SIM Swapping: Me Ya Sa 2FA Ba Garkuwar Da Ba A Iya Fasawa Ba Ce

Alamar farko da ta nuna cewa wani babban abu ya lalace ga Michael Terpin, mai saka hannun jari a fannin crypto kuma dan kasuwa, ba batun bacewar miliyoyin daloli na kadarorin crypto ba ne - matsalar ita ce rashin iya aikawa ko karbar sakon karta-kwana (SMS).

Ga mutum na gari, rashin iya aika sakon SMS ko karbarsa daga wayar salula da kyar zai zama alamar rugujewar kudi. Sai dai kuma, ga Terpin, wannan abu da ke da alamar rashin muhimmanci shi ne farkon karshen komai. Matsalar ita ce lambar kanta: lambar wayar salula wacce a baya ke masa aiki wajen harkokin kasuwanci na yau da kullum, dawo da asusu, da kuma tantancewa ta matakai da dama (multi-factor authentication), ba tare da sanarwa ba, ta daina zama tasa.

A takaice dai, ta koma ta wani daban - 'yan damfara wadanda, cikin sauki, suka samu nasarar cire lambarsa daga katin SIM dinsa tare da sanya ta a nasu. 'Yan damfarar, bayan sun sami cikakken iko a kan lambar, sun toshe duk wani kokari na Terpin na dawo da asusun, suka canza imel dinsa na dawo da asusu a shafin kamfanin sadarwa zuwa nasu, kuma a karshe, suka sace sama da dala miliyan 24 daga walat dinsa na crypto. Wani matashi ya tafi gidan yari saboda wannan babban satar; babban wanda ake zargi, Ellis Pinsky mai shekaru 15, an zarge shi da jagorantar wata kungiyar masu laifi da ke kwace kudi daga walat din crypto ta hanyar SIM swaps. Daga cikin wadanda ake zargi akwai Nicholas Truglia, daya daga cikin wadanda suka fi fice wajen janyo hankalin duniya kan wannan shari'a.

Bayanai daga kotu sun nuna cewa Pinsky da abokan aikinsa sun ba wani ma'aikacin wani dillalin AT&T mai izini rashawa, wato Jahmil Smith, wanda ya canza katin SIM din Terpin ya ba 'yan damfarar. Ta haka, tare da wata damfara mai sauki amma mai tasiri, aka kwace wa masu sha'awar crypto miliyoyin daloli a tsabar kudi - kuma, a karon farko a tarihi, kamfanin wayar salula ya tsinci kansa a kotu da wani abokin ciniki kan batun SIM swap. Bayan matakin farko na shari'ar, Pinsky ya cimma yarjejeniya da Terpin a wajen kotu, inda ya biya shi dala miliyan 22 a matsayin diyya. Shi kuma Terpin ya yi nasara a shari'ar da ya shigar a kan AT&T, wacce a kokarinta na gujewa biyan makudan kudade, ta kafa hujjar cewa Terpin ne ke da laifi wajen amincewa kamfanin wayar salula da kadarorinsa na crypto. Duk da haka, a shekarar 2024, Kotun Daukaka Kara ta Da'ira ta Tara (Ninth Circuit Court) ta yanke hukunci mai goyon bayan daukaka karar Terpin a kan AT&T, lamarin da ya bude hanyar wani sabon zagaye na shari'a.

A halin yanzu, ga matsakaicin mai rike da crypto, batun Michael Terpin wani abu ne da ya kamata a yi nazari a kansa kuma darasi ne kan raunin mafi karancin kariya a tsarin blockchain - wato asusun da ke musayar crypto (exchange). Asusun Terpin bai fuskanci kutse ba saboda wani rauni a cikin blockchain kanta, a'a saboda hanyoyin gargajiya na tantancewa ta matakai da dama sun zama marasa tasiri a kan 'yan damfara. Akasin haka, 'yan damfarar sun yi amfani da hanyoyin da aka saba gani - dabarun yaudarar mutane (social engineering) da sauya lambar waya - don samun damar shiga musayar, yaudarar abokin ciniki game da "satar" lambar kuma, a karshe, kwashe kudaden asusun.

