---
title: "SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA"
description: "Ipinapakita ng SIM swapping kung bakit maaaring pumalya ang SMS-based 2FA, kung paano inuubos ng pagnanakaw ng numero ng telepono ang mga crypto account, at kung ano ang hitsura ng mas ligtas na gawi sa pag-recover."
language: tl
published: 2026-07-14
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/sim-swapping-why-2fa-is-not-a-fortress?lang=tl
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA

Ipinapakita ng SIM swapping kung bakit maaaring pumalya ang SMS-based 2FA, kung paano inuubos ng pagnanakaw ng numero ng telepono ang mga crypto account, at kung ano ang hitsura ng mas ligtas na gawi sa pag-recover.

Ang unang senyales na may matinding problemang nagaganap para kay Michael Terpin, isang crypto investor at negosyante, ay hindi ang pagkawala ng milyun-milyong dolyar sa mga crypto asset - kundi ang kawalan niya ng kakayahang magpadala o makatanggap ng text message.

Para sa isang karaniwang tao, ang kawalan ng kakayahan ng isang mobile phone na magpadala o makatanggap ng SMS ay malayong maging babala ng pagkalugi sa pananalapi. Gayunpaman, para kay Terpin, ang tila walang kuwentang pangyayaring ito ang naging simula ng wakas. Ang problema ay ang mismong numero: isang numero ng cell phone na dati niyang ginagamit para sa mga karaniwang layunin sa negosyo, account recovery, at multi-factor authentication, ay bigla na lamang nawala sa kanyang pagmamay-ari nang walang anumang abiso.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/80101636ec4005800f18f1926093b3731251ac45-1385.webp)

Sa mas tiyak na salita, pag-aari na ito ng iba - mga fraudster na may relatibong kadalian na nagawang tanggalin ang kanyang numero mula sa kanyang SIM card at ikabit ito sa sarili nilang SIM. Ang mga fraudster, nang makuha ang buong kontrol sa numero, ay hinarangan ang anumang pagtatangka ni Terpin na bawiin ang account, pinalitan ang kanyang recovery e-mail sa website ng carrier patungo sa kanila, at kalaunan, nagnakaw ng mahigit 24 milyong dolyar mula sa kanyang mga crypto wallet. Isang binatilyo ang nakulong para sa napakalaking pagnanakaw na ito; ang pangunahing suspek, ang 15-taong-gulang na si Ellis Pinsky, ay inakusahan ng pamumuno sa isang grupong kriminal na nangingikil ng pera mula sa mga crypto wallet sa pamamagitan ng SIM swap. Kabilang din sa mga inakusahan si Nicholas Truglia, isa sa mga una at pinakamalaking nag-ambag sa pagiging tanyag ng kasong ito.

Ipinapakita ng mga talaan ng hukuman na sinuhulan nina Pinsky at ng kanyang mga kasabwat ang isang empleyado ng isang awtorisadong retailer ng AT&T, si Jahmil Smith, na siyang nagpalit ng SIM card ni Terpin pabor sa mga fraudster. Kaya naman, gamit ang isang medyo simple ngunit epektibong scam, ang mga crypto enthusiast ay nanakawan ng milyun-milyong dolyar - at, sa unang pagkakataon sa kasaysayan, nasangkot ang cellular carrier sa isang demanda laban sa customer dahil sa isang SIM swap. Matapos ang paunang yugto ng paglilitis, nakipagkasundo si Pinsky kay Terpin sa labas ng hukuman, kung saan nagbayad siya ng 22 milyon bilang danyos. Nagtagumpay din ang huli sa demanda laban sa AT&T, na sa pagtatangkang umiwas sa pagbabayad ng malalaking halaga, ay nangatwirang kasalanan ni Terpin ang pagtitiwala sa isang cellular carrier para sa kanyang mga crypto asset. Gayunpaman, noong 2024, nagdesisyon ang Ninth Circuit Court pabor sa apela ni Terpin laban sa AT&T, na nagbukas ng daan para sa panibagong yugto ng paglilitis.

