PGN - OFICIO CIRCULAR MEDIDAS DE SEGURIDAD - Nueva modalidad de robo a traves del hurto de

OFICIO CIRCULAR 013_/ DISEG-PGN

Bogotá D.C., 23 de marzo de 2022

DE: DIVISIÓN DE SEGURIDAD

PARA: SERVIDORES DE LA PROCURADURÍA GENERAL DE LA

NACIÓN

ASUNTO: TIPS DE SEGURIDAD PERSONAL Y AUTOCUIDADO III «NUEVA

MODALIDAD DE ROBO A TRAVES DEL HURTO DE CELULARES

- SIM SWAPPING».

Respetado servidor: Con el incremento del hurto de equipos de telefonía celular, también ha surgido una nueva modalidad delictiva conocida como «SIM swapping», que es un tipo de fraude que permite a los delincuentes robar su identidad sin que ni siquiera sospeche que es víctima mediante el “secuestro” del número abonado al obtener un duplicado de su tarjeta SIM.

Si nos detenemos a pensar con qué llenamos el espacio de almacenamiento de nuestro equipo móvil y qué información nos daría más miedo perder, muchos usuarios seguramente antepongan sus aplicaciones de redes sociales a otras cosas. Sin embargo, no todos tienen presente que en nuestro teléfono móvil existe algo que puede ser de mucho interés para los delincuentes y que puede convertir un robo de datos y una suplantación de identidad en un robo de dinero desde nuestra cuenta bancaria o billetera digital. Debemos tener en cuenta que esta técnica no es consecuencia de un fallo de seguridad en nuestros dispositivos, sino de falta de implementación de protocolos de verificación estrictos a la hora solicitar una copia de nuestra tarjeta SIM. Además, esta técnica se usa juntamente con otras de ingeniería social para obtener beneficios, ya que lo que buscan los delincuentes en este caso es acceder a los códigos de verificación que empresas,

plataformas y entidades bancarias suelen enviarnos a nuestros dispositivos móviles.

Fases del SIM swapping: En una primera fase, los delincuentes tratan de obtener las credenciales del usuario; normalmente aquellas relacionadas con la banca online para maximizar el beneficio económico, aunque, como veremos más adelante, este no es el único objetivo. El robo de credenciales suele realizarse mediante técnicas de ingeniería social tradicionales, como puede ser, por ejemplo, usando páginas web fraudulentas a las que se redirige al usuario desde un enlace enviado mediante correo electrónico o por una aplicación móvil falsa que suplanta la identidad de la entidad bancaria.

Una vez conseguidas las credenciales, los delincuentes tratan de obtener un clonado de la SIM de la víctima para así poder recibir los códigos de verificación por SMS (doble factor de autenticación). Para eso, los cibercriminales se

DIVISIÓN DE SEGURIDAD 1

Carrera 5 No. 15-80 Piso 2 Torre Central Bogotá, D.C., PBX (571) 5878750 Ext. 10222 – 10295 – 10244 Celular +57 350 6944929

Email: seguridad.jefatura@procuraduria.gov.co; seguridad.secretaria@procuraduria.gov.co aprovechan de las pobres medidas de verificación de la identidad que suelen solicitar algunos operadores. Tras recopilar la información personal de sus víctimas, por ejemplo, a través de las redes sociales, realizan una llamada o se presentan físicamente en una tienda de la compañía telefónica responsable de la SIM que quieren clonar para solicitar un duplicado de la tarjeta. Muchas veces

