حمله تعویض سیم کارت چیست؟ راهنمای محافظت از ارزهای دیجیتال در برابر SIM Swap

تصور کنید در حال نوشیدن چای عصرانه هستید که ناگهان آنتن گوشی قطع می‌شود و عبارت "No Service" روی صفحه نقش می‌بندد. در همان دقایقی که فکر می‌کنید شبکه مخابراتی دچار اختلال شده و منتظر بازگشت آنتن هستید، هکر در حال دریافت کدهای تایید پیامکی (SMS 2FA) شماست تا وارد حساب صرافی ارز دیجیتال تان شود و تمام دارایی‌هایتان را خالی کند. در این مقاله، مکانیزم دقیق این سرقت خاموش را بررسی می‌کنیم و نشان می‌دهیم چطور می‌توانید با چند اقدام پیشگیرانه، سد محکمی در برابر هکرها بسازید تا سرمایه دیجیتال شما همیشه در امان بماند.

حمله تعویض سیم کارت یا سیم سواپ چیست؟

تصور کنید شخصی با استفاده از مدارک جعلی به اداره‌ی پست مراجعه کند و از آن‌ها بخواهد تمام نامه‌ها و بسته‌های پستی شما را از این به بعد به آدرس خانه‌ی او بفرستند. حمله‌ی تعویض سیم کارت یا سیم سواپ (SIM Swap) دقیقا همین کار را در دنیای دیجیتال انجام می‌دهد. در این روش، هکر بدون اینکه گوشی شما را لمس کند، با استفاده از تکنیک‌های مهندسی اجتماعی (فریب دادن افراد با داستان‌سازی و بازی با روان آن‌ها) با شرکت مخابراتی شما تماس می‌گیرد. او خود را به جای شما جا می‌زند و از پشتیبان می‌خواهد شماره‌ی شما را روی یک سیم کارت جدید که در دست خودش است، فعال کند.

به محض اینکه اپراتور مخابراتی فریب بخورد و این درخواست را تایید کند، آنتن گوشی شما قطع می‌شود و تمام پیامک‌ها، تماس‌ها و از همه مهم‌تر کدهای تایید دو مرحله‌ای (Two-Factor Authentication یا همان رمزهای پویای پیامکی) به گوشی هکر ارسال می‌شود. حالا او می‌تواند به راحتی وارد حساب‌های بانکی، ایمیل و صرافی‌های ارز دیجیتال شما شود و رمز عبور آن‌ها را تغییر دهد.

تاریخچه کوتاه از شکل‌گیری حملات سیم سواپ

شاید فکر کنید این روش کلاهبرداری پدیده‌ی بسیار جدیدی است، اما سابقه‌ی آن به سال‌ها پیش برمی‌گردد. در ابتدا، مجرمان سایبری از این روش بیشتر برای دور زدن رمزهای عبور شبکه‌های اجتماعی افراد مشهور، آزار و اذیت یا دسترسی به حساب‌های بانکی سنتی استفاده می‌کردند. با این حال، نقطه‌ی عطف و اوج‌گیری این حملات با ظهور دنیای رمزارزها (ارزهای دیجیتال رمزنگاری شده مانند بیت کوین) اتفاق افتاد.

از آنجا که تراکنش‌های ارز دیجیتال مثل خرید اتریوم غیرقابل برگشت هستند و هویت افراد در شبکه‌ی بلاک چین (دفتر کل دیجیتال و غیرمتمرکز برای ثبت تراکنش‌ها) ناشناس می‌ماند، هکرها متوجه شدند که کیف پول‌های دیجیتال هدف بسیار جذاب‌تر و کم‌خطرتری نسبت به حساب‌های بانکی سنتی هستند. به همین دلیل، در سال‌های اخیر شاهد افزایش چشمگیر این نوع حملات بوده‌ایم که به طور خاص سرمایه‌گذاران بازار کریپتو را هدف قرار می‌دهند.

تفاوت سرقت فیزیکی گوشی با حمله سیم سواپ

برای درک بهتر خطرات این حمله، باید بدانیم که دزدیده شدن فیزیکی موبایل چه تفاوتی با هک شدن شبکه‌ی سیم کارت دارد. وقتی موبایل شما در خیابان به سرقت می‌رود، شما بلافاصله متوجه موضوع می‌شوید و می‌توانید اقدامات امنیتی لازم را انجام دهید، اما سیم سواپ یک سرقت خاموش است.

