SIM カード スワップ攻撃とは何ですか?暗号化された Twitter アカウントが盗まれるのはなぜですか?

原文: コインテレグラフ

編纂: ウー氏はブロックチェーンについて語った

7月21日、Uniswap創設者ヘイデン・アダムスのTwitterアカウントがハッキングされ、フィッシングリンクを含むツイートが投稿された。このハッキングは SIM カード盗難の一種である可能性があると報告されています。つまり、攻撃者が被害者の電話番号を乗っ取り、銀行口座、クレジット カード、またはアカウントにアクセスできるようにします。

7月23日には、Coinlistのアカウントもハッキングされ、フィッシングリンクが投稿された。そしてその前には、7月5日にLayerZeroのTwitterアカウントが盗まれ、6月にはDEX取引集約プラットフォームSlingshotの公式Twitterアカウントが盗まれ、BitBoyの創設者であるBen ArmstrongのTwitterアカウントが盗まれました。なぜ大量の暗号化アカウントが盗まれるのでしょうか?ユーザーはそれをどのように防ぐべきでしょうか?

以下はコインテレグラフの記事の全訳であり、原文へのリンクです。

SIM スワッピング攻撃は低技術のスキルとみなされていることが多いため、ユーザーは自分の ID のセキュリティに注意する必要があります。サイバーセキュリティ インフラストラクチャの改善にもかかわらず、オンライン ID は依然として、ユーザーの電話番号のハッキングに関連するリスクを含む多くのリスクに直面しています。

7 月初旬、LayerZero CEO の Bryan Pellegrino 氏は、最新の SIM スワッピング攻撃の被害者の 1 人となり、ハッカーによって彼の Twitter アカウントが短期間乗っ取られました。ペレグリーノ氏は自身のツイッターアカウントを取り戻した直後、「私が衝突交換識別番号を取得していない間に、誰かが私のIDをゴミ箱から取り出し、どういうわけか代理店をだましてSIMカードとして使用させたのではないか」と書いた。 「ブライアン・ペレグリノ - 講演者」の通常の紙製会議バッジ。

Pellegrino とのこの遭遇により、ユーザーは SIM カード スワップ攻撃を実行するのは他人の資格情報を盗むのと同じくらい簡単だと考えるようになったかもしれません。コインテレグラフは、これが事実かどうかを確認するために、いくつかの仮想通貨セキュリティ会社に連絡を取った。

SIM スワップ攻撃とは何ですか

SIM スワップ攻撃は個人情報盗難の一形態であり、攻撃者が被害者の電話番号を乗っ取り、銀行、クレジット カード、または暗号通貨の口座にアクセスできるようにします。

2021年、FBIは6,800万ドル以上の損失を伴うSIM交換に関する苦情を1,600件以上受け取った。これは、過去 3 年間に寄せられた苦情と比較して苦情が 400% 増加していることを表しており、SIM スワッピング攻撃が「確実に増加している」ことを示唆していると CertiK のセキュリティ運用責任者のヒュー・ブルックス氏はコインテレグラフに語った。 「SMSベースの2段階認証への依存から脱却せず、通信プロバイダーがセキュリティ基準を改善しなければ、攻撃の数は今後も増加する可能性が高い」とブルックス氏は述べた。

SlowMist Security の最高情報セキュリティ責任者である 23pds 氏によると、SIM スワッピング攻撃は現在あまり一般的ではありませんが、近い将来に大きな成長の可能性があるとのことです。 「Web3の人気が高まり、より多くの人がこの業界に引き込まれるにつれて、その技術要件が比較的低いため、SIMスワッピング攻撃の可能性も高まるだろう」と同氏は述べた。

23pdsは、過去数年間に起きた仮想通貨に関連したSIMスワップハッキングのいくつかの事例について言及した。 2021年10月、Coinbaseは2段階認証（2FA）の脆弱性によりハッカーが少なくとも6,000人の顧客から暗号通貨を盗んだことを正式に明らかにした。これに先立って、英国のハッカー、ジョセフ・オコナーは2019年に複数のSIMカード交換攻撃を通じて約80万ドルの暗号通貨を盗んだ罪で起訴された。

SIM スワップ攻撃を実行するのはどれほど難しいか

CertiK 幹部によると、SIM スワッピング攻撃は、公開されている情報やソーシャル エンジニアリング技術を通じて取得した情報を使用して実行されることがよくあります。 「全体として、SIM スワッピングは、スマート コントラクトのエクスプロイトや取引所のハッキングなど、より技術的に要求の高い攻撃に比べて、攻撃者にとって参入障壁が低いと考えられるかもしれません」と CertiK のブルックス氏は述べています。

SlowMist の 23pds は、SIM の交換には高度な技術スキルが必要ないことに同意します。同氏はまた、この種の SIM スワッピングは Web2 の世界では「普及している」ため、Web3 環境では「驚くべきことではない」とも述べました。 「問題のオペレーターやカスタマーサービス担当者を騙すソーシャルエンジニアリング技術を使えば、通常は実行が簡単だ」と同氏は語った。

SIM スワップ攻撃を防ぐ方法

SIM スワッピング攻撃は通常、ハッカーにそれほど技術的なスキルを必要としないため、ユーザーはそのような攻撃を防ぐために自分の ID のセキュリティに注意する必要があります。

SIM スワッピング攻撃に対する主な保護は、SIM ベースの 2 要素認証方法の使用を制限することです。 Hacken's Budrin 氏は、SMS などの方法に依存するのではなく、Google Authenticator や Authy などのアプリを使用する方が良いと指摘しています。

SlowMist の 23pds では、多要素認証や追加のパスワードなどの強化されたアカウント検証などのさらなる戦略についても言及しています。同氏はまた、ユーザーに対し、SIMカードや携帯電話のアカウントに強力なパスワードやPINコードを設定することを強く推奨している。

SIM の交換を回避するもう 1 つの方法は、名前、住所、電話番号、生年月日などの個人データを保護することです。 SlowMist の 23pds も、オンライン アカウントに異常なアクティビティがないか精査することを推奨しています。

CertiKのBrooks氏は、プラットフォーム側も安全な二次検証の実践を推進する責任を負うべきだと強調した。たとえば、企業はアカウント情報の変更を許可する前に追加の検証を要求したり、SIM 交換のリスクについてユーザーを教育したりすることができます。