Stracił bitcoiny przez T-Mobile. Wywalczył 33 miliony dolarów odszkodowania

Firma prawnicza Greenberg Glusker pochwaliła się zwycięstwem w prywatnym postępowaniu arbitrażowym przeciwko T-Mobile, uzyskując odszkodowanie w wysokości 33 milionów dolarów. Panel arbitrażowy uznał T-Mobile za winnego licznych zaniedbań w zakresie bezpieczeństwa, które umożliwiły przeprowadzenie ataków typu SIM swapping i doprowadziły do utraty cyfrowych aktywów.

Czym jest SIM swapping?

Atak polegający na zamianie karty SIM (SIM swapping, realizowany także wobec kart eSIM) ma miejsce, gdy oszuści (zwani Simmers) doprowadzają do przeniesienia numeru telefonu ofiary na kartę SIM będącą pod ich kontrolą. W praktyce chodzi o klonowanie (duplikowanie) karty SIM, tak, aby przekierować numer telefonu ofiary na karty SIM kontrolowane przez przestępców.

Może odbywać się to przez telefoniczny kontakt z operatorem i podszywanie się pod użytkownika, poprzez włamanie do systemów operatora, ale też w drodze przekupienia pracowników, którzy mają dostęp do baz danych. Niestety w tym przypadku nie pomógłby nawet najbezpieczniejszy telefon – ofiara nie ma pojęcia, że coś dzieje się z jej numerem.

W którym momencie użytkownik może zorientować się, że coś jest nie tak?  Zazwyczaj pierwszą oznaką tego, że zostało się ofiarą SIM swapping, jest utrata usługi komórkowej w smartfonie, tj. brak sieci i możliwość wykonywania połączeń tylko pod numery alarmowe. Wtedy trzeba reagować błyskawicznie. Chodzi oczywiście o dostęp do danych i pieniędzy. Nasze numery telefonów są powiązane z różnymi kontami internetowymi, przy pomocy komórki autoryzujemy też różne procedury i transakcje – dlatego kontrola nad numerem telefonu może umożliwić atakującym zmianę danych logowania do tych kont i przejęcie nad nimi kontroli.

Za co T-Mobile musiał zapłacić odszkodowanie?

Chodzi o kradzież sprzed kilku lat, gdy ewidentnie zawiniły procedury i zabezpieczenia systemów w T-Mobile. Oszuści wykorzystali je do podmiany kart SIM, w wyniku czego ofiara straciła kryptowaluty, wycenione wówczas na 38 milionów dolarów. Atak był wymierzony w Josepha „Josha” Jonesa i doprowadził do kradzieży ponad 1500 bitcoinów i około 60 000 bitcoinów Cash.

Kradzieży dokonano 21 lutego 2020 roku po tym, jak pracownik T-Mobile przeniósł numer telefonu Jonesa na kartę SIM znajdującą się pod kontrolą napastnika.  Trzeba dodać, że konto Jonesa w T-Mobile miało podwyższone zabezpieczenia, obejmujące m.in. ośmiocyfrowy kod PIN, który powinien był uniemożliwić jakiekolwiek zmiany. Dlatego uznano, że atakujący musieli wykorzystać luki w systemach T-Mobile, aby przejąć kontrolę nad kontem.

Jones stracił zasięg w telefonie i początkowo był po prostu zdezorientowany, szybko zaczął jednak podejrzewać, że to atak. Gdy zalogował się do cyfrowych portfeli, okazało się, że przestępcy już wyprowadzali z nich Bitcoiny… Jones zawiadomił FBI, w sprawę zaangażowała się również amerykańska Secret Service, próbując ustalić, kto popełnił przestępstwo – chodziło bowiem o największą ilość kryptowaluty, jaką kiedykolwiek ukradziono indywidualnemu właścicielowi. Śledztwo organów ścigania w sprawie włamania wykazało, że za atakiem stał 17-letni fan gry Fortnite ze zdiagnozowanym ADHD. 

Wyrok sądu

Ewidentnie istotną rolę w przestępstwie odegrały słabe zabezpieczenia systemów T-Mobile. Sąd uznał, że operator ponosi odpowiedzialność za brak skutecznych zabezpieczeń i procedur ochrony klientów przed atakami SIM-swap. Ugoda w wysokości 33 milionów dolarów miała zadośćuczynić straty finansowe ofiary oraz pokryć koszty prawne.

Operatorowi zależało, aby szczegóły sprawy nie były ujawniane publicznie. Podobno dlatego orzeczenie było utrzymywane w tajemnicy od jesieni 2023 roku, gdyż, według prawników biorących udział w sprawie, T-Mobile próbowało zatajać szczegóły dotyczące luk w zabezpieczeniach. Petycja kancelarii prawnej o potwierdzenie wyroku arbitrażowego, złożona w sądzie w Los Angeles, pozwoliła publicznie ujawnić szczegóły procesu.

Źródło: Greenberg Glusker, Security Week, TorontoLife. Zdjęcie otwierające: allasimacheva / Depositphotos

Część odnośników to linki afiliacyjne lub linki do ofert naszych partnerów. Po kliknięciu możesz zapoznać się z ceną i dostępnością wybranego przez nas produktu – nie ponosisz żadnych kosztów, a jednocześnie wspierasz niezależność zespołu redakcyjnego.

Artykuł Stracił bitcoiny przez T-Mobile. Wywalczył 33 miliony dolarów odszkodowania pochodzi z serwisu ANDROID.COM.PL - społeczność entuzjastów technologii.