Dalilin da ya sa irin wadannan damfara ke da mummunar barna ga masu rike da crypto shi ne sau da yawa suna da matakai da dama: 'yan damfara ba wai kawai satar kadarorin crypto suke yi ba, suna kuma amfani da manufar dawo da asusun abokin ciniki (wacce galibi ba ta da kariya sosai) don samun damar shiga shafin musayar ba tare da izini ba. Bugu da kari, abokin ciniki na iya fuskantar matsalar satar bayanan sirri (phishing), satar asali (identity theft), ko zamba da bayanan sirri.

Za a iya kauce wa irin wannan yanayi idan mai rike da crypto ya dauki a kalla wasu matakai don kara matakin tsaro da jurewar hanyoyin dawo da asusu. Mataki mafi dacewa zai zama cire tantancewa ta matakai da dama (MFA) ta hanyar SMS idan zai yiwu, tare da komawa ga wasu hanyoyi masu dogaro, kamar manhajoji (apps). Bugu da kari, ya zama dole a tabbatar da cewa ba za a iya canza lambar katin SIM a wurin kamfanin sadarwa ba tare da matakai masu wuya da tantancewa sosai ba.

Mafi mahimmanci, wajibi ne a cire SMS daga hanyoyin dawo da asusu ko, a kalla, a mayar da dukkan saitin asusu da hanyoyin dawo da shi zuwa wata kafa daban mai inganci da aminci. A karshe, yana da matukar muhimmanci a tabbatar da cewa ba a ajiye bayanan sirri ko makullin sirri (private keys) a wurare masu rauni ba, kamar a kan yanar gizo (cloud). Dalilin da ya sa SMS MFA ke gaza a wajen SIM swapping shi ne, a fannin fasaha, lambar wayar ta zama mallakar dan damfarar ne a wannan lokacin. Don haka, sakonnin SMS da aka aika zuwa wannan lambar, dan damfarar ne ke karbarsu, kuma duk wasu lambobin sirri da aka tura can amfaninsa ne da ribarsa. Saboda haka, ko da walat din blockchain ko asusun musaya yana bukatar MFA mai dogaro da SMS, wannan ba ya kara masa wani tsaro - matukar dan damfara zai iya gamsar da kamfanin sadarwa cewa shi ne mai wannan lambar.

Kuma samun damar yin hakan na zuwa ne ta hanyar tsari mai sauki na sauya lamba a mafi yawan kamfanonin sadarwa a fadin duniya. Gaskiyar cewa SMS MFA na sa asusu ya zama mai saukin kutse ba abu ne da ba a sani ba - sai dai, yana da kyau a bayyana cewa SMS na daya daga cikin hanyoyi mafi rauni wajen tsaron asusu.

Wannan ya faru ne saboda karancin tsaron kafar SMS din kanta da kuma damar da 'yan damfara ke da ita ta amfani da dabarun yaudarar mutane don samun lambar. Don haka, SMS MFA na da saukin amfani ga abokin ciniki amma yana dauke da babban hatsarin damfara, kamar yadda batun Terpin ya nuna.

Wane Ne Ainihin Ya Ci Ribar Damfarar Sauya Lamba?

Lokacin da ake nazarin shari'o'in kwace asusu ta hanyar SMS ta hanyar amfani da SIM swapping, yana da muhimmanci kada a zurfafa wajen daukar cewa wannan damfara ce mai matukar wuya. Duk da cewa kamfanin sadarwa tabbas wani yanki ne mai rauni a tsarin tsaro, 'yan damfara sau da yawa suna amfani da wasu wuraren masu rauni don kulla damfara.

Hanya mafi sauki da ake yin hakan ita ce amfani da satar bayanan sirri (phishing) don samun bayanan wanda ake son damfara. Bayanai kamar imel na dawo da asusu, lambar SMS, suna, ranar haihuwa, wani bangare na Lambar Tsaron Jama'a (Social Security Number), da sauran bayanan sirri ana iya samunsu ta hanyar phishing ko kuma, a wasu lokuta da ba a cika gani ba, ta hanyar kutse a asusun sada zumunta.

Bayan haka, 'yan damfara na iya amfani da wannan bayani don tuntuɓar kamfanin sadarwa kuma, ta hanyar amfani da dabarun social engineering, su gamsar da su cewa su ne sabon mai lambar. Akwai hanyoyi da dama na yin hakan: kaucewa tsarin gano damfara ta hanyar gabatar da labari mai gamsarwa, ba ma'aikacin kamfanin sadarwa da ke kula da irin wadannan bukatun rashawa, ko amfani da bayanan sirri daga cikin kamfanin kansa. Da zarar dan damfara ya mallaki lambar, mataki na gaba shi ne canza saitin dawo da asusu tare da samun cikakken iko a kan asusun. Kwace asusun yawanci yana kammaluwa ne a cikin 'yan sa'o'i zuwa 'yan kwanaki - ya danganta da yadda aka boye ayyukan dan damfarar da kuma irin karfin tsaron asusun. Ta haka, tare da gagarumar kwarewa da dabara, 'yan damfara ba wai kawai kudaden crypto suke sacewa ba, har ma da bayanan sirri da kudade daga asusun banki.