تفاوت‌های اصلی این دو روش شامل موارد زیر است:

• مکان هکر: در سرقت فیزیکی، سارق باید در نزدیکی شما باشد تا بتواند گوشی را برباید. اما در حمله‌ی سیم سواپ، هکر می‌تواند در شهر یا حتی کشور دیگری نشسته باشد و از راه دور خط شما را تسخیر کند.
• زمان آگاهی از خطر: وقتی گوشی شما دزدیده می‌شود، در همان لحظه متوجه می‌شوید و می‌توانید سریعا با بانک تماس بگیرید یا حساب‌های صرافی خود را مسدود کنید. در مقابل، قربانیان سیم سواپ معمولا زمانی متوجه ماجرا می‌شوند که آنتن گوشی قطع شده و هکر در حال خالی کردن حساب‌های آن‌ها است.
• لایه امنیتی دستگاه: در سرقت فیزیکی، سارق برای رسیدن به اطلاعات شما باید رمز عبور یا الگو (Pattern) قفل صفحه‌ی گوشی را باز کند که کار دشواری است. اما در تعویض سیم کارت، هکر اصلا نیازی به باز کردن قفل گوشی شما ندارد؛ او مستقیما کدهای تایید جدید را روی گوشی خودش دریافت می‌کند.

بنابراین، محافظت از سرمایه‌ی دیجیتال در برابر این حمله‌ی خاموش، نیازمند آگاهی و استفاده از روش‌های امنیتی پیشرفته‌تری نسبت به قفل کردن ساده‌ی صفحه‌ی گوشی است.

هکرها چگونه بدون دسترسی به گوشی، سیم کارت شما را می‌دزدند؟

شاید برای شما هم این سوال پیش آمده باشد که چطور ممکن است سیم کارت درون گوشی شما، ناگهان به دست شخص دیگری بیفتد، در حالی که گوشی هنوز در جیب شماست! برای درک این موضوع، تصور کنید فردی با استفاده از مدارک شناسایی شما که قبلا گم شده است، به یک اداره می‌رود و خود را جای شما جا می‌زند. در حمله‌ی تعویض سیم کارت، هکر دقیقا همین کار را به صورت تلفنی یا اینترنتی انجام می‌دهد. او با جمع‌آوری تکه‌های پازل هویت شما، یک تصویر دروغین می‌سازد و پشتیبانی شرکت مخابراتی را فریب می‌دهد. بیایید این عملیات را در سه مرحله‌ی ساده بررسی کنیم.

مرحله‌ی اول: جمع‌آوری اطلاعات شخصی شما در فضای وب (Phishing و دیتابیس‌های لو رفته)

هکرها برای اینکه بتوانند خود را جای شما جا بزنند، به اطلاعات شخصی شما نیاز دارند. این اطلاعات شامل نام کامل، تاریخ تولد، کد ملی، آدرس خانه‌ی شما و حتی نام حیوان خانگی یا مدرسه‌ی دوران کودکی شماست. اما آن‌ها این اطلاعات را از کجا می‌آورند؟

• حملات فیشینگ: (Phishing: تله‌گذاری اینترنتی برای سرقت اطلاعات با ساخت صفحات جعلی) هکر یک ایمیل یا پیامک ساختگی، مثلا از طرف صرافی یا بانک برای شما می‌فرستد و از شما می‌خواهد وارد یک لینک شوید و اطلاعات خود را وارد کنید.
• دیتابیس‌های لو رفته: (Database: پایگاه داده یا انبار ذخیره‌ی اطلاعات در اینترنت) گاهی اوقات سایت‌ها و شرکت‌های بزرگ هک می‌شوند و اطلاعات کاربران آن‌ها در فضای اینترنت پخش می‌شود.
• شبکه‌های اجتماعی: ما معمولا در اینستاگرام یا لینکدین اطلاعات زیادی از زندگی شخصی، تاریخ تولد و روابط خود منتشر می‌کنیم که هکرها مانند یک کارآگاه آن‌ها را جمع‌آوری می‌کنند تا به سوالات امنیتی مخابرات پاسخ دهند.

مرحله‌ی دوم: فریب دادن اپراتور مخابراتی با تکنیک‌های مهندسی اجتماعی

وقتی هکر اطلاعات کافی را جمع‌آوری کرد، با بخش پشتیبانی اپراتور مخابراتی تماس می‌گیرد. در اینجا هکر از تکنیک مهندسی اجتماعی (Social Engineering: هنر فریب دادن انسان‌ها و بازی با احساسات آن‌ها برای دسترسی به اطلاعات محرمانه) استفاده می‌کند. او با صدایی نگران و مضطرب به کارشناس پشتیبانی می‌گوید که گوشی موبایلش به سرقت رفته یا آسیب دیده است و نیاز دارد شماره‌اش فورا روی یک سیم کارت جدید فعال شود.

کارشناس مخابرات برای تایید هویت، سوالات امنیتی می‌پرسد. از آنجا که هکر در مرحله‌ی قبل تمام این اطلاعات را جمع‌آوری کرده است، به راحتی و با اعتماد به نفس به تمام سوالات پاسخ می‌دهد و کارشناس را قانع می‌کند که مالک حقیقی خط است.

