Ο αριθμός του κινητού σου δεν «ζει» μέσα στη συσκευή. Ζει στο σύστημα του παρόχου, που τον συνδέει με μια συγκεκριμένη κάρτα SIM ή eSIM. Όταν χάνεις το τηλέφωνο, όταν σπάει η κάρτα ή όταν περνάς σε eSIM, ο πάροχος απλώς μεταφέρει τον ίδιο αριθμό σε νέα κάρτα. Είναι μια καθημερινή, νόμιμη διαδικασία.
Το SIM swapping (ή «απάτη αλλαγής κάρτας SIM») είναι η κατάχρηση ακριβώς αυτής της διαδικασίας. Κατά τη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, ο δράστης χρησιμοποιεί τεχνικές κοινωνικής μηχανικής για να πάρει τον έλεγχο της SIM του θύματος. Από εκείνη τη στιγμή, οι κλήσεις και τα μηνύματα που προορίζονται για το θύμα φτάνουν σε εκείνον -μαζί με τους κωδικούς μιας χρήσης (OTP), όπως αυτοί που στέλνει η τράπεζα.
Η επίθεση ξεκινά πολύ πριν από το τηλεφώνημα στον πάροχο. Ο δράστης μαζεύει στοιχεία του θύματος από διαρροές δεδομένων, phishing, social media, κακόβουλες εφαρμογές και ηλεκτρονικές αγορές. Τα συνδυάζει σε ένα πειστικό προφίλ, αρκετό για να περάσει τις ερωτήσεις ταυτοποίησης.
O δράστης παριστάνει το θύμα και πείθει την εξυπηρέτηση πελατών να μεταφέρει τον αριθμό σε κάρτα που κρατά ο ίδιος -ή στέλνει phishing σε υπαλλήλους, ώστε να εγκαταστήσουν κακόβουλο λογισμικό που του ανοίγει τα συστήματα του παρόχου.
Μόλις εγκριθεί η συναλλαγή στον λογαριασμό, ο πάροχος κινητής τηλεφωνίας απενεργοποιεί την κάρτα SIM του θύματος και μεταφέρει τον αριθμό τηλεφώνου στην κάρτα SIM του απατεώνα. Στο τηλέφωνο του θύματος εμφανίζεται το μήνυμα «Χωρίς σήμα», ενώ ο απατεώνας αποκτά τον έλεγχο όλων των επικοινωνιών.
Η eSIM δεν λύνει το πρόβλημα, γιατί το αδύναμο σημείο είναι η ταυτοποίηση του πελάτη. Στη Βρετανία, η ένωση καταναλωτών Which? κατέγραψε απατεώνες που πρώτα παραβίαζαν το email του θύματος. Από εκεί έκαναν reset στον κωδικό του λογαριασμού κινητής και ζητούσαν online μεταφορά του αριθμού σε δική τους κάρτα -χωρίς κατάστημα και χωρίς τηλεφώνημα.
Ο αριθμός του κινητού έχει μετατραπεί σε κρίσιμο κρίκο της ψηφιακής μας ταυτότητας. Τράπεζες, email και πλατφόρμες κοινωνικής δικτύωσης μπορεί να τον χρησιμοποιούν για επιβεβαίωση σύνδεσης ή ανάκτηση λογαριασμού. Αν κάποιος τον πάρει υπό τον έλεγχό του, μπορεί να αποκτήσει πρόσβαση σε διαδικασίες που έχουν σχεδιαστεί για να προστατεύουν εμάς.
Ο κίνδυνος είναι ιδιαίτερα μεγάλος όταν η ανάκτηση ενός λογαριασμού βασίζεται σε SMS. Το αμερικανικό Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) κατατάσσει την αυθεντικοποίηση μέσω τηλεφωνικού δικτύου στις περιορισμένες μεθόδους, λόγω των κινδύνων που συνδέονται με την υποκλοπή ή την ανακατεύθυνση μηνυμάτων και κλήσεων.
Ένα διάσημο θύμα ήταν ο ιδρυτής του Twitter. Τον Αύγουστο του 2019, η ομάδα Chuckling Squad πήρε τον αριθμό του Jack Dorsey και δημοσίευσε ρατσιστικά και αντισημιτικά tweets από τον λογαριασμό @jack.
Στη Βρετανία, η υπηρεσία πρόληψης απάτης Cifas κατέγραψε σχεδόν 3.000 μη εξουσιοδοτημένες αλλαγές SIM το 2024, αύξηση 1.055% σε έναν χρόνο. Το 2023 ήταν 289. Στο 48% των περιπτώσεων όπου κάποιος πήρε τον έλεγχο ξένου λογαριασμού, ο στόχος ήταν λογαριασμός κινητής.
