Mogu li se eSIM-ovi hakirati? Sigurnost eSIM-a i rizici hakiranja

Više uređaja sada dolazi s eSIM-ovima umjesto tradicionalnih SIM kartica. Ugrađeni su izravno u vaš telefon, tablet ili pametni sat, što ih čini vrlo praktičnim, pogotovo kada putujete.

Ali s novom tehnologijom dolaze i nove brige. Mogu li se eSIM-ovi hakirati? Jesu li zaista sigurni za korištenje? I na koje rizike trebam paziti?

Ovaj će članak sve to detaljno objasniti. Naučit ćete kako eSIM-ovi funkcioniraju, koji su stvarni sigurnosni rizici i koje jednostavne korake možete poduzeti kako biste zaštitili svoje podatke.

 

Mogu li se eSIM-ovi hakirati? Razdvajanje mita od stvarnosti

eSIM-ovi, ili ugrađeni pretplatnički identifikacijski moduli, dizajnirani su s naglaskom na snažnu sigurnost. Zamislite ih kao mali digitalni trezor ugrađen u vaš uređaj. Taj trezor koristi snažnu enkripciju, poput tajnog koda, za zaštitu vaših informacija. eSIM je također dio hardvera vašeg uređaja, što znači da je fizički zaštićen i da ga nije tako lako manipulirati kao uklonjivu plastičnu SIM karticu. Ova ugrađena priroda pomaže u zaštiti od određenih vrsta fizičkih napada. Oni slijede globalne sigurnosne standarde koje su postavile organizacije poput GSMA (Groupe Spéciale Mobile Association) kako bi osigurali da ih je teško probiti.

Iako su eSIM-ovi općenito sigurniji od tradicionalnih SIM kartica, uobičajena je zabluda misliti da su “neuništivi”. Nijedna tehnologija nije potpuno imuna na svaku prijetnju. Hakeri uvijek pokušavaju pronaći nove načine za zaobilaženje sigurnosti. Sigurnost eSIM-a također ovisi o sigurnosti uređaja u kojem se nalazi i mreža na koje se povezuje. Dakle, iako nude veliki iskorak u sigurnosti, nisu čarobni štit.

Zamislite siguran bankovni trezor s debelim čeličnim vratima i složenim bravama. Dizajniran je da ga je gotovo nemoguće provaliti. Međutim, ako vrlo pametan lopov pronađe zanemarenu slabost, možda u ventilacijskom sustavu, ili ako netko s unutarnjim pristupom bude prevaren ili prisiljen pomoći, trezor bi i dalje mogao biti kompromitiran. Isto načelo vrijedi i za eSIM-ove; vrlo su sigurni, ali ne izvan svake zamislive prijetnje.

Glavne prijetnje hakiranja eSIM-a i metode napada

Dok je izravno “hakiranje” samog eSIM čipa vrlo teško zbog njegovog dizajna, napadači se obično fokusiraju na druge slabe točke u sustavu kako bi preuzeli kontrolu ili pristupili vašem eSIM profilu.

• SIM/eSIM zamjena (swapping): SIM zamjena, koja se odnosi i na eSIM-ove, je kada haker uvjeri vašu mobilnu tvrtku (vašeg operatera) da prebaci vaš telefonski broj na SIM karticu ili eSIM profil koji on kontrolira. To mogu učiniti oponašanjem vas, korištenjem ukradenih osobnih podataka za odgovaranje na sigurnosna pitanja, ili ponekad podmićivanjem zaposlenika operatera.

Ova vrsta napada nije samo teoretska. Već se dogodila visokoprofilnim pojedincima. U rujnu 2023., suosnivaču Ethereuma Vitaliku Buterinu hakiran je X (bivši Twitter) račun nakon što su napadači uvjerili njegovog operatera da izvrši SIM zamjenu. Nakon što su preuzeli kontrolu nad njegovim brojem, tvitali su lažnu poveznicu za NFT nagradnu igru koja je slila oko 690.000 dolara u kripto valuti od pratitelja.

• Zlonamjerni softver (Malware) i krađa identiteta (Phishing): Zlonamjerni softver i krađa identiteta su uobičajeni načini na koje hakeri pokušavaju doći do vaših informacija. Ako zlonamjerni softver zarazi vaš telefon, potencijalno bi mogao ukrasti osjetljive podatke koji hakeru pomažu preuzeti vaš eSIM profil. Phishing prijevare mogle bi vas prevariti da posjetite lažnu web stranicu koja izgleda kao stranica vašeg operatera, tražeći vaše podatke za prijavu.

