A maioria das pessoas utiliza hoje o seu smartphone para muito mais do que telefonar: pagar, aceder aos emails, gerir as suas redes sociais. Este âmbito alargado torna-o um alvo preferencial para uma fraude desconhecida, o SIM swapping. Em 2024, o FBI registou 982 queixas relacionadas com esta técnica, para um prejuízo total de 25,9 milhões de dólares (e este número não reflete apenas os casos declarados).
SIM swapping: definição, funcionamento e consequências
O cartão SIM é um pequeno chip amovível colocado num telemóvel. Cada módulo é único e está associado à conta móvel do seu utilizador. Armazena dados pessoais: contactos, mensagens, identificador do operador.
O SIM swapping consiste em desviar o seu número de telefone. O fraudador contacta o seu operador fazendo-se passar por si e alega precisar de um novo SIM (perda, roubo, troca de telefone). Desculpas banais que os serviços de apoio ao cliente ouvem diariamente.
Para convencer o operador, baseia-se em informações pessoais recolhidas online: endereço, data de nascimento, número de cliente. Se o serviço de apoio ao cliente validar a identidade, o seu número passa para o cartão do fraudador. Ele pode então redefinir as suas palavras-passe, aceder aos seus emails, contas sociais e pagamentos, e contornar qualquer autenticação em dois fatores por SMS.
O objetivo é geralmente financeiro. Pode também tratar-se de prejudicar uma reputação. Em 2019, Jack Dorsey, então CEO do Twitter, foi vítima deste esquema: a sua conta, seguida por 4,5 milhões de seguidores, publicou tweets ofensivos que ele nunca escreveu. Outras celebridades sofreram o mesmo ataque, perpetrado pelo grupo “Chuckling Squad”.
Uma variante mais recente explora as eSIM: SMS fraudulentos simulam uma mensagem oficial do operador (“Uma eSIM foi solicitada a partir do seu espaço cliente…”), levando a vítima a inserir as suas credenciais numa página falsa, o que permite aos piratas encomendar a transferência online. Sem cartão físico para bloquear, a reação é mais difícil e mais lenta.
Como saber se é vítima de SIM swapping?
O SIM swapping atua rapidamente e sem aviso. Alguns sinais devem alertá-lo:
- Não tem rede: os SMS e as chamadas não passam.
- Conectado ao Wi-Fi, recebe pedidos de alteração de palavra-passe que não iniciou.
- Publicações aparecem nas suas redes sociais sem que as tenha feito.
- As suas contas bancárias mostram transações desconhecidas.
- As suas credenciais já não funcionam.
- O seu operador informa-o de que o seu número foi ativado noutro dispositivo.
Se estiver nesta situação, aja nesta ordem: (1) ligue para o seu operador telefónico para suspender o número usurpado e recuperar a sua linha, (2) contacte a sua banco para bloquear os pagamentos e notificar as transações fraudulentas, (3) apresente uma queixa na polícia, (4) reporte a fraude bancária na plataforma nacional Perceval (acessível em masecurite.interieur.gouv.fr). Quanto mais rápida for a reação, mais limitados são os danos.
As melhores formas de prevenir o SIM swapping
Nenhuma proteção é absoluta, mas alguns reflexos reduzem o risco:
- Defina um código PIN forte na sua conta móvel junto do seu operador (Orange, SFR, Bouygues e Free oferecem esta opção no seu espaço cliente), diferente da sua data de nascimento ou do seu endereço. Nunca inclua o seu número de telefone numa palavra-passe.
- Prefira uma aplicação de autenticação (Google Authenticator, Authy) em vez de SMS para a autenticação em dois fatores. Um código por SMS pode ser interceptado através de SIM swapping, um código gerado localmente por uma app não.
- Coloque os seus perfis online em modo privado ou restrito a amigos. Os fraudadores recolhem informações pessoais em contas públicas antes de contactarem o seu operador.
- Informe-se junto ao seu operador sobre as suas proteções contra SIM swap: alguns enviam uma notificação por email ou exigem uma confirmação por código na loja antes da reemissão de um SIM.
Esteja também atento a emails ou SMS invulgares, sobretudo mensagens que simulam um operador telefónico. O phishing continua a ser o ponto de entrada mais comum: os fraudadores recolhem as suas credenciais de operador antes de lançar o SIM swap. Não clique num link se a sua origem lhe parecer duvidosa.
