SIM swapping

O vetor principal é a engenharia social contra o call center da operadora ou o suborno de funcionários internos. Já foram documentadas mensagens a funcionários de operadoras nos EUA oferecendo quantias modestas por cada SIM swap. Após a transferência do número, todo SMS com código de uso único, toda verificação por voz e toda redefinição por SMS chegam ao atacante. Isso permite contornar o 2FA por SMS de exchanges, e-mail e bancos e, a partir daí, roubar contas e fundos. É um ataque à camada de telecomunicações e de identidade, não à rede: não toca diretamente a chave privada, mas pode abrir caminho até ela via uma exchange com custódia ou o e-mail de recuperação.

A regulação já reagiu. A FCC dos EUA adotou em novembro de 2023 regras sobre SIM swap e portabilidade, com data de cumprimento fixada em julho de 2024, que obrigam as operadoras a autenticar o cliente de forma segura antes de uma troca de SIM ou de uma portabilidade. São baseadas em resultados e não prescrevem uma tecnologia específica, por isso persiste certa margem para a engenharia social. A tendência refletida nos relatórios de segurança é de aumento sustentado dos casos, o que explica o endurecimento normativo.

As mitigações são diretas: substituir o 2FA por SMS por um aplicativo autenticador (TOTP) ou por chaves de hardware FIDO2 e passkeys, ativar um PIN ou senha de transferência junto à operadora, bloquear a portabilidade do número e nunca usar o telefone como fator único em contas vinculadas a ativos. Na Espanha, a portabilidade é coordenada pelas operadoras sob supervisão da CNMC (Comisión Nacional de los Mercados y la Competencia, o regulador espanhol de concorrência e telecomunicações), e convém combinar essas precauções com a operadora. Iniciativas como a operadora Cape, focada em privacidade, e processos como o da EPIC perante a FCC ilustram a resposta ao fenômeno. O SIM swapping é uma porta de entrada para o comprometimento de chave ou de conta quando a segurança depende do telefone.