Primjer iz stvarnog svijeta koliko to može biti opasno je “BRATA” Android bankovni trojanac koji se ponovno pojavio sredinom 2022. s novim značajkama koje mu daju potpunu kontrolu s daljinskim pristupom nad telefonima. Širi se putem SMS poveznica koje se predstavljaju kao sigurnosna upozorenja banke; jednom instaliran, može snimati zaslon, presretati svaku dolaznu tekstualnu poruku (uključujući OTP-ove operatera), pa čak i pokrenuti tvorničko resetiranje za brisanje dokaza. S tim dubokim pristupom, napadači bi mogli uhvatiti vjerodajnice potrebne za traženje prijenosa ili isključivanja eSIM-a.

• Lažni eSIM QR kodovi: Postavljanje eSIM-a često uključuje skeniranje QR koda. Hakeri mogu stvoriti lažne QR kodove koji izgledaju legitimno. Ako skenirate jedan, mogli biste slučajno instalirati zlonamjerni profil koji vas ne povezuje s vašim pravim operaterom, ili bi mogao preusmjeriti vaše podatke putem hakerskih poslužitelja. Budite vrlo oprezni odakle dobivate QR kodove. Koristite kodove izravno od vašeg pouzdanog operatera ili pružatelja eSIM-a. Budite sumnjičavi prema neželjenim QR kodovima poslanim e-poštom ili pronađenim na nasumičnim web stranicama.

• Eksploatacije firmvera i memorije: Firmware vašeg telefona je osnovni softver koji omogućuje rad njegovog hardvera. Ako postoje sigurnosne rupe (ranjivosti) u firmwareu ili načinu na koji uređaj upravlja svojom memorijom, vješt haker bi ih potencijalno mogao iskoristiti za dobivanje dubokog pristupa uređaju. Neki zanemareni faktori rizika su neredovito ažuriranje operativnog sustava i firmvera vašeg telefona što je veliki rizik. Drugi rizik je preuzimanje aplikacija iz neslužbenih trgovina aplikacijama, jer one mogu sadržavati skrivene eksploitacije.

• Napadi čovjeka u sredini (Man-in-the-Middle Attacks): Zamislite da šaljete pismo, a netko ga presretne, pročita, a zatim pošalje dalje bez vašeg znanja. Napad čovjeka u sredini (MitM) sličan je, ali za digitalne informacije. Ako postavljate svoj eSIM ili upravljate svojim računom na neosiguranoj javnoj Wi-Fi mreži, haker na istoj mreži mogao bi potencijalno presresti podatke koji se šalju između vašeg telefona i vašeg operatera. Ovdje dijelimo ovaj praktični vodič o tome kako sigurno koristiti javni Wi-Fi.

• Proboji kod operatera: Ponekad slabost nije u vašem telefonu ili vašim postupcima, već u vašem mobilnom operateru. Ako operater doživi proboj podataka, hakeri bi mogli ukrasti baze podataka korisnika. Ove informacije mogle bi uključivati detalje o vašem računu, pa čak i podatke povezane s eSIM profilima (poput aktivacijskih kodova ili vjerodajnica za upravljanje). Ti ukradeni podaci mogu se zatim koristiti za SIM zamjenu ili druge sheme krađe identiteta.

Stvarni utjecaj hakiranja eSIM-a

Nakon što haker ostvari pristup putem hakiranja eSIM-a, može uzrokovati značajnu štetu. Na primjer, mogli bi:

• Presresti kodove za dvofaktorsku autentifikaciju (2FA) poslane putem SMS-a, dajući im pristup vašoj e-pošti, bankovnim računima, društvenim medijima i drugim online uslugama.

• Upućivati pozive i slati poruke lažno se predstavljajući kao vi, potencijalno prevarivši vaše kontakte ili šireći dezinformacije.

• Pristupiti osobnim podacima pohranjenim u računima povezanim s vašim telefonskim brojem.

• Počiniti financijske prijevare pristupom vašim bankovnim aplikacijama ili vršenjem neovlaštenih kupnji.

• Dovesti do krađe identiteta, gdje koriste vaše ukradene informacije za otvaranje novih računa ili počinjenje zločina u vaše ime.

Ovo nisu samo teoretski rizici. U jednom visokoprofilnom slučaju, američki tužitelji su u veljači 2024. povezali grupu za SIM-zamjenu poznatu kao „Powell Crew“ s krađom 400 milijuna dolara s kripto burze FTX krajem 2022. Istražitelji kažu da je grupa koristila lažne osobne iskaznice kako bi otela telefonski broj zaposlenika AT&T-a, a zatim presrela jednokratne pristupne kodove za otključavanje digitalnih novčanika.

