A clonagem de chips de celular (SIM swap) é uma fraude amplamente aplicada por cibercriminosos no Brasil. A técnica permite que os ladrões tenham acesso aos seus SMSs, WhatsApp, e até mesmo roubem o seu dinheiro — já que os pagamentos móveis se tornaram alvo desse crime. A Kaspersky Lab e o CERT de Moçambique, um serviço de resposta a incidentes de segurança digital, descobriram que, só no Brasil, um grupo clonou os chips de 5.000 vítimas.

-> SIM Swap: saiba como criminosos ‘sequestram’ as contas de WhatsApp

O procedimento é o mesmo utilizado quando um smartphone é perdido ou roubado, que permite ao dono da linha ativar o número em outro chip. Os golpistas enganam as operadoras de celular para fazer a portabilidade do número do dispositivo roubado para um novo chip. Tudo começa com o clássico phising (coleta de dados das vítimas por meio de e-mails), vazamentos de dados ou até pela compra de informações de grupos criminosos organizados. O objetivo é obter dados. Feito isso, o cibercriminoso entra em contato com a operadora móvel, se passando pela vítima, para que ela faça a portabilidade e ative o número do telefone no chip fraudulento. Uma vez que obtiver sucesso, o autor do crime recebe todos os SMSs e chamadas de voz destinados à vítima que, além de tudo, fica com um chip sem conexão (voz e dados). 

A técnica gerou um novo tipo de ataque conhecido como ‘clonagem do WhatsApp’. Depois da ativação do chip no celular do criminoso, ele carrega o WhatsApp para restaurar os chats e contatos da vítima no aplicativo. Então, ele manda mensagens para os contatos como se fosse a vítima, simulando uma emergência e, na maioria dos casos, pedindo dinheiro. Alguns dos ataques atingiram empresas depois que cibercriminosos conseguiram sequestrar o celular de um executivo e usaram a clonagem do WhatsApp para solicitar recursos do departamento financeiro da empresa.

As fintechs não escaparam da prática. Como a maioria dos aplicativos financeiros ainda depende da autenticação de dois fatores, os cibercriminosos conseguem usar a função de recuperação de senha do aplicativo para receber um código SMS e, assim, ter total controle sobre a conta do usuário e efetuar pagamentos ilegais.

“O interesse dos cibercriminosos nas fraudes de SIM swap é tão grande que alguns até vendem este serviço para outros criminosos. Os fraudadores atiram em todas as direções; os ataques podem ser direcionados ou não, mas qualquer pessoa pode ser vítima. Tudo o que o criminoso precisa é do número do celular, que pode ser obtido facilmente pesquisando vazamentos de bancos de dados, comprando bancos de dados de empresas de marketing ou usando aplicativos que oferecem serviços de bloqueio de spam e identificação do chamador. Na maioria dos casos, é possível descobrir o número do seu celular com uma simples busca no Google”, explica Fabio Assolini, analista sênior de segurança da Kaspersky Lab e corresponsável pela pesquisa. 

Em Moçambique, um ataque desse tipo causou um prejuízo de US$ 50.000 a um empresário. O valor foi roubado de suas contas bancárias. Por aqui, foram identificadas diversas fraudes de R$ 10 mil. É difícil estimar o impacto mundial desse crime, já que a maioria dos bancos não divulga essas estatísticas. 

O maior banco de Moçambique registrou uma média mensal de 17,2 casos de fraude por clonagem de chips. Tal situação levou bancos e operadoras no país a adotar uma solução simples, porém eficaz no combate à fraude. Eles desenvolveram um sistema integrado de consulta em tempo real que possibilitou zerar os casos. 

“Embora não haja uma solução milagrosa, a extinção da autenticação de dois fatores via SMS é o melhor caminho a seguir. Isso é particularmente verdadeiro quando falamos de Internet Banking. Quando os serviços financeiros pararem de usar esse tipo de autenticação, os golpistas irão focar em outras coisas, como redes sociais, serviços de e-mail e mensageiros instantâneos para continuar roubando”, conclui Assolini.