SIM Swapping

Penyerang biasanya memulai dengan mengumpulkan informasi pribadi tentang target, sering melalui kebocoran data sebelumnya, media sosial, atau panggilan telepon pretexting langsung ke korban, untuk melewati pemeriksaan identitas operator. Mereka kemudian menghubungi operator seluler, baik secara langsung, melalui telepon, atau terkadang melalui orang dalam yang disuap, mengaku sebagai korban yang melaporkan SIM hilang atau rusak dan meminta nomor dipindahkan ke kartu SIM baru. Jika verifikasi operator lemah atau rekayasa sosial penyerang berhasil, nomor tersebut dipindahkan dalam hitungan menit dan telepon korban tiba-tiba menunjukkan tidak ada sinyal.

Kerusakan dari SIM swap yang berhasil meningkat cepat karena begitu banyak alur pemulihan akun dan login yang masih mengandalkan SMS sebagai faktor kedua atau bahkan satu-satunya mekanisme pemulihan. Dengan kendali atas nomor telepon, penyerang dapat mereset kata sandi akun email, perbankan, dan mata uang kripto dengan mencegat kode SMS yang dikirim untuk memverifikasi perubahan tersebut, sering menguras akun bahkan sebelum korban menyadari telepon mereka berhenti bekerja. Di Indonesia, di mana kode sekali pakai SMS masih banyak digunakan untuk verifikasi mobile banking dan e-wallet, SIM swapping telah dikaitkan langsung dengan kerugian penipuan yang signifikan dan menjadi perhatian yang terus berkembang bagi regulator.

Pertahanan terkuat adalah beralih dari SMS sebagai metode autentikasi atau pemulihan bila memungkinkan, menggantinya dengan aplikasi autentikator, kunci keamanan perangkat keras, atau passkey yang sama sekali tidak terikat pada nomor telepon. Menetapkan PIN atau persyaratan verifikasi tambahan langsung dengan operator seluler untuk setiap permintaan penggantian SIM menambah hambatan yang menghentikan upaya rekayasa sosial biasa. Menyadari hilangnya sinyal telepon secara tiba-tiba dan total, terutama disertai email pemulihan akun yang tak terduga, sering kali menjadi tanda peringatan pertama dan satu-satunya sebelum penyerang bergerak cepat mengunci korban dari akun mereka.