مرحله‌ی سوم: انتقال شماره به سیم کارت جدید و قطع شدن خط اصلی شما

در این مرحله‌ی حساس، کارشناس مخابرات که کاملا فریب خورده است، درخواست هکر را تایید می‌کند. در یک چشم بر هم زدن، سیم کارت قدیمی که در گوشی شما قرار دارد، برای همیشه غیرفعال می‌شود و آنتن گوشی شما می‌پرد. در همان لحظه، سیم کارت جدیدی که در دست هکر است فعال می‌شود و شماره‌ی شما روی آن قرار می‌گیرد.

از این لحظه به بعد، کنترل کامل ارتباطات شما به دست هکر می‌افتد. هر پیامک ورود به حساب کاربری، هر تماس تلفنی و هر کد تاییدی که از طرف صرافی ارز دیجیتال یا ایمیل برای شما ارسال شود، مستقیما روی صفحه‌ی گوشی هکر نمایش داده می‌شود و او می‌تواند به راحتی رمز عبور تمام حساب‌های مالی شما را تغییر دهد.

مراحل اجرای حمله‌ی سیم سواپ (برای مرور سریع فرآیند)

برای اینکه این فرآیند مهم بهتر در ذهن شما بماند، کل مسیر حمله را به صورت یک نقشه‌ی راه مرحله به مرحله مرور می‌کنیم:

• هدف‌گذاری و جمع‌آوری داده: هکر شماره موبایل شما را پیدا می‌کند و از طریق فیشینگ یا جستجو در شبکه‌های اجتماعی، اطلاعات هویتی شما را به دست می‌آورد.
• تماس با پشتیبانی مخابرات: مجرم با اپراتور تماس می‌گیرد و داستان گم شدن سیم کارت را با مهارت تعریف می‌کند.
• تایید هویت دروغین: هکر با استفاده از اطلاعات سرقت شده، به سوالات امنیتی اپراتور به درستی پاسخ می‌دهد.
• جابه‌جایی خط: اپراتور مخابرات، سیم کارت شما را می‌سوزاند و شماره را روی سیم کارت هکر فعال می‌کند.
• سرقت کدهای تایید پیامکی: هکر درخواست تغییر رمز حساب‌های ارز دیجیتال شما را می‌دهد و کدهای پیامکی را روی گوشی خود دریافت می‌کند.
• تخلیه‌ی حساب و کیف پول: مجرم وارد حساب کاربری شما شده و دارایی‌های دیجیتال را به سرقت می‌برد.

چرا سرمایه‌گذاران ارز دیجیتال و بازارهای مالی هدف اصلی این حمله هستند؟

دنیای رمزارزها پر از فرصت‌های بی‌نظیر برای سرمایه‌گذاری است، اما دقیقا همین جذابیت‌ها توجه سارقان دیجیتال را هم به خود جلب کرده است. سارقان همیشه به دنبال راحت‌ترین و بی‌خطرترین راه برای رسیدن به پول هستند. در سیستم بانکی سنتی، اگر پولی دزدیده شود، پلیس و بانک می‌توانند حساب‌ها را مسدود کنند و جلوگیری از این کلاهبرداری زنجیره‌ای، در سریع‌ترین زمان ممکن از طریق یک خط دیگردر بسیاری از مواقع پول را برگردانند.

اما در دنیای ارزهای دیجیتال، تراکنش‌ها در شبکه‌ی بلاکچین (Blockchain: یک دفتر کل دیجیتال و غیرمتمرکز که اطلاعات را ثبت می‌کند و هیچ نهاد یا شخص مرکزی کنترلش نمی‌کند) ثبت می‌شوند و کاملا غیرقابل بازگشت هستند. وقتی دارایی‌هایی مانند بیت کوین یا تتر از حساب شما خارج شود، دیگر هیچ بانک یا پشتیبانی وجود ندارد که آن را برگرداند. به همین دلیل، هکرها عاشق حمله به کاربران حوزه‌ی کریپتو هستند.

دسترسی آسان به کیف پول‌های گرم و حساب صرافی‌های آنلاین

بسیاری از کاربران مبتدی، دارایی‌های خود را در کیف پول‌های گرم (Hot Wallet: کیف پول دیجیتالی که همیشه به اینترنت متصل است، مانند برنامه‌های روی گوشی، که استفاده از آن راحت اما امنیتش پایین‌تر است) یا روی حساب صرافی‌های آنلاین نگهداری می‌کنند. این پلتفرم‌ها معمولا برای ورود یا تغییر رمز عبور، به شماره موبایل شما وابسته هستند.

وقتی هکر با حمله‌ی سیم سواپ کنترل شماره‌ی شما را به دست می‌گیرد، کافی است در صفحه‌ی ورود به صرافی روی گزینه‌ی فراموشی رمز عبور کلیک کند. صرافی بلافاصله یک پیامک حاوی لینک یا کد تغییر رمز به شماره موبایل شما می‌فرستد، اما این پیامک در واقع روی گوشی هکر ظاهر می‌شود. به این ترتیب، سارق به سادگی و در چند ثانیه وارد حساب شما شده و تمام دارایی را به کیف پول ناشناس خودش منتقل می‌کند.