Duk da haka, duk da saukin da dabarar ke da shi a zahiri, damfarar SIM swapping tana bukatar wani mataki na shiri da kwarewar mutum. Saboda haka, yawanci ba sabon dan damfara ne ke yin ta ba - a'a wata kungiya ce ta masu aikata laifuka da suka tsara kansu.

Daya daga cikin fitattun kungiyoyin masu aikata laifukan yanar gizo da ke aiki a wannan fanni ita ce Scattered Spider, wacce aka fi sani da 0ktapus, UNC3944, ko Muddled Libra. A cewar rahotanni daban-daban, wannan tawaga ta kunshi masana dabarun yaudara da masu kutse (hackers) masu zaman kansu amma masu hadin kai da ke magana da Ingilishi. Tana aiki ne a duk fadin duniya; manyan wuraren da take kai wa hari su ne manyan kungiyoyin kasuwanci, wadanda galibi ake yi musu kutse ta hanyar kai hare-haren phishing a kan ma'aikatansu.

Sai dai kuma, hanyoyin da wakilan wannan kungiya ke amfani da su ba wasu sababbi ba ne a ka'ida. Daya daga cikinsu, Noah Michael Urban, wanda aka fi sani da King Bob ko Sosa, an riga an yanke masa hukunci kan damfarar manyan kamfanoni da daidaikun mutane da dama. Kamar yadda aka bayyana a cikin takardun shari'a na Amurka, ya yi amfani da SIM swapping da phishing don samun damar shiga asusun musaya na mutanen da ba tare da izini ba tare da sace kudaden crypto dinsu. Cikin ayyukan laifi na Urban akwai tare imel da SMS na mutane, tura kudi daga walat zuwa asusun da 'yan damfara ke iko da su, da kuma amfani da bayanan mutane da aka sata don tura makudan kudade. Sakamakon haka, an yanke masa hukuncin zaman gidan yari na shekaru goma kuma an tilasta masa biyan sama da dala miliyan 13 a matsayin diyya. Sai dai kuma, ba hukuncinsa ko damfararsa ce ta fi zama abin lura ba, a'a shaidar da ya bayar a fili game da yadda ainihin aikin 'yan damfarar SIM swapping yake.

A cewar Urban, don samun ikon sarrafa lambar wanda ake son damfara, 'yan damfara yawanci suna tuntuɓar kamfanin sadarwa ne. A mafi yawan lokuta, 'yan damfara ba sa amfani da wasu hanyoyi masu wuya don gamsar da kamfanin sadarwa kan asalinsu - kawai suna bayyana labarinsu ne tare da ikirarin cewa an sace musu asali. A cewarsa, ya dauki kimanin kwanaki goma daga lokacin da ya kira kamfanin sadarwa zuwa lokacin da ya samu cikakken iko a kan lambar tare da cire daruruwan dubban daloli.

Wani sanannen dan kutse da ke da alaka da kungiyar kuma ake zargi da gagarumar damfara shi ne Tyler Robert Buchanan. An kama wannan matashi daga Scotland a kasar Spain bisa zargin hadin baki wajen zambar kudi ta hanyar waya (wire fraud conspiracy) da kuma babban laifin satar asali (aggravated identity theft). A cewar masu shigar da kara, yana cikin wata kungiyar masu laifi da suka yi amfani da sakonnin karta-kwana na phishing don kai hari kan 'yan kasuwa da kuma SIM swapping don kai hari ga daidaikun mutane. Wannan dabarar ta ba su damar sace akalla dala miliyan takwas a kudin intanet daga hannun wadanda suka shafa. Bugu da kari, an gano shaidar samun damar shiga imel na wani babban jami'in kamfani ba tare da izini ba.