ocurre que los usuarios se dan cuenta de que existe algún problema cuando dejan de tener señal en su teléfono. No es raro ver que a los delincuentes no le ponen demasiadas barreras a la hora de obtener este duplicado de la SIM y esto es un serio problema. Una vez conseguido este duplicado, los delincuentes pueden entrar a la cuenta bancaria de la víctima, realizar transferencias o incluso solicitar créditos en su nombre. A la hora de confirmar la operación no tendrán problema, puesto que reciben los mensajes con el doble factor de autenticación (2FA) en la SIM clonad. ¿Cómo evitar la duplicación de tu SIM?: En un principio el «SIM swapping» estaba enfocado solamente en poder ingresar a cuentas bancarias o plataformas donde las personas alojan dinero para próximas transacciones, como son las páginas web de apuestas. Ahora, también están interesados en las redes sociales. El Centro Cibernético Policial de Colombia asegura que los accesos ilegales a Facebook, Instagram, Tik Tok o similares, los utilizan para arruinar la reputación online de la víctima y aprovechar para chantajearla. Por ejemplo, podrían obtener fotos y conversaciones comprometedoras, y amenazar con hacerlas públicas a menos que se acepte el pago de una cantidad. A continuación, conozca los tres pasos fundamentales para evitar el «SIM swapping»: • Prevención: - No conteste correos de personas que no conoce y no dé información personal en redes sociales o en páginas web que no sean seguras. - Sólo entregue sus datos a entidades de confianza y por los medios oficiales, así sabrá que está en un sitio seguro y evitará también ser víctima de phishing (captación de información general por medio de internet).

• Proteja su información personal como número de cédula, fecha de nacimiento, claves de cuentas bancarias y/o correo electrónico y dirección de residencia a no ser que sea necesario. Elimine esta información de todos los perfiles en donde no sea necesaria. - Mantenga estos datos de manera privada. Borre los perfiles de las aplicaciones ya no utilices. - No almacene su información personal en su celular. No vincule su cuenta bancaria a su número telefónico. - Jamás entregue su código PIN a nadie. Instale una aplicación de seguridad para evitar que puedan acceder a tus datos personales. - Instalar programas como Microsoft Authenticator, Google Authenticator o Authy están entre las más conocidas, y si podemos usarlas - la plataforma con la que trabajamos debe soportar esa opciónson mucho más seguras que la autenticación vía SMS.

DIVISIÓN DE SEGURIDAD 2

Carrera 5 No. 15-80 Piso 2 Torre Central Bogotá, D.C., PBX (571) 5878750 Ext. 10222 – 10295 – 10244 Celular +57 350 6944929

Email: seguridad.jefatura@procuraduria.gov.co; seguridad.secretaria@procuraduria.gov.co • Detección: - Si descubre que su tarjeta SIM no funciona repentinamente o que tiene mensajes extraños sobre movimientos que no ha realizado, debe comunicarse de inmediato con su operador de telefonía móvil para comprobar si se ha presentado una solicitud ilegal en relación con su línea, de ser así, solicite la cancelación inmediata. No se preocupe, por ley usted es dueño del número que ha registrado y puede activarlo en nuevas tarjetas SIM y en distintos operadores. • Acción: - Si su celular ha sido robado, solicite a su operador que bloquee el IMEI de

su teléfono; de igual forma anule la tarjeta SIM y pida al operador un duplicado de esta. Cambie todas sus contraseñas. - Denuncie el hecho ante la Policía Nacional y su operador. Avise a todos sus contactos del hurto de su celular en esta modalidad delincuencial. - Si ya ha comprobado que fue víctima de ‘SIM swapping’ revise rápidamente todas tus cuentas bancarias, así como otros servicios como redes sociales o suscripciones y, de inmediato, cambie las contraseñas. Puede contar con un gestor de claves como LastPass o 1Password, “cajas fuertes” con la lista completa de contraseñas donde puede recordarlas todas y actualizarlas de manera rápida. - Bloquee el dispositivo y borre el contenido de forma remota. Atentamente,

Coronel (RA) CARLOS ALBERTO VARGAS RODRÍGUEZ

Jefe División de Seguridad

Elaboro: Astolfo Rivas/José Marin

Reviso: Asesor 24 John Puentes

DIVISIÓN DE SEGURIDAD 3

Carrera 5 No. 15-80 Piso 2 Torre Central Bogotá, D.C., PBX (571) 5878750 Ext. 10222 – 10295 – 10244 Celular +57 350 6944929

Email: seguridad.jefatura@procuraduria.gov.co; seguridad.secretaria@procuraduria.gov.co