eSIM Swap: alerta por delincuentes que usan los chips eSIM para robar números de teléfono de usuarios y acceder a sus cuentas bancarias

Un grupo de investigadores ha descubierto un tipo de ciberataque en el que los actores maliciosos utilizan una vulnerabilidad en las tarjetas eSIM para robar números de teléfono y, con ello, acceder a códigos de verificación o a la autenticación de doble factor, para conseguir entrar de forma no autorizada a diversos servicios de los usuarios, como aplicaciones bancarias o de mensajería instantánea.

Las tarjetas eSIM son una tarjeta SIM electrónica con la que se activan planes de datos y de telefonía móvil proporcionados por un operador sin necesidad de utilizar una tarjeta SIM física. De esta forma, se facilita que los usuarios utilicen distintos números desde un mismo smartphone, ya que no es necesario disponer de las tarjetas de forma física en el dispositivo, sino que se utilizan de forma digital.

En este sentido, actores maliciosos han abusado de una vulnerabilidad encontrada en este tipo de tarjetas digitales, con la que al utilizar la función de reemplazar o restaurar una tarjeta eSIM, consiguen robar el acceso al número de teléfono del usuario afectado y lo transfieren a su propio dispositivo con una eSIM.

Así lo ha advertido la compañía rusa de ciberseguridad FACCT en un informe publicado en su web, en el que ha detallado que han identificado más de cien intentos de ingreso a las cuentas personales de los usuarios en una única entidad financiera mediante este método. Asimismo, han confirmado que este tipo de ataques se llevan produciendo a nivel global durante “al menos un año”.

Cómo funciona el robo de eSIM

Tal y como han explicado los investigadores, para robar el número de teléfono de los usuarios, los actores maliciosos recurren a vulnerar la cuenta personal del usuario en la operadora con la que tienen contratada su línea de teléfono.

De esta forma, una vez que acceden a la cuenta de la víctima en la compañía operadora, generan códigos QR o códigos de activación de la dirección SM-DP+, esto es, un método para generar e instalar las eSIM en los dispositivos. Tras ello, transfieren el número de la tarjeta física del afectado a una tarjeta eSIM en su propio dispositivo, impidiendo además que la víctima pueda utilizar su tarjeta SIM y, por tanto, pierda el acceso a su número de teléfono.

Según ha detallado el especialista en el Departamento de Protección contra Fraude en FACCT, Dmitri Dudkov, una vez adquieren el número de teléfono de la víctima, los actores maliciosos pueden obtener los códigos de acceso que llegan a dicho teléfono, así como en la autenticación de doble factor para diversos servicios. De esta manera, “se abren muchas oportunidades para que los atacantes implementen planes delictivos”, ha apuntado.

Por ejemplo, según ha dicho, los ciberdelincuentes pueden utilizar los códigos de confirmación que se envían al número de teléfono para “retirar todo el dinero de la cuenta de la víctima y emitir préstamos”.

También pueden utilizar de forma no autorizada las aplicaciones de mensajería instantánea, así como leer y enviar mensajes a su lista de contactos; pueden estafar a sus contactos enviando mensajes para, por ejemplo, pedir dinero prestado o para llevar a cabo chantaje.

Asimismo, también han señalado que estas estafas aumentan gracias al uso de herramientas de Inteligencia Artificial (IA) y a la presencia de contenido multimedia, herramientas con las que, a través de los mensajes, intentan engañar a más usuarios.

Medidas de protección

Con todo ello, de cara a aumentar su seguridad frente a este tipo de ciberataques, los investigadores de FACCT han recordado la importancia de utilizar contraseñas complejas y únicas para cada servicio y dispositivo, así como intentar cambiarlas periódicamente, “una vez por trimestre”. Igualmente, la identificación de dos factores siempre ha de estar activada.

Además, los investigadores han subrayado la importancia de supervisar los mensajes SMS entrantes sobre el bloqueo, reemisión o transferencia de las tarjetas eSIM.

• También es recomendable usar apps de autenticación en vez del SMS como factor de doble autenticación