Kamen Buchanan ya nuna cewa hukumomin tilasta bin doka na kara mai da hankali kan damfarar SIM swapping. Hukumomi ba wai kawai suna sa ido a kan ayyukan irin wadannan 'yan damfara ba ne, har ma suna gurfanar da su a gaban kuliya: an yanke wa Buchanan hukuncin daurin shekaru biyar a gidan yari saboda rawar da ya taka a wannan damfara.

Duk da haka, duk da irin wadannan shari'o'in, bai kamata nasarorin da 'yan sanda ke samu wajen yaki da damfara su rude mutum ba. Kasancewar an kama wasu 'yan damfara ba ya nufin cewa kamfanin sadarwa ko dandamalin musaya ba su da rauni. Akasin haka, kasancewar irin wadannan raunin ana tabbatar da shi ne ta hanyar yadda 'yan damfara ke ci gaba da amfani da su. Bugu da kari, ya kamata a sani cewa kowane dan damfara yana da damammaki da kwarewa daban-daban. Yayin da wasu ka iya dogaro da phishing da bincike mai zurfi kan bayanan mutum, wasu na iya samun kayan aiki da kwarewar wuce tantancewa ta matakai da dama ko kuma tare hanyoyin SMS. Sakamakon haka, ga kowane wanda aka zalunta, a koyaushe akwai dan damfara da ya san ainihin yadda zai yi amfani da wani rauni a tsarin tsaro.

Me Za A Iya Yi?

Ya kamata mutum ya fahimci cewa dangane da kariya ta asusu a matakin masu amfani, babu wani tsari ko hanyar kariya da ba ta da kuskure ko wacce ba za a iya karya ta ba. Don haka, lokacin zabar kayan aiki don tsaron asusu, ya zama dole a dogara ba a kan ra'ayoyin kashin kai ba, sai dai a kan kima da nazari na zahiri.

Babu shakka cewa canzawa daga MFA mai dogaro da SMS zuwa MFA mai dogaro da manhaja zai sa asusun ya kasance cikin aminci sosai. Duk da haka, irin wannan kimantawa tana da sharadi: komai ya danganta ne da irin dabarun da dan damfara ke amfani da su. Sakamakon haka, a kowane lokaci, ya kamata mutum ya yi la'akari da kyau kan wadanne matakan tsaro zai yi amfani da su, wadanne matakai zai dauka na dawo da asusu, da kuma wadanne dabarun kula da asusu zai aiwatar.

A kasa akwai wasu shawarwari da ya kamata a yi la'akari da su kafin a ci gaba da amfani da SMS a matsayin MFA da lambar katin SIM a matsayin hanyar dawo da asusu:

Rage hatsarin da ke da alaka da SMS ta hanyar amfani da ingantattun hanyoyin tantancewa ga asusunka, a duk lokacin da zai yiwu. Yana da kyau a yi amfani da manhajojin tantancewa (authenticator apps) ko makullan tsaro na na'ura (hardware security keys) a inda ake da su.

Yi amfani da tsarin kulle canja kamfani (number portability lock), kulle lamba (number lock), ko wani babban saitin tsaro a kan asusun kamfanin sadarwarka don hana satar lamba.

Dauki matakai don kare imel dinka, domin galibi shi ne mabuɗin asusunka. Yi amfani da kalmomin sirri masu karfi da na musamman don shiga imel dinka da asusunka; yi amfani da makullan tsaro na na'ura ko manhajoji a duk lokacin da zai yiwu. Kula sosai kan tsaron hanyar dawo da asusu idan ya dogara ne a kan SMS. Ba a son a yi amfani da imel din da aka dade ana amfani da shi ko wanda aka ajiye a matsayin na biyu don dawo da manta kalmar sirri. Bugu da kari, yana da muhimmanci a rage samun bayanan sirri cikin sauki (kamar damar neman makullin dawo da asusu ta hanyar SMS).

Tabbatar cewa makullan sirri (private keys) na walat din blockchain dinka suna cikin ma'ajiya mai aminci. Yana da kyau a yi amfani da walat mai aminci da kariya don ajiye makudan kudade, sannan a yi amfani da walat na musaya maras riko (non-custodial) kawai don abin da ya zama dole wajen ciniki.

Yi amfani da amintattun masu kula da ajiya kawai don manyan harkokin ciniki. Saita jerin sunayen da aka amince wa cire kudi (withdrawal allowlists), jinkirta tura kudi, da kuma cire kudi mai bukatar sa hannu da dama (multi-signature) a inda zai yiwu. Jinkirin cire kudi na sa'o'i 24 ko 48 na iya zama da matukar amfani idan an sace asusu.