Samantala, para sa karaniwang crypto holder, ang kaso ni Michael Terpin ay isang bagay na dapat pag-aralan at isang aral sa mga kahinaan ng pinakamahinang link ng blockchain - ang account sa isang exchange. Na-hack ang account ni Terpin hindi dahil sa isang kahinaan sa mismong blockchain, kundi dahil napatunayang hindi epektibo ang mga tradisyonal na pamamaraan ng multi-factor authentication laban sa mga fraudster. Sa halip, gumamit ang mga fraudster ng medyo karaniwang pamamaraan - social engineering at pagpapalit ng numero ng telepono - upang magkaroon ng access sa exchange, linlangin ang customer tungkol sa "pagnanakaw" ng numero at, sa kalaunan, ubusin ang laman ng account.

Ang dahilan kung bakit napakapangwasak ng ganitong mga scam para sa mga crypto holder ay dahil karaniwan itong may maraming yugto: hindi lamang nagnanakaw ang mga fraudster ng mga crypto asset kundi sinasamantala rin nila ang (madalas ay mahinang) account recovery policy ng customer upang makakuha ng hindi awtorisadong access sa exchange. Bukod pa rito, maaaring mabiktima ang customer ng phishing, pagnanakaw ng pagkakakilanlan (identity theft), o panloloko gamit ang personal na impormasyon.

Maiiwasan ang ganitong sitwasyon kung gagawa ang crypto holder ng kahit ilang hakbang upang mapataas ang antas ng seguridad at katatagan ng account recovery. Ang pinakamakatwirang hakbang ay ang alisin ang SMS multi-factor authentication (MFA) hangga't maaari at lumipat sa iba pang mas maaasahang pamamaraan, tulad ng mga app. Bukod dito, kailangang tiyakin na ang numero ng SIM card ay hindi basta-basta mapapalitan sa cellular carrier nang walang masalimuot at beripikadong mga hakbang.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/6a584e13c7019e0f905cbf484e2d4bb31fa265b7-901.webp)

Higit sa lahat, kailangang alisin ang SMS mula sa mga pamamaraan ng account recovery o, kahit papaano, ilipat ang lahat ng setting ng account at pamamaraan ng pagbawi sa isa pang mas mapagkakatiwalaang channel. Panghuli, napakahalagang tiyakin na ang personal na data o mga private key ay hindi nakaimbak sa mga mahihinang lugar, tulad ng cloud. Ang dahilan kung bakit pumapalpak ang SMS MFA sa kaso ng SIM swapping ay dahil, sa teknikal na aspeto, ang numero ng telepono ay pag-aari na nga ng fraudster sa sitwasyong ito. Dahil dito, ang mga mensaheng SMS na ipinapadala sa numerong ito ay natatanggap ng fraudster, at anumang mga code na ipinapadala roon ay para sa kanyang kapakinabangan at paggamit. Samakatuwid, kahit na ang blockchain wallet o exchange account ay nangangailangan ng SMS-based na MFA, hindi nito ginagawang mas ligtas ang account - basta't makumbinsi ng fraudster ang carrier na siya ang may-ari ng numerong ito.

At ang kakayahang gawin ito ay ginagawang posible ng medyo simpleng proseso ng pagpapalit ng numero sa karamihan ng mga cellular carrier sa buong mundo. Ang katotohanan na ginagawang mas bulnerable ng SMS MFA ang account ay hindi maikakaila - gayunpaman, patas lamang sabihin na ang SMS ay isa sa mga pinakamahinang paraan pagdating sa seguridad ng account.

Ito ay dahil pareho sa medyo mababang antas ng proteksyon ng mismong SMS channel at sa kakayahan ng mga fraudster na gumamit ng social engineering upang makakuha ng access sa numero. Kaya naman, maginhawa ang SMS MFA para sa customer ngunit nagdadala ito ng mataas na panganib ng panloloko, tulad ng ipinapakita sa kaso ni Terpin.

