaux opérateurs de télécommunications aux États-Unis, concernant le lancement d’une nouvelle fonctionnalité de sécurité appelée ‘Wireless Lock’. Cette mesure vise à renforcer la protection des clients contre les attaques de SIM swapping. Le SIM swapping est une attaque où un attaquant transfère le numéro de téléphone d’une victime vers une nouvelle carte SIM en sa possession, permettant ainsi d’accéder à des comptes protégés par des vérifications par SMS. ‘Wireless Lock’ empêche les modifications des informations de compte et le transfert des numéros de téléphone tant que la fonctionnalité est activée, ajoutant ainsi une couche supplémentaire de sécurité pour les utilisateurs. ...

Selon un article de Le Parisien rapporté par le media Commsrisk, un stagiaire de la Société Générale est soupçonné d’avoir facilité le vol de plus d’un million d’euros en fournissant des informations à des SIM swappers. Cette attaque a ciblé 50 clients de la banque. Le SIM swapping est une technique où le fraudeur prend le contrôle du service téléphonique de la victime en se faisant passer pour elle auprès des fournisseurs de télécommunications. Cela permet au fraudeur de recevoir les mots de passe à usage unique envoyés par la banque pour autoriser les transactions. ...

Selon un article de BleepingComputer, une vulnérabilité a été découverte dans le système de récupération des comptes Google. Cette faille permettait à des chercheurs de réaliser des attaques par force brute sur le numéro de téléphone de récupération d’un compte Google, simplement en connaissant le nom de profil et un numéro de téléphone partiel. Cette vulnérabilité posait un risque majeur pour les utilisateurs, les exposant à des attaques de phishing et de SIM-swapping. Ces types d’attaques peuvent conduire à des compromissions de comptes, des vols d’identité, et des pertes financières. ...

L’article de KrebsOnSecurity rapporte l’extradition de Tyler Robert Buchanan, un Écossais de 23 ans, des Espagne vers les États-Unis, où il est accusé de fraude électronique, conspiration et vol d’identité. Buchanan est soupçonné d’être un membre du groupe de cybercriminalité Scattered Spider. Selon les procureurs américains, Buchanan et ses complices auraient infiltré des dizaines d’entreprises aux États-Unis et à l’étranger, contrôlant personnellement plus de 26 millions de dollars volés. Le groupe est connu pour ses attaques de phishing par SMS et de SIM swapping, ciblant notamment des entreprises technologiques majeures comme Twilio, LastPass, DoorDash, et Mailchimp. ...