Rage bayyana kanka a matsayin wanda za a iya hari. Guji yada bayanan kudaden da ke cikin walat dinka ko kadarorinka a kafafen sada zumunta ko wasu shafuka inda 'yan damfara za su iya ganin wannan bayanin. Kada ka tattauna a fili hanyoyin da kake amfani da su don kare asusunka ko cikakkun bayanan hada-hadar kudi, kamar wace musaya ko sabis na walat kake amfani da su.

Shirya matakan da za ka dauka tun da wuri domin ka san abin da za ka yi idan an kwace asusunka. Wannan ya hada da kwashe kudade daga asusunka zuwa walat da asusu masu aminci, canza saitin dawo da asusu, sanar da kamfanin sadarwarka game da barazanar tsaron asusu, tuntuɓar bankuna game da barazanar tsaron asusu, da kuma sanar da mutanen da ka amince da su.

Babu daya daga cikin wadannan matakan da zai sa ka zama wanda ba za a taba iya samun sa ba, amma za su rage yiwuwar fadawa tarkon damfara da kuma barnar da damfara za ta iya haifarwa. Bugu da kari, wadannan matakan za su fi zama masu dadi da aminci ga amfani da fasaha na yau da kullum gaba daya.

Rauni a Ginin: Takaitaccen Bayani

Kodayake ana daukar SMS MFA a matsayin hanya mai inganci don kare asusu, damfarar SIM swapping na nuna cewa wannan matakin tsaro ba shi da cikakken kariya. Dabarar mai sauki ta yaudarar kamfanin sadarwa ta yadda za a samu damar shiga lambar mutum ba tare da iyaka ba na nuna mahimmancin ba wai kawai kare asusu ba, har ma da tunani a kan hanyoyin dawo da shi.

Ikon dawo da asusu yana da muhimmanci kamar yadda ikon kare shi yake, kuma dole ne a yi la'akari da bangarorin biyu lokacin zabar dabarun tsaro. Dabarun dawo da asusu da kuma tare 'yan damfara dole ne a tsara su ta yadda ba za su sami wani rauni da dan damfara zai iya amfani da shi ba.

Kamar yadda aka ambata a baya, wasu matakan kariyar asusu ka'idoji ne da aka sani a bangaren fasahar. Misali, yawancin kamfanonin da ke ba da irin wadannan ayyuka a yanzu suna da tsare-tsaren da ke ba su damar mayar da martani ga damfara da kwace asusu a kan kari. Wannan na iya hadawa da kulle canja kamfani (number portability lock), kulle lamba, jinkirta canza katin SIM, dawo da asusu ta hanyar makullai ko makullan tsaro na na'ura, da sauransu. Bugu da kari, duka kamfanonin sadarwa da musayar crypto suna daukar matakai don inganta hanyoyin gano damfara da mayar da martani, gami da tsauraran matakan tantance canjin katin SIM da inganta saitin tsaron asusu.

Bugu da kari, hukumomin kula da dokoki suna daukar matakai don rage hatsarin da ke da alaka da damfarar canza kamfanin sadarwa. Hukumar FCC ta fitar da sabbin dokoki da ke da nufin hana damfarar canja lamba zuwa wani kamfani da kuma karfafa kariyar masu amfani. Wadannan dokoki na bukatar kamfanonin wayar salula su aiwatar da hanyoyin gano damfarar canza SIM, sanar da masu amfani game da yunkurin canza SIM ko canza kamfani, kafa hanyoyin kulle asusu, da kuma saukaka hanyoyin mayar da martani ga damfara.

A halin yanzu, ana kuma karfafa ka'idojin Sanin Abokin Ciniki (KYC) da Yaki da Halatta Kudaden Haram (AML) - ga duka kamfanonin sadarwa da musayar crypto. Don haka, kamfanonin sadarwa a yanzu sun fi lura da damfarar sauya lamba, kuma musayar crypto tana amfani da tsauraran manufofin tantance asali wajen bude asusu da rufe asusu. Bugu da kari, kamfanoni suna amfani da ingantattun fasahohi don kare asusunsu, kamar nazarin dabi'un masu amfani, duba halayen asusu, da kuma tantance hada-hadar blockchain a lokacin rufe asusu.

Kuma ka tuna - a Netts Energy Market za ka iya duba farashin kowane mai bayarwa a yanzu don zabar mafi arha wajen hayar TRON Energy.