Στις ΗΠΑ, το κέντρο καταγγελιών του FBI (IC3) κατέγραψε 982 καταγγελίες και περίπου 26 εκατ. δολάρια απώλειες το 2024, με κορύφωση τα 72,6 εκατ. το 2022. H ζημιά συχνά καταγράφεται ως τραπεζική απάτη ή κλοπή κρυπτονομισμάτων, όχι ως SIM swap.
Στην Ελλάδα, η Δίωξη Ηλεκτρονικού Εγκλήματος συνέλαβε τον Ιούνιο του 2020 έναν 23χρονο που, με συνεργούς, έπαιρνε μέσω SIM swap τους αριθμούς εργαζομένων σε τουλάχιστον 7 εταιρείες του εξωτερικού. Από εκεί έμπαινε στα email και στους λογαριασμούς τους. Η Εθνική Αρχή Κυβερνοασφάλειας κυκλοφόρησε τον Μάιο του 2025 ειδικό ενημερωτικό υλικό για την απάτη.
Η πρόληψη ξεκινά από τους λογαριασμούς που μπορούν να δώσουν πρόσβαση στους υπόλοιπους. Το email είναι ένας από αυτούς: αν ένας δράστης αποκτήσει τον έλεγχό του, μπορεί να επιχειρήσει να αλλάξει κωδικούς ή να ζητήσει μεταφορά του αριθμού σε άλλη SIM. Ένας ισχυρός, μοναδικός κωδικός και η ενεργοποίηση ελέγχου ταυτότητας με εφαρμογή authenticator ή passkey, όπου υποστηρίζεται, μειώνουν αυτόν τον κίνδυνο.
Εξίσου σημαντικό είναι να μη βασίζεσαι στα SMS ως μοναδική γραμμή άμυνας. Όπου υπάρχει δυνατότητα, προτίμησε passkeys ή εφαρμογές αυθεντικοποίησης αντί για κωδικούς που φτάνουν με μήνυμα ή τηλεφωνική κλήση. Οι μέθοδοι αυτές δεν εξαρτώνται από τον έλεγχο του αριθμού σου μέσω του δικτύου κινητής, αν και η ασφάλειά τους εξαρτάται και από το πώς είναι ρυθμισμένος ο λογαριασμός σου. Η Microsoft, για παράδειγμα, σταματά από την 1η Φεβρουαρίου 2027 να στέλνει η ίδια κωδικούς SMS και φωνητικών κλήσεων στο Entra ID και ζητά από τους χρήστες να περάσουν σε passkeys.
Μπορείς επίσης να ρωτήσεις τον πάροχό σου αν προσφέρει πρόσθετη ταυτοποίηση ή άλλες δικλίδες ασφαλείας για αλλαγή SIM ή μεταφορά αριθμού. Οι ειδοποιήσεις για τραπεζικές συναλλαγές βοηθούν να εντοπίσεις γρήγορα ύποπτη δραστηριότητα, ενώ η προσεκτική διαχείριση των προσωπικών πληροφοριών που δημοσιεύεις online περιορίζει τα στοιχεία που μπορεί να αξιοποιήσει ένας απατεώνας για να προσποιηθεί ότι είσαι εσύ.
Αν το κινητό χάσει ξαφνικά το σήμα του χωρίς προφανή λόγο, μην το αγνοήσεις. Επικοινώνησε αμέσως με τον πάροχο από άλλη συσκευή για να ελέγξεις αν έχει γίνει αλλαγή SIM. Αν υποψιάζεσαι ότι κάποιος έχει αποκτήσει πρόσβαση σε τραπεζικό λογαριασμό, ειδοποίησε αμέσως και την τράπεζά σου.
Καταγγελίες γίνονται στη Δίωξη Ηλεκτρονικού Εγκλήματος, στο 11188.
Στη Θεσσαλονίκη, τον Απρίλιο του 2021, πέντε άτομα συνελήφθησαν επειδή μπήκαν στο e-banking ενός πολίτη, παρέκαμψαν με SIM swap τον δεύτερο έλεγχο ταυτότητας και αφαίρεσαν 42.000 ευρώ. Η Υποδιεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος Βορείου Ελλάδος επικοινώνησε με τις τράπεζες όσο τα χρήματα κινούνταν ακόμη. Δεσμεύτηκαν και επιστράφηκαν στο θύμα τα 29.000.
Μπορείτε να διαβάσετε εδώ όλα τα explainers του WIRED Greece.
Με την εγγραφή σας, συμφωνείτε με τους Όρους Χρήσης μας (συμπεριλαμβανομένης της παραίτησης από ομαδικές αγωγές και των διατάξεων διαιτησίας) και αναγνωρίζετε την Πολιτική Απορρήτου μας.
