1 ポイント 投稿者 GN⁺ 2024-04-16 | 1件のコメント | WhatsAppで共有
  • T-Mobileの従業員が、不正にSIMをスワップする見返りとして現金を受け取る提案を受けている

    • 悪意ある行為者がT-Mobile従業員に接触し、SIMスワップ1件あたり300ドルを提示している
    • この提案では、さまざまな市外局番からTelegramで連絡するよう求めており、T-Mobileの従業員ディレクトリから番号を入手したと主張している
    • Redditの複数の投稿とThe Mobile Reportに情報提供した人々によると、全米のT-Mobile従業員が影響を受けている
  • 従業員の個人情報流出経路への疑問

    • 悪意ある行為者がどのように従業員の電話番号を入手したのかが最大の問題である
    • 影響を受けた従業員の中には、数か月前から会社で働いていない元従業員も含まれており、数か月前の情報である可能性が高い
    • 企業の従業員も含まれているように見えることから、Connectivity Sourceの流出事件とは別のデータソースとみられる
    • T-Mobileは、システム侵害は発生しておらず、不正行為を教唆するメッセージについて引き続き調査中だと回答している
  • 顧客への影響と予防策

    • 犯罪者が依然としてSIMスワップを金儲けの手段と見なしていることは、企業の予防努力が不十分であることを意味する
    • 多くの従業員に提案が届いているため、一部が受け入れる可能性があり、顧客アカウントや資金が危険にさらされるおそれがある
    • 顧客は、二要素認証をSMSではなくアプリベースにし、T-MobileアカウントでSIM保護機能を有効化するなどの予防策を取ることができる
    • 銀行や暗号資産ウォレットがSMSしかサポートしていないなら、サービスの切り替えを検討すべきである
  • 最近のデータ流出で悪名高い通信事業者における新たな流出でないことを願う

    • 最良のシナリオは9月の流出事件の影響であることだが、新たな流出である可能性もある
    • 新しい情報が出次第、The Mobile Reportで継続的に更新する予定である

GN⁺の見解

  • SIMスワップは新しい問題ではないが、通信事業者の従業員を標的にした組織的な試みは異例である。内部脅威に対する通信事業者のセキュリティ対策強化が必要に見える
  • 通信大手3社の顧客の大半が二要素認証としてSMSを利用しており、潜在的な被害規模は大きい。顧客の認識向上とともに技術的な補完策の整備が急務である
  • T-Mobileは最近、顧客情報流出の多発で信頼性が低下している状態にあり、今回の事態による打撃は大きいとみられる。徹底した事実関係の調査と再発防止策の策定が必要である
  • 従業員情報の流出経路については、内部関係者の犯行の可能性を排除できない。特に退職した元従業員の情報まで含まれている点を考えると、不審な部分がある
  • 通信事業者の枠を超えて、SIMスワップを法的に規制し、処罰水準を引き上げる必要がある。被害規模に比べて処罰が軽く、犯罪の動機になっている

1件のコメント

 
GN⁺ 2024-04-16
Hacker Newsの意見
  • T-Mobileが従業員を解雇するために偽のSMSを送るのは非倫理的で、議論の余地がある
  • 最近のT-Mobileのデータ流出により、犯罪者が従業員の電話番号を大量に入手し、SIMスワップを誘発する新たな攻撃手法が登場した
  • SIMスワップ問題を解決するには顧客本人確認手続きを強化する必要があるが、米国には普遍的な身分証制度がなく難しい
  • 電話番号がデジタル生活の信頼基盤になっているという根本的な問題がある。PasskeyなどOSレベルの改善が助けになる可能性がある
  • SMS OTPは攻撃ベクトルをより脆弱なものに置き換えるにすぎないのに、依然として広く使われている
  • FCCは2024年7月からSIMスワップ防止ルールを施行する予定だが、内部者攻撃まで防げるかは不確実だ
  • MFAに対する法的定義と標準の整備が必要だ。SMSは2SAとして分類し、MFAはハードウェア認証方式に限定するのが望ましい
  • 通信会社の顧客サービス担当者の低い給与、強い権限、脆弱なアクセス制御などが内部者攻撃の原因になっている
  • SIMの問題を解決しても別の脆弱性が狙われるため、継続的なセキュリティ強化が必要だ
  • ユーザーが同意した場合に限り、既存のSIMがオフライン状態になって初めて新しいSIMへ変更できるようにする案を検討できる