سرقت هویت و سوءاستفاده از شبکه‌های اجتماعی برای کلاهبرداری از دوستان

گاهی اوقات هدف هکر فقط خالی کردن حساب صرافی شما نیست؛ آن‌ها به دنبال اعتبار و شبکه‌ی ارتباطی شما هم هستند. با در دست داشتن شماره موبایل، هکر می‌تواند به راحتی وارد برنامه‌های پیام‌رسان و شبکه‌های اجتماعی شما شود. هکر با استفاده از اعتبار شما، ممکن است اقدامات خطرناک زیر را انجام دهد:

• ارسال پیام به اعضای خانواده و دوستان برای دریافت پول به بهانه‌ی یک مشکل اورژانسی.
• انتشار پست یا استوری در صفحه‌ی شخصی شما و تشویق دنبال‌کنندگان به خرید یک ارز دیجیتال تقلبی.
• ارسال لینک‌های ویروسی برای مخاطبان شما جهت هک کردن اطلاعات آن‌ها.

در واقع، با هک شدن سیم کارت، شما نه تنها سرمایه‌ی خود، بلکه ممکن است امنیت و سرمایه‌ی نزدیکان خود را نیز به خطر بیندازید.

خطر بزرگ: چرا تایید دو مرحله‌ای پیامکی (SMS 2FA) دیگر امن نیست؟

احتمالا تا به حال بارها شنیده‌اید که برای امنیت بیشتر باید تایید دو مرحله‌ای (2FA: مخفف Two-Factor Authentication، یک لایه‌ی امنیتی اضافه که برای ورود به حساب، علاوه بر رمز عبور ثابت، یک کد موقت هم از شما می‌خواهد) را فعال کنید. این حرف کاملا درست است، اما یک مشکل بسیار بزرگ وجود دارد: استفاده از پیامک برای این کار دیگر به هیچ وجه امن نیست!

برای درک این موضوع، تصور کنید خانه‌ی شما دو قفل دارد؛ کلید قفل اول همان رمز عبور شماست و کلید قفل دوم همان پیامکی است که به گوشی شما می‌آید. وقتی هکر سیم کارت شما را می‌دزدد، در واقع کلید قفل دوم را به راحتی از شما گرفته است. شبکه‌ی مخابراتی نمی‌تواند تشخیص دهد که سیم کارت الان در گوشی شماست یا در دست هکر؛ او فقط پیامک را به شماره‌ی مورد نظر می‌فرستد.

بنابراین، اگر صرافی یا ایمیل شما برای تایید ورود فقط به پیامک وابسته باشد، حمله‌ی تعویض سیم کارت به راحتی این سد امنیتی را می‌شکند. به همین دلیل است که کارشناسان امنیت سایبری همیشه هشدار می‌دهند که برای محافظت از دارایی‌های دیجیتال، باید با پیامک تایید خداحافظی کنید و به سراغ برنامه‌های امن‌تری بروید که در بخش‌های بعدی مقاله به آن‌ها اشاره خواهیم کرد.

نشانه‌های خطر: از کجا بفهمیم قربانی SIM Swap شده‌ایم؟

یکی از ترسناک‌ترین ویژگی‌های حمله‌ی تعویض سیم کارت این است که در سکوت کامل اتفاق می‌افتد. هکرها هیچ اخطار قبلی به شما نمی‌دهند، اما خوشبختانه این فرآیند بدون ردپا نیست. درست مانند یک سرماخوردگی که قبل از شدت گرفتن، علائم اولیه‌ای از خود نشان می‌دهد، هک شدن سیم کارت هم نشانه‌های واضحی دارد. اگر بتوانید این نشانه‌ها را به سرعت تشخیص دهید، شانس بسیار بالایی برای نجات دادن سرمایه‌ی دیجیتال خود خواهید داشت. در ادامه، چهار هشدار اصلی را بررسی می‌کنیم که به شما می‌گویند کنترلی روی خط تلفن خود ندارید.

قطع ناگهانی آنتن گوشی و عبارت No Service در مناطق تحت پوشش

بارزترین و اولین نشانه‌ی این حمله، پریدن ناگهانی آنتن موبایل است. البته قطع شدن آنتن در مترو یا جاده‌های خارج از شهر کاملا طبیعی است؛ اما اگر در خانه‌ی خود یا محل کارتان (جایی که همیشه پوشش شبکه‌ی خوبی داشته‌اید) ناگهان متوجه شدید که آنتن گوشی کاملا خالی شده و عبارت No Service (بدون سرویس) یا Emergency Calls Only (فقط تماس‌های اضطراری) روی صفحه‌ی نمایش ظاهر شده است، باید به شدت زنگ خطر را در ذهن خود روشن کنید. این اتفاق به این دلیل رخ می‌دهد که اپراتور مخابراتی، سیم کارت فیزیکی داخل گوشی شما را غیرفعال کرده و شبکه‌ی ارتباطی شما را به سیم کارت جدیدی که در دست هکر است، انتقال داده است.