## Sino ba Talaga ang Nakinabang sa Number Swapping Fraud?

Kapag sinusuri ang mga kaso ng pag-hijack sa account gamit ang SMS sa pamamagitan ng SIM swapping, mahalagang huwag labis na tantiyahin ang pagiging komplikado ng naturang pandaraya. Bagaman ang cellular carrier ay tunay ngang isang mahinang punto sa sistema ng seguridad, madalas na sinasamantala ng mga fraudster ang iba pang mga mahihinang punto upang maisakatuparan ang scam.

Ang pinakakaraniwang paraan upang gawin ito ay ang paggamit ng phishing upang makuha ang personal na impormasyon mula sa biktima. Ang impormasyon tulad ng account recovery e-mail, SMS number, pangalan, petsa ng kapanganakan, bahagi ng Social Security Number, at iba pang personal na impormasyon ay maaaring makuha sa pamamagitan ng phishing o, mas madalang, sa pamamagitan ng pag-hack sa mga social media account.

Pagkatapos noon, magagamit ng mga fraudster ang impormasyong ito upang makipag-ugnayan sa cellular carrier at, gamit ang mga teknik ng social engineering, kumbinsihin sila na sila ang bagong may-ari ng numero. Mayroong ilang mga paraan upang gawin ito: pag-bypass sa mga fraud detection system sa pamamagitan ng paglalahad ng sapat na kapani-paniwalang kuwento, panunuhol sa isang empleyado ng cellular carrier na humahawak sa mga ganoong kahilingan, o paggamit ng kaalaman mula sa loob ng mismong kumpanya. Kapag nakuha na ng fraudster ang kontrol sa numero, ang susunod na hakbang ay palitan ang mga setting ng account recovery at kunin ang buong kontrol sa account. Karaniwang nakukumpleto ang pag-takeover sa account sa loob ng ilang oras hanggang ilang araw - depende sa kung paano ikinukubli ang mga aksyon ng fraudster at kung gaano kataas ang antas ng seguridad ng account. Kaya naman, taglay ang matinding kasanayan at pagiging maparaan, hindi lamang cryptocurrencies ang maaaring manakaw ng mga fraudster kundi maging ang personal na data at pera mula sa mga bank account.

Gayunpaman, sa kabila ng tila pagiging simple ng pamamaraan, ang panloloko sa pamamagitan ng SIM swapping ay nangangailangan ng partikular na antas ng paghahanda at personal na kasanayan. Kaya naman, karaniwang hindi baguhang fraudster ang gumagawa nito - kundi isang organisadong grupo ng mga kriminal.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/1b46b923b333a0efeb704c39d3a1a5c77f17f10f-1042.webp)

Isa sa mga pinakakilalang grupo ng cybercriminal na nagpapatakbo sa niche na ito ay ang Scattered Spider, na kilala rin bilang 0ktapus, UNC3944, o Muddled Libra. Ayon sa iba't ibang ulat, ang grupong ito ay binubuo ng mga independyente ngunit magkaalyadong mga social engineer at hacker na nagsasalita ng Ingles. Tumatakbo ito sa buong mundo; ang mga pangunahing target ay malalaking organisasyon ng negosyo, na madalas na-hack sa pamamagitan ng mga phishing attack sa kanilang mga empleyado.

Gayunpaman, ang mga pamamaraang ginagamit ng mga kinatawan ng grupong ito ay hindi natatangi sa prinsipyo. Isa sa kanila, si Noah Michael Urban, na kilala rin bilang King Bob o Sosa, ay nahatulan na dahil sa panloloko sa ilang malalaking kumpanya at indibidwal. Tulad ng nakasaad sa mga legal na dokumento ng US, gumamit siya ng SIM swapping at phishing upang makakuha ng hindi awtorisadong access sa mga exchange account ng mga biktima at nakawin ang kanilang mga cryptocurrency. Kabilang sa iba pang mga kriminal na aktibidad ni Urban ang pag-intercept sa mga e-mail at SMS ng mga biktima, paglilipat ng pera mula sa mga wallet patungo sa mga account na kontrolado ng mga fraudster, at paggamit ng mga ninakaw na pagkakakilanlan upang maglipat ng malalaking halaga ng pera. Bilang resulta, siya ay sinentensiyahan ng sampung taon sa kulungan at inutusang magbayad ng mahigit 13 milyong dolyar bilang danyos. Gayunpaman, hindi ang kanyang sentensiya, o ang kanyang pandaraya ang tila mahalaga, kundi ang kanyang hayagang testimonya tungkol sa mga detalye ng operasyon ng mga SIM swapping fraudster.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/aebb73396b25ac61da4ec3681935aff1fa807ea8-532.webp)

