Un grupo de investigadores de la compañía de informática rusa Facct ha descubierto un tipo de ciberataque en el que los actores maliciosos utilizan una vulnerabilidad en las tarjetas eSIM para robar números de teléfono y, con ellos, acceder a códigos de verificación o a la autenticación de doble factor. Gracias a esta técnica, los ciberdelincuentes son capaces de conseguir las claves necesarias para acceder a las plataformas de banca online o a las redes sociales de las víctimas.
Las tarjetas eSIM permiten activar planes de datos y de telefonía móvil sin necesidad de utilizar una tarjeta SIM física. De esta forma, se facilita que los usuarios utilicen distintos números desde un mismo 'smartphone', ya que no es necesario disponer de las tarjetas de forma física en el dispositivo.
Los criminales han descubierto un fallo en estas tarjetas digitales. Gracias a este, al utilizar la función de reemplazar o restaurar una tarjeta eSIM consiguen robar el acceso al número de teléfono del usuario afectado y lo transfieren a su propio dispositivo.
En un informe de la firma de informática, recogido por Europa Press, se señala que han identificado más de cien intentos de ingreso a las cuentas personales de los usuarios en una única entidad financiera mediante este método. Asimismo, han confirmado que este tipo de ataques se llevan produciendo a nivel global durante «al menos un año».
Según ha detallado el especialista en el Departamento de Protección contra Fraude en Facct, Dmitri Dudkov, una vez adquieren el número de teléfono de la víctima, los actores maliciosos pueden obtener los códigos de acceso que llegan al teléfono del usuario, así como a los de la autenticación de doble factor, disponibles en varios servicios, como WhatsApp, como una función extra de seguridad que busca impedir que terceros accedan a las plataformas de los usuarios. De esta manera, «se abren muchas oportunidades para que los atacantes implementen planes delictivos», ha apuntado.
Gracias a esta vulnerabilidad, los delincuentes también pueden entrar en las aplicaciones de mensajería instantánea, así como leer y enviar mensajes a la lista de contactos de la víctima para desarrollar estafas; por ejemplo, pidiendo dinero o intentando robarles otro tipo de información.
Con el fin de aumentar la seguridad frente a este tipo de ciberataques, los investigadores de Facct han recordado la importancia de utilizar contraseñas complejas y únicas para cada servicio y dispositivo, así como intentar cambiarlas periódicamente, «una vez por trimestre». Igualmente, la identificación de dos factores siempre ha de estar activada. Además, los investigadores han subrayado la importancia de supervisar los mensajes SMS entrantes sobre el bloqueo, reemisión o transferencia de las tarjetas eSIM
