Атака подмены SIM-карты: как хакеры угоняют ваш номер, чтобы украсть криптовалюту

Представьте: ваш телефон вдруг перестаёт работать — ни сети, ни звонков, — а через несколько минут приходят уведомления о смене паролей и выводе средств с ваших счетов. Именно так действует атака подмены SIM-карты (SIM swap) — один из самых опасных способов взлома криптовалютных аккаунтов, потому что удар наносится не по кошельку напрямую, а по номеру телефона, на котором держится вся ваша защита.

В этом руководстве мы простыми словами объясним, как работает такая атака, почему SMS — настоящая уязвимость, и какие практические шаги превратят вас из лёгкой мишени в аккаунт, который трудно взломать.

Что такое атака подмены SIM-карты?

Суть проста: злоумышленник убеждает оператора связи, что он — это вы, и переводит ваш номер на новую SIM-карту, которой владеет сам. Как только это удаётся, все сообщения и звонки, адресованные вам, начинают приходить на его устройство, а не на ваше.

Почему это так опасно? Потому что многие платформы отправляют коды подтверждения по SMS и позволяют восстанавливать пароль именно через номер телефона. Если злоумышленник завладел вашим номером, он может получать эти коды, сбрасывать пароли и обходить двухфакторную аутентификацию, основанную на SMS.

В итоге номер, который должен был вас защищать, превращается в ключ, открывающий злоумышленнику доступ ко всем вашим аккаунтам.

Как злоумышленники проводят атаку шаг за шагом

Никакой сложной технической магии здесь нет — это цепочка обмана и утечек данных:

1. Сбор информации. Злоумышленник собирает ваши личные данные из старых утечек, публичных постов или фишинговых сообщений, замаскированных под платформу или банк.
2. Выдача себя за вас. Он звонит оператору связи или приходит в офис, утверждая, что потерял телефон и хочет перенести номер на новую SIM-карту.
3. Обход проверки. Используя утечённые данные (дату рождения, номера последних платежей, адрес), он убеждает сотрудника поддержки, что номер принадлежит ему.
4. Активация новой SIM-карты. После активации ваша SIM-карта отключается, и номер начинает работать на устройстве злоумышленника.
5. Захват аккаунтов. Он запрашивает сброс паролей, получает SMS-коды и заходит в вашу почту, на платформы и в кошельки.

Почему SMS — недостаточная защита

SMS — это просто и удобно, но именно поэтому это самое слабое звено. Код, который приходит по SMS, привязан к вашему номеру, а не к устройству, — и тот, кто контролирует номер, получает и код. Поэтому всегда рекомендуется переходить на приложения-аутентификаторы, которые генерируют коды локально на телефоне, не проходя через сеть оператора.

Практический вывод: используйте SMS только тогда, когда нет других вариантов, а не для защиты почты или финансовых аккаунтов.

Как себя защитить: практические шаги

Защита строится слоями — каждый новый слой усложняет и удорожает атаку для злоумышленника.

1. Включите аутентификацию через приложение вместо SMS

Переведите двухфакторную аутентификацию для почты и платформ с SMS на приложение-аутентификатор (генерирующее временные TOTP-коды) или используйте физический ключ безопасности для самых важных аккаунтов. Это самый важный отдельный шаг, который вы можете сделать уже сегодня.

2. Запросите PIN-код защиты у оператора связи

Большинство операторов связи позволяют добавить секретный PIN-код или код защиты аккаунта, который запрашивается перед любым переносом номера или заменой SIM-карты. Включите эту опцию и выберите код, никак не связанный с датой рождения или другими легко угадываемыми числами.

3. Сначала защитите свою почту

Ваша электронная почта — ключ ко всему; именно через неё сбрасываются пароли. Установите для неё уникальный надёжный пароль и двухфакторную аутентификацию через приложение или физический ключ, а не через SMS.

4. Меньше раскрывайте публично

Не публикуйте свой номер телефона, личные данные или сведения о владении криптовалютой. Каждая утечённая деталь — это ещё один инструмент в руках того, кто выдаёт себя за вас перед оператором связи.

5. Используйте менеджер паролей и уникальные пароли

Разный пароль для каждого аккаунта означает, что утечка на одном сайте не откроет доступ к остальным. Менеджер паролей делает это простым и реалистичным.

6. Отделите свой номер от чувствительных финансовых аккаунтов

По возможности не привязывайте номер для восстановления важных аккаунтов к основному номеру, который у всех на виду. Некоторые пользователи заводят отдельный, малоизвестный номер исключительно для финансовых аккаунтов.

Что делать, если вы подозреваете, что стали жертвой?

Скорость решает всё. Если сеть внезапно пропала или вы заметили странную активность:

• Немедленно позвоните оператору связи с другого номера, чтобы заблокировать номер и восстановить свою SIM-карту.
• Смените пароли — сначала для почты, затем для финансовых платформ — с надёжного устройства и включите проверку, не зависящую от SMS.
• Проверьте активность аккаунта и историю входов, как можно быстрее сообщите о любых несанкционированных операциях.
• Зафиксируйте всё (время, сообщения, номера) — это может понадобиться при официальном обращении.

Заключение

Атака подмены SIM-карты не взламывает шифрование — она бьёт по самому слабому звену: нашей зависимости от номера телефона и SMS. Когда вы переносите защиту на приложения-аутентификаторы, добавляете PIN-код защиты у оператора связи, укрепляете почту и меньше раскрываете о себе публично, вы закрываете все двери, на которые полностью рассчитывает злоумышленник. Несколько минут, потраченных сегодня на настройку этих параметров, могут уберечь вас от потерь, которые потом будет трудно, а то и невозможно вернуть.