Numara taşıma dolandırıcılığı, saldırganın kurbanın cep telefonu numarasını onun bilgisi dışında başka bir operatöre ya da yeni bir SIM karta taşıtarak numaranın kontrolünü ele geçirmesidir. Hedef numaranın kendisi değil, o numaraya gelen doğrulama mesajlarıdır; çünkü birçok banka ve e-posta hesabı, kimlik doğrulamanın son adımını SMS koduna bırakır.

Numara taşıma dolandırıcılığı, telefon numarasını bir iletişim aracı olmaktan çıkarıp hesapların ana anahtarına dönüştürür.

Saldırı Nasıl İşler?

Saldırgan önce kurban hakkında ad, kimlik numarası, doğum tarihi gibi operatörün kimlik doğrulamada sorduğu bilgileri toplar. Ardından operatörü, gerçek abone kendisiymiş gibi ikna ederek numaranın yeni bir SIM’e taşınmasını sağlar. Bu işlem çoğu zaman kurbanı arayıp kendini operatör yetkilisi gibi tanıtan bir vishing sesli kimlik avı görüşmesiyle desteklenir; kurbandan gelen bir doğrulama kodu istenerek son engel de aşılır.

Taşıma tamamlandığı anda kurbanın telefonu şebekeden düşer ve tüm çağrılar ile mesajlar saldırganın SIM’ine akmaya başlar. Bu, teknik olarak bir SIM kart değiştirme saldırısı ile aynı sonucu üretir: saldırgan artık kurbanın numarasına gelen her doğrulama kodunu görür.

Hesaplar Nasıl Ele Geçirilir?

Numaranın kontrolü eline geçen saldırgan, hedef hesapta parolayı unuttum akışını başlatır. Sistem doğrulama kodunu SMS ile gönderir, kod saldırganın telefonuna düşer ve parola sıfırlanır. Banka hesapları, e-posta ve sosyal medya profilleri bu yolla dakikalar içinde devralınabilir; üstelik kurban telefonunun neden çekmediğini anlamaya çalışırken.

Kimlik bilgilerinin toplanması aşaması genellikle sahte SMS ve e-postalarla yürütülen bir kimlik avı kampanyasına dayanır; yani saldırının başlangıcı çoğu zaman teknik değil, sosyal mühendisliktir.

Korunma Yolları

En etkili önlem, kritik hesaplarda SMS tabanlı doğrulamayı tek yöntem olmaktan çıkarmak ve uygulama tabanlı doğrulayıcılara ya da fiziksel güvenlik anahtarlarına geçmektir. Operatör tarafında ise numara taşıma işlemleri için ek bir taşıma PIN’i veya kimlik teyidi, yetkisiz taşımayı ciddi biçimde zorlaştırır.

Kurumlar açısından bu tehdidin en tehlikeli yanı, çalışan hesaplarının bu yolla ele geçirilmesidir. Siber tatbikat hizmetimiz ile SIM taşıma ve sosyal mühendislik senaryolarını kontrollü biçimde canlandırıp, çalışanların ve destek ekiplerinin bu tür girişimlere karşı direncini ölçüyoruz.