عدم دریافت تماس و پیامک‌های معمول

گاهی اوقات ممکن است متوجه قطع شدن آنتن نشوید، مخصوصا اگر به اینترنت وای‌فای (Wi-Fi) متصل باشید و مشغول کار با برنامه‌های پیام‌رسان اینترنتی باشید. در این حالت، نشانه‌ی دوم خودش را نشان می‌دهد: سکوت غیرعادی گوشی شما. نشانه‌های این سکوت شامل موارد زیر است:

• دریافت نکردن پیامک‌های بانکی پس از انجام خرید.
• نرسیدن پیامک‌های تبلیغاتی که معمولا در طول روز دریافت می‌کردید.
• تماس‌های ناموفق دوستان و خانواده.

برای تست این موضوع، می‌توانید از یک شخص دیگر بخواهید با شماره‌ی شما تماس بگیرد؛ اگر بوق اشغال زد یا پیام در دسترس نبودن مشترک پخش شد در حالی که گوشی شما روشن است، احتمالا قربانی حمله‌ی سیم سواپ شده‌اید.

دریافت ایمیل‌های هشدار ورود یا تغییر رمز عبور بدون درخواست شما

هکرها بعد از در دست گرفتن شماره‌ی شما، ثانیه‌ای را تلف نمی‌کنند. آن‌ها بلافاصله به سراغ صرافی‌های ارز دیجیتال، ایمیل‌ها و حساب‌های بانکی شما می‌روند و درخواست بازیابی رمز عبور می‌دهند. از آنجا که کدهای پیامکی به گوشی هکر می‌رود، او به راحتی رمز را تغییر می‌دهد. اما خبر خوب این است که بیشتر پلتفرم‌های معتبر، علاوه بر پیامک، یک ایمیل هشدار امنیتی (Security Alert: پیامی که سیستم‌های کامپیوتری در زمان تشخیص یک فعالیت مشکوک یا ورود از دستگاه جدید به صورت خودکار ارسال می‌کنند) هم برای شما می‌فرستند. اگر ایمیلی دریافت کردید که می‌گوید درخواست تغییر رمز عبور با موفقیت انجام شد یا ورود از یک دستگاه ناشناس صورت گرفته است و شما چنین درخواستی نداده بودید، باید بدانید که هکر در حال گشت‌وگذار در حساب‌های مالی شماست.

قفل شدن ناگهانی حساب‌های کاربری و شبکه‌های اجتماعی

آخرین و دردناک‌ترین نشانه‌ی این حمله زمانی است که متوجه می‌شوید کلید خانه‌ی دیجیتال خود را از دست داده‌اید. هکر پس از تغییر رمز عبور، معمولا گزینه‌ی خروج از تمام دستگاه‌ها (Log out of all devices) را انتخاب می‌کند تا شما را کاملا از حساب کاربری بیرون بیندازد و مانع دخالت شما شود. در این حالت، وقتی می‌خواهید برنامه‌ی صرافی، اینستاگرام یا ایمیل خود را باز کنید، متوجه می‌شوید که از حساب کاربری خارج شده‌اید. وقتی هم که سعی می‌کنید با رمز عبور همیشگی خود دوباره وارد شوید، سیستم به شما خطای اشتباه بودن رمز عبور را نشان می‌دهد. این یعنی هکر نه تنها وارد حساب شما شده، بلکه قفل در را هم عوض کرده است تا با خیال راحت دارایی‌های رمزارزی شما را سرقت کند.

راهکارهای عملی برای جلوگیری از سرقت سیم کارت و محافظت از دارایی‌ها

حالا که با خطرات و نشانه‌های این حمله‌ی خاموش آشنا شدیم، زمان آن رسیده است که یک سپر دفاعی محکم برای سرمایه‌ی دیجیتال خود بسازیم. خبر خوب این است که با چند تغییر ساده در تنظیمات امنیتی، می‌توانید راه نفوذ سارقان را به طور کامل ببندید. در این بخش، قدم به قدم روش‌هایی را یاد می‌گیریم که دارایی‌های شما را در برابر سیم سواپ ضدگلوله می‌کنند.

جایگزینی پیامک با برنامه‌های تایید هویت (مانند Google Authenticator)

اولین و مهم‌ترین قدم برای محافظت از حساب‌های رمزارزی، خداحافظی با پیامک است. به جای اینکه منتظر بمانید صرافی برای شما کد پیامکی بفرستد، باید از برنامه‌های تایید هویت (Authenticator App: برنامه‌ای که کدهای موقت شش رقمی تولید می‌کند و برای کار کردن به سیم کارت یا حتی اینترنت نیازی ندارد) استفاده کنید. معروف‌ترین برنامه‌ها در این زمینه Google Authenticator و Authy هستند.