Incident pokazuje koliko opasni i skupi mogu biti napadi SIM-zamjene, pogotovo kada pogode tvrtke koje su već pod pritiskom.

Kako vas ovi rizici mogu utjecati

Kloniranje SIM-a ili hakiranje eSIM-a nije samo tehničko pitanje, već može imati stvarne, osobne posljedice. Učinci se mogu razlikovati ovisno o tome tko ste i kako koristite svoj telefon. Na primjer:

• Vlasnici poduzeća: Hakirani eSIM mogao bi dovesti do gubitka osjetljivih podataka klijenata, neovlaštenog pristupa poslovnim bankovnim računima ili narušavanja ugleda tvrtke. Zamislite presretanje komunikacije s klijentima ili izlaganje povjerljivih poslovnih dogovora.

• Putnici: Ako je vaš eSIM kompromitiran dok ste u inozemstvu, mogli biste izgubiti svoje primarno sredstvo komunikacije, imati problema s pristupom rezervacijama putovanja ili bankovnim aplikacijama i suočiti se s poteškoćama pri kontaktiranju svog operatera za pomoć.

• Tehnološki pismene osobe: Iako su često svjesniji rizika, tehnološki pismeni korisnici mogli bi koristiti svoj telefonski broj za mnoge kritične online usluge. Kompromitacija bi mogla biti posebno razorna ako zaobiđe njihove inače snažne sigurnosne mjere (na primjer, ako se previše oslanjaju na SMS 2FA).

Kako otkriti hakiranje eSIM-a: Ključni znakovi koje ne smijete ignorirati

Poznavanje znakova može vam pomoći da brzo reagirate ako sumnjate da je vaš eSIM kompromitiran.

• Iznenadni gubitak usluge ili problemi s prijavom: Najočitiji znak je iznenadni gubitak mobilne usluge na vašem uređaju. Ako vaš telefon iznenada prikazuje “Nema usluge” ili “Samo SOS” kada biste trebali imati signal, a ponovno pokretanje ne pomaže, to bi moglo značiti da je vaš eSIM profil deaktiviran ili prebačen.

• Sigurnosna upozorenja i neobične aktivnosti: Obratite pažnju na:

• Neočekivana sigurnosna upozorenja od vaše banke, e-pošte ili računa društvenih medija o pokušajima prijave ili promjenama lozinki koje niste vi napravili.

• Primanje 2FA kodova koje niste zatražili.

• Neobične naknade na vašem telefonskom računu ili povezanim financijskim računima.

• Objavljene objave s vaših računa društvenih medija koje niste vi napisali.

• E-pošte poslane s vašeg računa koje ne prepoznajete.

 

Što učiniti ako sumnjate na SIM prijevaru

1. Odmah kontaktirajte svog mobilnog operatera: Recite im da sumnjate da je vaš eSIM/SIM lažno zamijenjen ili kompromitiran.

2. Promijenite lozinke: Počnite s najvažnijim računima: e-pošte, bankovnim i bilo kojim računom povezanim s vašim telefonskim brojem za oporavak.

3. Pregledajte aktivnost računa: Provjerite svoje bankovne, e-mail i društvene mreže za bilo kakve neovlaštene transakcije ili aktivnosti.

4. Obavijestite svoje kontakte: Upozorite prijatelje i obitelj da bi vaš broj/računi mogli biti kompromitirani, kako ne bi nasjeli na prevare poslane u vaše ime.

5. Skenirajte svoj uređaj na zlonamjerni softver: Koristite uglednu mobilnu sigurnosnu aplikaciju.

6. Prijavite to: Razmislite o prijavi incidenta relevantnim vlastima, poput policije ili agencije za zaštitu potrošača.

 

Najbolje prakse za zaštitu vašeg eSIM profila

Prevencija je uvijek bolja od lijeka. Evo kako možete poboljšati sigurnost svog eSIM-a:

• Ažurirajte svoj uređaj i firmware eSIM-a: Proizvođač vašeg telefona i operater redovito objavljuju ažuriranja za operativni sustav, a ponekad i za sam firmware eSIM-a. Ova ažuriranja često sadrže ključne sigurnosne zakrpe koje popravljaju novootkrivene ranjivosti.

• Koristite jake lozinke i višefaktorsku autentifikaciju: Zaštitite svoj račun kod mobilnog operatera snažnom, jedinstvenom lozinkom. Za sve svoje online račune, omogućite višefaktorsku autentifikaciju (MFA). Iako je 2FA temeljena na SMS-u bolja od ničega, ranjiva je na SIM/eSIM zamjenu.

