הטלפון מציג פתאום "אין שירות". ה-Wi-Fi בבית עובד, האפליקציות נטענות, רק הרשת הסלולרית נעלמה. רוב האנשים מניחים שזו תקלה ומחכים שזה יסתדר. לפעמים זו באמת תקלה. ולפעמים זה בדיוק הרגע שבו מספר הטלפון שלכם עבר לידיים של מישהו אחר.

אז מה קרה למספר?

בואו נצא רגע מעולם הטלפונים. תארו לעצמכם שמישהו נכנס לסניף דואר, אומר שהוא אתם, ומבקש שכל הדואר שמגיע לכתובת שלכם יופנה מהיום לכתובת אחרת. הפקיד לא מכיר אתכם אישית, אז הוא בודק כמה פרטים מזהים ומאשר. המכתבים לא נעלמים בדרך, הם פשוט מגיעים למישהו אחר.

זה מה שקורה כאן, רק שהמכתבים הם השיחות וההודעות שלכם. התוקף פונה לחברת הסלולר בשמכם ומבקש להעביר את המספר לכרטיס SIM שנמצא אצלו. ברגע שהבקשה מאושרת הכרטיס שבטלפון שלכם מתנתק, וכל שיחה וכל SMS שנשלחים אליכם מגיעים למכשיר שלו. לתרגיל הזה קוראים SIM Swap, החלפת סים.

למה המספר שווה יותר מהסיסמה?

כי הוא מה שמשחזר את כל השאר. במייל, בבנק ובארנק הקריפטו, "שכחתי סיסמה" מסתיים כמעט תמיד בקוד חד-פעמי שנשלח ב-SMS. מי שמחזיק במספר מקבל את הקוד, מאפס את הסיסמה, ונכנס. גם אימות דו-שלבי שנשען על SMS לא עוזר כאן, כי השלב השני עובר דרך אותו מספר גנוב. הקוד הזה שווה מספיק כדי שתוקפים יבנו עמוד מזויף שגונב אותו בזמן אמת, בלי לגעת במספר בכלל.

ואיך משכנעים את הנציג בצד השני? עם פרטים. מספר תעודת זהות, כתובת, ארבע ספרות של כרטיס אשראי, כל מה שנשמע כמו אדם שיודע על עצמו. את החומר הזה לא צריך לנחש, דליפות מידע מפזרות אותו בשפע. ה-FBI מתאר גם מקרים שבהם עובד בחברת הסלולר עצמו מבצע את ההחלפה תמורת תשלום, וסופר בארצות הברית 1,611 תלונות על SIM Swap בשנה אחת, עם נזק מוערך של יותר מ-68 מיליון דולר.

בישראל, לפי דיווח ב-ynet, חלק מחברות הסלולר מטמיעות שיטת אימות שמצליבה את המספר עם המספר הסידורי של כרטיס ה-SIM ועם המכשיר עצמו, במקום להישען על SMS.

מה עושים?

הוציאו את הקודים מה-SMS. בחשבונות שהכי כואב לאבד (מייל, בנק, רשתות חברתיות) עברו לאימות דרך אפליקציית מאמת כמו Google Authenticator, או למפתח מעבר (passkey) אם השירות מציע אותו. קוד שנוצר בתוך המכשיר שלכם לא נשלח בכלל, ולכן החלפת סים לא מוסרת אותו לאף אחד.

התקשרו לשירות הלקוחות של חברת הסלולר ושאלו איזו הגנה קיימת על הקו שלכם מפני החלפת כרטיס. בקשו להוסיף סיסמה או קוד סודי לחשבון, ושיירשם אצלם שהחלפת SIM בקו הזה מחייבת הזדהות מלאה.

התייחסו ל"אין שירות" בלי סיבה כאל סימן אזהרה ולא כאל מטרד. אם הרשת הסלולרית נעלמה ואתם לא באזור קליטה בעייתי, התקשרו לחברת הסלולר מטלפון אחר ובררו אם בוצעה בקו שלכם החלפת כרטיס, במקום לחכות שזה יחזור מעצמו. הפער בין הרגע שבו המספר עובר לרגע שבו מאפסים את הסיסמאות שלכם נמדד בדקות.

מספר הטלפון נראה כמו פרט טכני שנותנים לכל אחד, ובפועל הוא המפתח הראשי לכל שאר החשבונות. שווה להתייחס אליו ככה.