Ayon kay Urban, upang makuha ang kontrol sa numero ng biktima, karaniwang nakikipag-ugnayan ang mga fraudster sa cellular carrier. Sa karamihan ng mga kaso, hindi gumagamit ang mga fraudster ng anumang kumplikadong paraan upang kumbinsihin ang carrier sa kanilang pagkakakilanlan - nagkukuwento lamang sila at sinasabing biktima sila ng pagnanakaw ng pagkakakilanlan. Ayon sa kanya, inabot siya ng mga sampung araw mula sa sandaling tawagan niya ang carrier hanggang sa makuha niya ang buong kontrol sa numero at makapag-withdraw ng ilang daang libong dolyar.

Isa pang kilalang hacker na may kaugnayan sa grupo at inakusahan ng malawakang panloloko ay si Tyler Robert Buchanan. Ang binatang ito mula sa Scotland ay inaresto sa Spain dahil sa mga paratang ng wire fraud conspiracy at aggravated identity theft. Ayon sa prosekusyon, bahagi siya ng isang kriminal na grupo na gumamit ng phishing gamit ang text-message upang puntiryahin ang mga negosyo at SIM swapping upang puntiryahin ang mga indibidwal na biktima. Ang taktikang ito ay nagbigay-daan sa kanila upang magnakaw ng hindi bababa sa walong milyong dolyar sa virtual currency mula sa kanilang mga biktima. Bukod pa rito, natagpuan ang ebidensya ng hindi awtorisadong pag-access sa e-mail ng isang executive ng kumpanya.

Ipinapakita ng pag-aresto kay Buchanan na ang mga ahensya ng pagpapatupad ng batas ay nagbibigay ng higit na pansin sa SIM swapping fraud. Hindi lamang sinusubaybayan ng mga awtoridad ang mga aktibidad ng mga naturang scammer kundi dinadala rin sila sa hustisya: Si Buchanan ay sinentensiyahan ng limang taon sa kulungan para sa kanyang naging papel sa scheme ng panloloko.

Gayunpaman, sa kabila ng mga ganitong kaso, hindi dapat magpalinlang sa mga tagumpay ng pulisya sa paglaban sa panloloko. Ang katotohanan na ang ilang mga fraudster ay nahuli ay hindi nangangahulugang ang cellular carrier o mga platform ng exchange ay ligtas na sa kahinaan. Sa kabaligtaran, ang pagkakaroon ng mga ganitong kahinaan ay pinatutunayan ng katotohanan na patuloy itong sinasamantala ng mga fraudster. Bukod pa rito, dapat tandaan na ang bawat fraudster ay may iba't ibang kakayahan at kasanayan. Bagaman ang ilan ay maaaring gumamit ng phishing at maingat na pag-aaral ng data ng biktima, ang iba ay maaaring may mga mapagkukunan at kasanayan upang lampasan ang multi-factor authentication o i-intercept ang trapiko ng SMS. Dahil dito, para sa bawat biktima, palaging may fraudster na may eksaktong alam kung paano samantalahin ang isang partikular na kahinaan sa sistema ng seguridad.

