Lo studio legale californiano Greenberg Glusker ha raggiunto attraverso un tribunale arbitrale la possibilità di recuperare 33 milioni di dollari da T-Mobile. La causa denuncia gravi violazioni della sicurezza che hanno portato al successo di un attacco di scambio di SIM (SIM Swap).

L’incidente è avvenuto il 21 febbraio 2020, quando un dipendente della T-Mobile ha trasferito il numero di telefono del cliente Joseph “Josh” Jones su una scheda SIM controllata da un aggressore. L’attacco ha portato al furto di oltre 1.500 Bitcoin e di circa 60.000 Bitcoin Cash, per un valore di 38 milioni di dollari al momento del furto.

L’account T-Mobile di Jones era dotato di misure di sicurezza avanzate, tra cui un PIN di otto cifre che avrebbe dovuto impedire qualsiasi modifica. Ciò ha portato la vittima a credere che gli aggressori avessero utilizzato vulnerabilità nei sistemi dell’operatore di telefonia mobile per ottenere il controllo sul suo account.

La petizione di Greenberg Glusker, depositata presso il tribunale di Los Angeles, rivela che un’indagine delle forze dell’ordine ha accertato il coinvolgimento nell’attacco informatico di un adolescente di 17 anni a cui è stata diagnosticata l’ADHD. Secondo le informazioni disponibili, era associato agli hacker Nima Fazeli e Joseph O’Connor, coinvolti nell’hacking di decine di account Twitter nello stesso 2020.

Il caso T-Mobile è stato tenuto segreto dall’autunno del 2023. Lo studio legale ha affermato che l’operatore di telefonia mobile stava cercando di mantenere riservati i dettagli delle sue falle di sicurezza.

Paul Blechner di Greenberg Glusker ha sottolineato che il problema dello scambio di SIM è rimasto una vulnerabilità irrisolta per molti anni. Ha affermato che gli operatori, tra cui T-Mobile, erano a conoscenza del problema ma non hanno preso sufficienti precauzioni per proteggere i propri clienti.

Gli attacchi di scambio di SIM rappresentano una seria minaccia perché i numeri di telefono vengono spesso utilizzati per l’autenticazione a due fattori in vari servizi online. Una volta che gli aggressori prendono il controllo del numero, possono modificare i dettagli di accesso e assumere il controllo degli account degli utenti.

Uno dei casi più noti dell’uso di questa tecnica divenne importante negli hack di Twitter del 2020. Gli hacker hanno attaccato 130 account e ne sono stati catturati 45, tra cui quelli di personaggi famosi: Bill Gates, Jeff Bezos, Joe Biden, Elon Musk e Mike Bloomberg.

L'articolo T-Mobile Condannata: 33 Milioni di dollari per un SIM Swap da Record proviene da il blog della sicurezza informatica.