وقتی این برنامه‌ها را به حساب صرافی یا ایمیل خود متصل می‌کنید، کدهای ورود فقط و فقط در داخل گوشی شما تولید می‌شوند. بنابراین، حتی اگر هکر سیم کارت شما را بدزدد، نمی‌تواند به کدهای ورود دسترسی پیدا کند، زیرا این کدها به شبکه‌ی مخابراتی وابسته نیستند و فقط روی دستگاه فیزیکی شما وجود دارند.

استفاده از کلیدهای امنیتی فیزیکی برای صرافی‌ها و ایمیل‌های حساس

اگر سرمایه‌ی قابل توجهی در بازار کریپتو دارید، بهتر است امنیت خود را به بالاترین سطح ممکن برسانید. بهترین راه برای این کار، استفاده از کلید امنیتی فیزیکی (Hardware Security Key: یک قطعه‌ی سخت‌افزاری شبیه به فلش مموری که برای باز کردن قفل حساب کاربری باید آن را به کامپیوتر یا گوشی متصل کنید) است.

کلیدهای معروفی مانند YubiKey دقیقا مثل کلید گاوصندوق شما عمل می‌کنند. وقتی این کلید را روی حساب صرافی یا جیمیل خود فعال می‌کنید، هکر حتی اگر رمز عبور شما را داشته باشد و سیم کارت شما را هم هک کرده باشد، تا زمانی که این قطعه‌ی فیزیکی را در دست نداشته باشد، به هیچ وجه نمی‌تواند وارد حساب شما شود. این روش امن‌ترین سد دفاعی در دنیای دیجیتال محسوب می‌شود.

فعال‌سازی پین کد (PIN) اختصاصی یا پوک کد (PUK) در اپراتورهای مخابراتی

همانطور که گفتیم، هکرها با فریب دادن پشتیبانی مخابرات، خط شما را می‌دزدند. برای جلوگیری از این اتفاق، باید یک رمز عبور بین خودتان و شرکت مخابراتی تعیین کنید. شما می‌توانید با مراجعه به اپلیکیشن اپراتور خود یا تماس با پشتیبانی، یک پین کد (PIN: رمز عبور شخصی و محرمانه) برای خط خود تعریف کنید و از آن‌ها بخواهید که هیچ تغییری در تنظیمات سیم کارت (مانند صدور سیم کارت جدید) بدون ارائه‌ی این رمز انجام نشود.

همچنین، پوک کد (PUK: کلید بازگشایی رمز که معمولا روی پوکه‌ی پلاستیکی سیم کارت نوشته شده است) نیز می‌تواند به عنوان یک لایه‌ی امنیتی برای احراز هویت قطعی شما در برابر اپراتور استفاده شود. با این کار، وقتی هکر با مخابرات تماس می‌گیرد، کارشناس از او رمز می‌خواهد و چون هکر این رمز را ندارد، نقشه‌ی او با شکست مواجه می‌شود.

محدود کردن اشتراک‌گذاری اطلاعات هویتی و شماره تماس در شبکه‌های اجتماعی

هکرها جادوگر نیستند؛ آن‌ها اطلاعات شما را از لابه‌لای پست‌ها و پروفایل‌های شبکه‌های اجتماعی خودتان پیدا می‌کنند. برای اینکه جلوی سرقت هویت را بگیرید، باید حضور دیجیتال خود را پاکسازی کنید.

• تاریخ تولد، کد ملی و آدرس دقیق خود را در اینستاگرام، لینکدین یا توییتر منتشر نکنید.
• شماره موبایل اصلی خود را در پروفایل‌های عمومی قرار ندهید.
• پاسخ سوالات امنیتی رایج (مثل نام اولین مدرسه یا نام حیوان خانگی) را در قالب پست‌های سرگرم‌کننده به اشتراک نگذارید.

عدم استفاده از شماره تماس اصلی برای ثبت نام در پلتفرم‌های غیرضروری

یکی از اشتباهات رایج این است که ما با شماره‌ی اصلی خود (که به حساب‌های بانکی و صرافی متصل است) در هر سایت و اپلیکیشنی ثبت نام می‌کنیم. اگر یکی از این سایت‌های ضعیف هک شود، شماره‌ی شما به دست مجرمان می‌افتد.

برای حل این مشکل، بهتر است از یک سیم کارت اعتباری ارزان قیمت دیگر، فقط برای ثبت نام در سایت‌های غیرضروری یا شبکه‌های اجتماعی استفاده کنید. همچنین می‌توانید از شماره مجازی (Virtual Number: شماره تلفنی که به سیم کارت فیزیکی متصل نیست و بر بستر اینترنت کار می‌کند) برای کارهای روزمره‌ی اینترنتی بهره ببرید تا شماره‌ی اصلی شما همیشه مخفی و امن بماند.