## Ano ang Maaaring Gawin?

Dapat maunawaan na sa antas ng proteksyon ng consumer account, walang umiiral na perpekto at hindi mababasag na sistema o pamamaraan ng proteksyon. Kaya naman, sa pagpili ng mga tool para sa proteksyon ng account, kinakailangang umasa hindi sa mga pansariling damdamin at opinyon kundi sa mga layuning pagtatasa at pagsusuri.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/995727f6543e595da74a24e42ec923948b590ed8-697.webp)

Walang duda na ang paglipat mula sa SMS-based na MFA patungo sa app-based na MFA ay gagawing mas ligtas ang account. Gayunpaman, ang pagtatasa na ito ay may kondisyon: nakadepende ang lahat sa kung anong mga taktika ng fraudster ang ating pinag-uusapan. Dahil dito, sa bawat kaso, dapat maingat na pag-isipan kung anong mga hakbang sa seguridad ang gagamitin, anong mga hakbang sa pagbawi ang gagawin, at anong mga estratehiya sa pamamahala ng account ang ipatutupad.

Nasa ibaba ang ilang mga rekomendasyon na dapat isaalang-alang bago magpatuloy sa paggamit ng SMS bilang MFA at numero ng SIM card bilang salik sa pagbawi ng account:

Bawasan ang mga panganib na nauugnay sa SMS sa pamamagitan ng paggamit ng mas maaasahang mga pamamaraan ng pagpapatotoo para sa iyong mga account, hangga't maaari. Maipapayong gumamit ng mga authenticator application o hardware security key kung saan available.

Gumamit ng number portability lock, number lock, o iba pang setting sa mataas na antas sa iyong carrier account upang maiwasan ang pagnanakaw ng numero.

Gumawa ng mga hakbang upang ma-secure ang iyong e-mail, dahil madalas itong susi sa iyong mga account. Gumamit ng matitibay at natatanging password upang ma-access ang iyong e-mail at iyong mga account; gumamit ng mga hardware-based security key o app hangga't maaari. Magbigay ng espesyal na pansin sa seguridad ng pamamaraan sa pag-recover ng account kung ito ay nakabatay sa SMS. Hindi kanais-nais na magkaroon ng nakalimutang password recovery e-mail bilang isang pangalawang account o isa na ginamit nang maraming taon. Bukod pa rito, mahalagang bawasan ang pagiging available ng personal na impormasyon (tulad ng kakayahang humiling ng recovery key sa pamamagitan ng SMS).

Tiyakin na ang mga private key sa iyong blockchain wallet ay nasa ligtas na imbakan. Maipapayong gumamit ng ligtas at maaasahang wallet para sa pag-iimbak ng malalaking halaga ng pera at gumamit lamang ng mga non-custodial exchange wallet para sa pinakamababang halagang kailangan sa pangangalakal.

Gumamit lamang ng mga pinagkakatiwalaang custodian para sa malakihang pangangalakal. Mag-set up ng mga withdrawal allowlist, naantalang paglilipat, at mga multi-signature withdrawal kung saan posible. Ang 24- o 48-oras na pagkaantala sa withdrawal ay maaaring maging napakaginhawa kung sakaling manakaw ang account.

Bawasan ang iyong visibility bilang isang biktima. Iwasang mag-post ng impormasyon tungkol sa mga balanse o hawak sa wallet sa mga social network o iba pang mga platform kung saan maaaring makita ang impormasyong ito ng mga fraudster. Huwag talakayin sa publiko ang iyong mga paraan ng pag-secure ng mga account o ang mga detalye ng mga transaksyon, tulad ng kung aling exchange o wallet service ang iyong ginagamit.

Planuhin nang maaga ang iyong mga aksyon upang malaman mo ang dapat gawin sakaling ma-hijack ang account. Kabilang dito ang pag-withdraw ng mga pondo mula sa iyong mga account patungo sa mga ligtas na wallet at pondo, pagpapalit ng mga setting ng account recovery, pagpapaalam sa iyong carrier tungkol sa mga banta sa seguridad ng account, pakikipag-ugnayan sa mga bangko tungkol sa mga banta sa seguridad ng account, at pag-abiso sa mga pinagkakatiwalaang tao.

Wala sa mga hakbang na ito ang magbibigay sa iyo ng perpektong kaligtasan, ngunit babawasan ng mga ito ang posibilidad na maging biktima ng panloloko at ang pinsalang maidudulot ng panloloko. Bukod dito, ang mga hakbang na ito ay magiging mas komportable at maaasahan para sa pangaraw-araw na paggamit ng teknolohiya sa pangkalahatan.

