Karyawan T-Mobile di Seluruh Negeri Menerima Tawaran Uang Tunai untuk Melakukan SIM Swap Ilegal

• Karyawan T-Mobile menerima tawaran uang tunai untuk menukar SIM secara ilegal

  • Pelaku jahat menghubungi karyawan T-Mobile dan menawarkan $300 untuk setiap SIM swap
  • Tawaran ini meminta mereka menghubungi lewat Telegram dari berbagai kode area, dan mengklaim nomor tersebut diperoleh dari direktori karyawan T-Mobile
  • Menurut beberapa postingan di Reddit dan orang-orang yang melapor ke The Mobile Report, karyawan T-Mobile di seluruh negeri terdampak

• Muncul pertanyaan tentang jalur kebocoran informasi pribadi karyawan

  • Masalah terbesarnya adalah bagaimana pelaku jahat mendapatkan nomor telepon karyawan
  • Sebagian karyawan yang terdampak termasuk mantan karyawan yang sudah tidak bekerja di perusahaan selama berbulan-bulan, sehingga kemungkinan datanya berasal dari beberapa bulan lalu
  • Karena tampaknya mencakup karyawan korporat, sumber datanya terlihat berbeda dari insiden kebocoran Connectivity Source
  • T-Mobile menyatakan tidak ada pelanggaran sistem, dan masih menyelidiki pesan yang menghasut tindakan ilegal tersebut

• Dampak terhadap pelanggan dan langkah pencegahan

  • Fakta bahwa pelaku kriminal masih melihat SIM swapping sebagai cara menghasilkan uang menunjukkan upaya pencegahan perusahaan masih kurang memadai
  • Karena banyak karyawan menerima tawaran ini, ada kemungkinan sebagian akan menerimanya, sehingga akun dan dana pelanggan bisa berada dalam risiko
  • Pelanggan dapat mengambil langkah pencegahan seperti menggunakan autentikasi dua faktor berbasis aplikasi alih-alih SMS, serta mengaktifkan fitur perlindungan SIM di akun T-Mobile
  • Jika bank atau dompet kripto hanya mendukung SMS, sebaiknya mempertimbangkan pindah layanan

• Semoga ini bukan kebocoran baru dari operator yang terkenal akibat kebocoran data baru-baru ini

  • Skenario terbaiknya adalah ini merupakan dampak dari insiden kebocoran pada September, tetapi tetap ada kemungkinan ini adalah kebocoran baru
  • The Mobile Report akan terus memperbarui informasi seiring munculnya detail baru

Opini GN⁺

• SIM swapping bukan masalah baru, tetapi upaya terorganisasi yang menargetkan karyawan operator adalah hal yang tidak biasa. Operator tampaknya perlu memperkuat langkah keamanan terhadap ancaman orang dalam
• Sebagian besar pelanggan tiga operator besar menggunakan SMS untuk autentikasi dua faktor, sehingga skala potensi kerugiannya besar. Peningkatan kesadaran pelanggan dan langkah mitigasi teknis perlu segera disiapkan
• Kepercayaan terhadap T-Mobile sudah menurun akibat kebocoran data pelanggan yang belakangan sering terjadi, sehingga dampak insiden ini kemungkinan besar akan signifikan. Diperlukan penyelidikan menyeluruh dan langkah pencegahan agar tidak terulang
• Untuk jalur kebocoran data karyawan, kemungkinan ulah orang dalam tidak bisa dikesampingkan. Terutama karena data mantan karyawan yang sudah pindah kerja juga tampaknya ikut tercakup, ada bagian yang mencurigakan
• Di luar level operator semata, ada kebutuhan untuk mengatur SIM swapping secara hukum dan meningkatkan berat hukuman. Dibandingkan skala kerugiannya, hukumannya lemah sehingga menjadi motivasi bagi kejahatan

[GN⁺]

Opini Hacker News

• Mengirim SMS palsu oleh T-Mobile untuk memecat karyawan adalah tindakan yang tidak etis dan kontroversial
• Akibat kebocoran data T-Mobile baru-baru ini, muncul teknik serangan baru di mana pelaku kejahatan memperoleh nomor telepon karyawan dalam jumlah besar lalu mendorong terjadinya SIM swapping
• Untuk mengatasi masalah SIM swapping, perlu penguatan prosedur verifikasi identitas pelanggan, tetapi hal ini sulit di AS karena tidak ada sistem identitas universal
• Ada masalah mendasar bahwa nomor telepon menjadi basis kepercayaan dalam kehidupan digital. Perbaikan di level OS seperti passkey dapat membantu
• SMS OTP masih banyak digunakan meskipun itu berarti mengganti vektor serangan dengan yang lebih lemah
• FCC berencana memberlakukan aturan pencegahan SIM swapping mulai Juli 2024, tetapi belum jelas apakah ini bisa mencegah serangan dari orang dalam
• Diperlukan definisi hukum dan standar untuk MFA. SMS sebaiknya diklasifikasikan sebagai 2SA, dan MFA idealnya dibatasi pada metode autentikasi berbasis perangkat keras
• Gaji staf layanan pelanggan operator yang rendah, wewenang yang besar, dan kontrol akses yang lemah menjadi penyebab serangan dari orang dalam
• Bahkan setelah masalah SIM diselesaikan, penyerang akan membidik celah lain, sehingga penguatan keamanan yang berkelanjutan tetap diperlukan
• Jika pengguna menyetujuinya, bisa dipertimbangkan mekanisme yang memungkinkan pergantian ke SIM baru hanya ketika SIM lama sudah dalam keadaan offline