جدول مقایسه روش‌های تایید دو مرحله‌ای: از ناامن‌ترین تا امن‌ترین روش

برای اینکه بتوانید بهترین تصمیم را برای امنیت دارایی‌های خود بگیرید، روش‌های مختلف تایید هویت را در جدول زیر با یکدیگر مقایسه کرده‌ایم:

روش تایید هویت	میزان امنیت	مقاومت در برابر سیم سواپ	ابزار مورد نیاز
پیامک (SMS)	بسیار پایین	ضعیف (به راحتی هک می‌شود)	آنتن موبایل و سیم کارت
ایمیل (Email)	متوسط	متوسط (اگر ایمیل هک نشود، امن است)	دسترسی به اینترنت
برنامه‌ی تایید هویت (Authenticator)	بالا	عالی (به سیم کارت وابسته نیست)	گوشی هوشمند و اپلیکیشن
کلید فیزیکی (Hardware Key)	بسیار بالا	عالی (غیرقابل نفوذ از راه دور)	قطعه‌ی فیزیکی (مثل YubiKey)

در صورت هک شدن سیم کارت چه اقدامات فوری باید انجام دهیم؟

اگر متوجه شدید که آنتن گوشی به طور ناگهانی قطع شده و نشانه‌هایی که در بخش‌های قبلی گفتیم را مشاهده کردید، زمان به مهم‌ترین دارایی شما تبدیل می‌شود. در این شرایط، هر دقیقه معادل با از دست رفتن بخشی از سرمایه‌ی شماست. درست مانند زمانی که متوجه می‌شوید کلید خانه‌ی خود را گم کرده‌اید و باید سریعا قفل‌ها را عوض کنید، در دنیای رمزارز هم باید به سرعت مسیرهای دسترسی هکر را مسدود کنید. بدون ترس و اضطراب، چهار قدم حیاتی زیر را به ترتیب انجام دهید تا جلوی فاجعه را بگیرید.

تماس فوری با پشتیبانی اپراتور مخابراتی از طریق یک خط دیگر و مسدود کردن شماره

اولین و سریع‌ترین واکنش شما باید قطع کردن دسترسی هکر به شبکه‌ی مخابراتی باشد. از آنجا که گوشی شما دیگر آنتن ندارد، بلافاصله از گوشی یکی از اعضای خانواده یا دوستان استفاده کنید و با پشتیبانی اپراتور تماس بگیرید. به کارشناس توضیح دهید که احتمال می‌دهید قربانی حمله‌ی سیم سواپ شده‌اید و از او بخواهید شماره‌ی شما را فورا مسدود کند.

با مسدود شدن خط، ارسال پیامک‌های حاوی رمز پویا به گوشی هکر متوقف می‌شود. همچنین در این تماس بپرسید که آیا اخیرا درخواستی برای صدور سیم کارت جدید شما ثبت شده است یا خیر، تا مطمئن شوید مشکل قطعی آنتن از سمت شبکه‌ی مخابرات است یا واقعا هک شده‌اید.

مسدود کردن کارت‌های بانکی و مسدودسازی موقت حساب در صرافی‌های ارز دیجیتال

قدم دوم، بستن شیر فلکه‌ی دارایی‌هاست. هکرها معمولا به محض در دست گرفتن خط شما، به سراغ حساب‌های مالی می‌روند. اگر در بازار کریپتو فعالیت دارید، سریعا اقدامات زیر را انجام دهید:

• فریز کردن حساب صرافی: از طریق لپ‌تاپ یا سیستمی که از قبل به حساب صرافی شما متصل است وارد شوید و گزینه‌ی فریز کردن حساب (Account Freeze: قفل کردن موقت حساب کاربری که مانع از هرگونه برداشت، خرید یا انتقال وجه می‌شود) را فعال کنید.
• تماس با پشتیبانی صرافی: اگر به حساب کاربری خود دسترسی ندارید، فورا با پشتیبانی صرافی تماس بگیرید یا به آن‌ها ایمیل بزنید و وضعیت اضطراری را گزارش دهید تا حساب شما را به صورت دستی مسدود کنند.
• مسدودسازی بانکی: در همین حین، کارت‌های بانکی متصل به آن شماره موبایل را نیز از طریق همراه‌بانک یا تلفن‌بانک بسوزانید یا مسدود کنید.

تغییر سریع رمز عبور ایمیل‌های اصلی از طریق دستگاه‌های از پیش تایید شده

ایمیل شما مانند شاه‌کلید تمام حساب‌های دیجیتال شماست. هکر با داشتن شماره موبایل، به راحتی می‌تواند گزینه‌ی فراموشی رمز عبور را در سرویس‌هایی مانند جیمیل بزند و کنترل ایمیل را به دست بگیرد تا درخواست‌های برداشت از صرافی را تایید کند.

برای جلوگیری از این اتفاق، سریعا با یک دستگاه امن (مانند کامپیوتر شخصی خانه‌ی خود که از قبل وارد ایمیل شده است و نیازی به پیامک ورود ندارد) به حساب کاربری خود بروید و رمز عبور را به یک کلمه‌ی عبور پیچیده و جدید تغییر دهید. بسیار مهم است که در بخش تنظیمات ایمیل، حتما شماره موبایل هک شده را از لیست روش‌های بازیابی (Recovery Methods) حذف کنید تا هکر نتواند دوباره درخواست تغییر رمز بدهد.