• Čuvajte se krađe identiteta (Phishing) i sumnjivih poveznica: Budite sumnjičavi prema neželjenim e-poštama, tekstualnim porukama ili pozivima koji traže osobne podatke, podatke za prijavu ili da skenirate QR kod. Nikada nemojte klikati na sumnjive poveznice niti preuzimati privitke od nepoznatih pošiljatelja.

• Pouzdani pružatelji eSIM-a: Kada nabavljate eSIM, pogotovo za putovanja, držite se poznatih, uglednih operatera i pružatelja eSIM-a kao što je Yoho Mobile. Kupnja s nepoznatih ili neprovjerenih web stranica može biti rizična. Mogli bi vam prodati neispravne profile, zloupotrijebiti vaše podatke o plaćanju ili čak pružiti QR kodove koji kompromitiraju vaš uređaj.

Prevencija je uvijek bolja od lijeka. Uzmimo za primjer što se dogodilo pretplatniku T-Mobilea na Badnjak 2023. Primijetio je jednokratne PIN poruke koje nije zatražio. Pet puta je nazvao operatera, inzistirajući da je u tijeku SIM zamjena, i aktivirao privremeno zamrzavanje računa dok je prebacivao sve ključne prijave na aplikaciju za autentifikaciju. Kada je usluga nakratko pala, već je imao T-Mobile na vezi, pa je nevaljali eSIM profil vraćen u roku od nekoliko minuta, a napadač nikada nije stigao do njegovog Wells Fargo računa.

Budućnost sigurnosti eSIM-a: Što je sljedeće?

Gledajući unaprijed, znanstvenici rade na još jačim vrstama enkripcije. Kvantna računala, iako još uvijek uglavnom u razvoju, jednog bi dana mogla probiti današnju standardnu enkripciju. “Post-kvantna kriptografija” odnosi se na nove metode enkripcije dizajnirane da budu sigurne čak i protiv budućih kvantnih računala.

eSIM tehnologija nije statična. GSMA i proizvođači uređaja neprestano rade na poboljšanju sigurnosnih standarda i značajki. To uključuje stvari poput sigurnijeg daljinskog pružanja usluga, boljih metoda autentifikacije i bržeg reagiranja na novootkrivene prijetnje. Kako hakeri razvijaju nove metode napada, sigurnost eSIM-a će se prilagođavati kako bi im se suprotstavila.

Čak nas ni najnaprednija tehnologija ne može zaštititi ako smo neoprezni s lozinkama, nasjedamo na phishing prijevare ili ignoriramo ažuriranja softvera. Dakle, dok se tehnologija nastavlja razvijati, naša je uloga ostati informirani i prakticirati pametne digitalne navike. Ako vas zanima kako eSIM-ovi funkcioniraju u praksi, isprobavanje besplatne probne verzije eSIM-a s Yoho Mobileom je jednostavan način bez rizika za istraživanje tehnologije iz prve ruke, uzimajući pritom sigurnost u obzir. Ako želite nabaviti svoj eSIM plan nakon toga, upotrijebite kod YOHO12 prilikom naplate za 12% popusta!

 

Previđena česta pitanja i dodatni uvidi

Mogu li se eSIM-ovi klonirati?

Ne. Pravo kloniranje jedan na jedan je praktički nemoguće jer su kriptografski ključevi svakog eSIM-a zaključani na sigurnom hardveru. Većina “eSIM hakiranja” uključuje prijenos profila na drugi uređaj (SIM-zamjena) ili proboj računa operatera, a ne dupliciranje samog čipa.

Što se događa ako mi je eSIM hakiran tijekom putovanja u inozemstvo?

Odmah kontaktirajte svog matičnog operatera putem Wi-Fi mreže kako biste suspendirali liniju, prebacite se na rezervnu fizičku SIM karticu ili rezervni eSIM ako ga imate i promijenite kritične lozinke. Upozorite ključne kontakte, pratite financijske račune i – prije svakog putovanja – osigurajte prijavu kod operatera snažnom lozinkom i 2FA (koja nije SMS) temeljenu na aplikaciji.

Jesu li eSIM-ovi sigurniji za djecu i starije osobe?

Da. Ugrađeni čipovi teško se gube, omogućuju jednostavno daljinsko postavljanje i mogu podržavati robusne roditeljske kontrole. Ali, obje skupine i dalje mogu nasjesti na phishing poveznice ili lažne QR kodove, a vraćanje eSIM-a nakon gubitka ili oštećenja uređaja može biti teže nego zamjena fizičke SIM kartice.