## Kahinaan sa Pader: Buod

Bagaman ang SMS MFA ay karaniwang itinuturing na medyo maaasahang paraan ng pagprotekta sa isang account, ipinapakita ng SIM swapping fraud na ang hakbang na ito sa seguridad ay malayo sa pagiging perpekto. Ang medyo simpleng pamamaraan ng panlilinlang sa cellular carrier at sa gayo'y pagkuha ng walang limitasyong access sa numero ng biktima ay nagtatampok sa kahalagahan ng hindi lamang pagprotekta sa account kundi pati na rin ang pag-iisip tungkol sa mga paraan ng pagbawi nito.

Ang kakayahang mabawi ang isang account ay kasinghalaga ng kakayahang protektahan ito, at ang parehong aspeto ay dapat isaalang-alang kapag pumipili ng estratehiya sa seguridad. Ang mga estratehiya sa pagbawi ng account at pagharang sa fraudster ay dapat idisenyo sa paraang wala silang anumang kahinaan na magagamit ng fraudster.

Tulad ng nabanggit sa itaas, ang ilang mga hakbang sa proteksyon ng account ay mga karaniwang pamamaraan sa industriya. Halimbawa, karamihan sa mga kumpanyang nag-aalok ng mga naturang serbisyo ngayon ay may mga patakaran na nagpapahintulot sa kanila na tumugon sa panloloko at pag-hijack sa account sa napapanahong paraan. Maaaring kabilang dito ang number portability lock, number lock, pagkaantala sa pagpapalit ng SIM card, pagbawi ng account sa pamamagitan ng mga key o hardware security key, at iba pa. Bukod dito, ang parehong mga carrier at crypto exchange ay gumagawa ng mga hakbang upang mapabuti ang mga mekanismo sa pagtukoy at pagtugon sa panloloko, kabilang ang mas mahigpit na mga pamamaraan sa pagpapatunay ng pagpapalit ng SIM card at pinahusay na mga setting ng seguridad ng account.

Higit pa rito, ang mga regulator ay gumagawa ng mga hakbang upang mabawasan ang mga panganib na nauugnay sa number portability fraud. Nagpatupad ang FCC ng mga bagong regulasyon na naglalayong maiwasan ang number portability fraud at palakasin ang proteksyon ng mamimili. Ang mga panuntunang ito ay nag-aatas sa mga cellular carrier na magpatupad ng mga pamamaraan para sa pagtukoy ng pandaraya sa pagpapalit ng SIM, abisuhan ang mga mamimili tungkol sa mga pagtatangka sa pagpapalit ng SIM o number portability, magtatag ng mga pamamaraan sa pag-lock ng account, at gawing mas maayos ang mga proseso sa pagtugon sa panloloko.

Samantala, pinalalakas din ang mga protocol ng Know Your Customer (KYC) at Anti-Money Laundering (AML) - para sa parehong telecom carrier at crypto exchange. Dahil dito, ang mga telecom operator ay mas maingat na ngayon tungkol sa number portability fraud, at ang mga crypto exchange ay nagpapatupad ng mas mahigpit na mga patakaran sa pag-verify ng pagkakakilanlan para sa pagbubukas at pagsasara ng account. Bukod pa rito, gumagamit ang mga kumpanya ng mas advanced na mga teknolohiya upang protektahan ang kanilang mga account, tulad ng pagsusuri sa mga pattern ng pag-uugali ng mga user, pagsasaalang-alang sa mga katangian ng account, at pagsusuri sa mga transaksyon sa blockchain sa panahon ng pagsasara ng account.

![SIM Swapping: Bakit Hindi Isang Tanggulan ang 2FA](https://netts.io/blog/images/body/55a432a1be9986b217b3a86920a36154d0d1e488-1404.webp)

At tandaan - sa Netts Energy Market maaari mong tingnan ang mga presyo ng sinumang provider ngayon upang piliin ang pinakamura para sa pag-upa ng TRON Energy.