اطلاع‌رسانی به دوستان و خانواده برای جلوگیری از کلاهبرداری به نام شما

هکرها فقط به حساب‌های بانکی رحم نمی‌کنند؛ آن‌ها از اعتبار و نام شما هم سوءاستفاده می‌کنند. با هک شدن سیم کارت، هکر می‌تواند وارد برنامه‌های پیام‌رسان مانند تلگرام یا واتس‌اپ شود و به لیست مخاطبان شما پیام بفرستد. هکر ممکن است اقدامات فریبکارانه‌ی زیر را به نام شما انجام دهد:

• درخواست پول به بهانه‌ی تصادف، بیمارستان یا یک مشکل اورژانسی.
• ارسال لینک‌های مخرب برای هک کردن گوشی دوستان و همکاران شما.
• پیشنهادهای دروغین برای سرمایه‌گذاری فوری در یک ارز دیجیتال ناشناخته.

برای جلوگیری از این کلاهبرداری زنجیره‌ای، در سریع‌ترین زمان ممکن از طریق یک خط دیگر، شبکه‌های اجتماعی ایمن یا حتی تماس تلفنی، به دوستان، همکاران و خانواده‌ی خود اطلاع دهید که خط شما هک شده است و به هیچ پیام درخواست پولی که از طرف شما می‌آید، اعتماد نکنند.

جمع‌بندی: امنیت دارایی‌های دیجیتال در گرو آگاهی و پیشگیری است

ورود به دنیای رمزارزها شبیه به قدم گذاشتن در یک شهر جدید و پر از فرصت‌های مالی بی‌نظیر است؛ اما همان‌طور که در یک شهر ناشناخته مراقب کیف پول و لوازم ارزشمند خود هستید، در این فضای دیجیتال نیز باید از دارایی‌هایتان محافظت کنید. حمله‌ی تعویض سیم کارت یا سیم سواپ، به ما یادآوری می‌کند که تکیه کردن به روش‌های سنتی امنیت مانند پیامک، دیگر برای محافظت از سرمایه‌ی دیجیتال ما کافی نیست. این حمله‌ی خاموش نشان داد که سارقان همیشه نیازی به شکستن قفل‌های پیچیده‌ی نرم‌افزاری ندارند، بلکه گاهی فقط با فریب دادن یک کارشناس در شرکت مخابراتی، کنترل کل زندگی دیجیتال ما را به دست می‌گیرند.

با این حال، با داشتن آگاهی و سرعت عمل، جای هیچ‌گونه نگرانی نیست. همان‌طور که در این مقاله به صورت گام‌به‌گام بررسی کردیم، شما می‌توانید با انجام چند تغییر ساده در تنظیمات کاربری خود، دیواری نفوذ ناپذیر در برابر این نوع کلاهبرداری بسازید. برای مرور سریع و اطمینان از امنیت حساب‌هایتان، همیشه این سه اصل طلایی را به یاد داشته باشید:

• حذف پیامک از چرخه‌ی امنیت: استفاده از برنامه‌های تولید رمز موقت (مانند گوگل اتنتیکیتور) یا قطعات سخت‌افزاری را جایگزین کدهای پیامکی کنید تا وابستگی حساب‌های مالی شما به شبکه‌ی مخابراتی به طور کامل قطع شود.
• مراقبت از هویت دیجیتال: اطلاعات شخصی، تاریخ تولد، کدملی و شماره موبایل اصلی خود را در شبکه‌های اجتماعی پنهان کنید تا هکرها نتوانند تکه‌های پازل هویت شما را برای فریب اپراتورها جمع‌آوری کنند.
• تعریف رمز عبور مخابراتی: با تنظیم یک پین کد اختصاصی روی سیم کارت خود از طریق پشتیبانی اپراتور، اجازه ندهید هیچ‌کس بدون ارائه‌ی این رمز، تغییری در وضعیت خط تلفن شما ایجاد کند.

در نهایت، فراموش نکنید که در بازار کریپتو، شما بانک خودتان هستید (Self-custody: نگهداری شخصی و مستقل دارایی‌ها بدون وابستگی به هیچ بانک یا نهاد واسطه). این ویژگی فوق‌العاده، کنترل کامل پول را در اختیار شما قرار می‌دهد، اما در عین حال مسئولیت تامین امنیت را هم تمام و کمال بر دوش شما می‌گذارد. با ارتقای دانش امنیتی و اجرای راهکارهای پیشگیرانه‌ی مطرح شده، می‌توانید با خیالی آسوده، از سرمایه‌گذاری و رشد دارایی‌های خود در این بازار جذاب لذت ببرید.

منابع:

FTC.gov

Kaspersky