IT Admin Blog>SIMスワップ攻撃を阻止する: 回線契約者と携帯電話会社のためのヒント

SIMスワップ攻撃を阻止する: 回線契約者と携帯電話会社のためのヒント

#Keeper#翻訳記事

inagawa

2022/03/23

SIMスワップとは？

1. 回線契約者を狙ったフィッシング攻撃
   攻撃者は、フィッシングサイトで詐取した氏名や住所、生年月日や暗証番号などの個人情報をもとに携帯電話会社の窓口に電話し、契約者になりすましてSIMカードの紛失再発行手続きを行いますスペインで発生した攻撃は、このような方法で行われました。
2. 携帯電話会社の従業員を狙ったフィッシング攻撃
   このシナリオでは、攻撃者はフィッシング攻撃を利用して、携帯電話会社の従業員にパスワードを提供させるか、マルウェアをダウンロードさせ、それを使って携帯電話会社のシステムに侵入し、攻撃者自身がSIMスワップを実行できるようにします。
3. 携帯電話会社に潜む内通者を通じた攻撃
   攻撃者が、SIM再発行の権限を持つ携帯電話会社の従業員と直接連携することで発生します。

SIMスワップ攻撃を阻止する: 回線契約者のためのヒント

• オンラインアカウントは可能な限り2FAで保護する。ただし、電話や二段階認証を認証に使用しないこと。代わりに、生体認証、物理的なセキュリティ・トークン、またはプッシュ通知やワンタイムパスワードによる認証アプリを使用しましょう。
• 携帯電話番号や住所などの個人情報をオンラインで公開しないようにしましょう。
• 個人的な金融情報をオンラインで共有しないようにしましょう。
• 携帯電話会社からと称する迷惑電話や電子メールに応答して、契約情報やサポートページの認証情報を提供することは絶対に避けてください。携帯電話会社のカスタマーサービスに電話するか、携帯電話会社のウェブサイトに直接ログインして、連絡先を確認しましょう。
• すべてのオンラインアカウントには、強力でユニークな（他と被らない）パスワードを使用してください。
• ログイン情報やその他の機密情報は、テキストファイルやスプレッドシートなど、暗号化されていない媒体には絶対に保存しないでください。代わりに、Keeperのようなパスワードマネージャーを使用することで、あなただけがアクセスできる暗号化されたパスワード保管庫(ボルト)にログイン情報やその他の個人情報を保存することができます。

SIMスワッピングを阻止する: モバイルキャリアのためのヒント

• フィッシング攻撃がSIMスワッピングにどのように利用されているかなど、サイバーセキュリティに関する意識について従業員に教育しましょう。
• 従業員から「携帯番号が変わった」と連絡を受けた場合に、それを慎重に確認するステップを盛り込むなど、セキュリティを高める包括的な手順を定めましょう。
• 役割ベースのアクセス制御（RBAC）を使用して、従業員の携帯番号を編集できる権限をもつ担当者を制限し、監査ログを使用して、誰がいつ切り替えを行ったかなど、このアクティビティをすべて追跡しましょう。
• 従業員には、強力でユニークなパスワードの使用を義務付け、すべての業務用アカウントで2FAを有効にし、Keeperのような堅牢なエンタープライズパスワード管理と暗号化プラットフォームでこれらのポリシーを実施しましょう。

まとめ

Keeper managed by ZUNDA について