SIM SWAP (protection maximale)

Je souhaite me protéger au mieux contre Sim Swap (Mobile).

Pour cela, j’ai maintenant défini un code PIN sur ma carte SIM (pas le code PIN standard).

Question: Swisscom propose-t-elle un code PIN pour le transfert de numéro qui entre en vigueur lorsqu’un changement de carte SIM est demandé ?
Certains opérateurs proposent ce service.

Une autre alternative serait que lors de la demande d’une nouvelle carte SIM, celle-ci ne soit remise en personne que sur présentation d’une pièce d’identité en accord avec Swisscom. Est-ce possible avec Swisscom?

Afficher la langue d’origine (Allemand)

Je trouve que le sujet de l’échange de cartes SIM est une question intéressante à laquelle personne ne répondra officiellement à votre place dans ce forum. Swisscom et d’autres fournisseurs devraient ici adapter leurs processus. fournir des informations sur les mesures de protection, ce que personne ne fera probablement.

Si j’étais vous, j’abandonnerais l’authentification MFA par SMS et j’utiliserais des méthodes plus modernes telles que les jetons push, y compris la correspondance de numéros, l’OTP logiciel/matériel, la clé FIDO2 ou le mot de passe.

[https://learn.microsoft.com/de-de/entra/identity/authentication/concept-authentication-methods](https://learn.microsoft.com/de-de/entra/identity/authentication/concept- méthodes d’authentification)

millernet_0-1708148084879.png

Afficher la langue d’origine (Allemand)

Pour moi en tant que profane, SMS MFA semble totalement arriéré ou dangereux.

Je me demande donc si Swisscom a délibérément raté le développement rapide pour des raisons de coûts ou si elle a pris trop au sérieux la protection (Sim Swaping) au détriment des clients et a donc besoin de toute urgence de processus d’optimisation.

En revanche, je peux bien comprendre que vous ne puissiez trouver aucun détail sur les optimisations constantes.

Ma question est en fait très simple : Swisscom propose-t-elle des codes PIN de transfert de numéro qui entrent en vigueur lorsqu’un changement de carte SIM est demandé. Cela signifie que si quelqu’un tente un échange de carte SIM, il a d’abord besoin du code PIN, quelles que soient les autres données dont il dispose. Apparemment, d’autres opérateurs téléphoniques l’utilisent. D’un point de vue purement logique, en tant que profane, je peux comprendre cette protection.

Si quelqu’un peut accéder à Kundencenter, cette personne peut commander une nouvelle carte SIM en appuyant simplement sur un bouton.

Ce seul fait ne me donne pas beaucoup de confiance.

Et voici un autre article intéressant :

[https://www.20min.ch/story/fuer-12000-dollar-verkauft-ein-russischer-hacker-personaldaten-von-schweizer-kunden-103042451#](https://www.20min.ch/story /pour-12000-dollars-un-hacker-russe-vend-des-données-personnelles-de-clients-suisses-103042451#)

Afficher la langue d’origine (Allemand)

@Metteunteu61

Pour cette raison, la connexion Kundencenter a été améliorée, mais certains utilisateurs ne l’aiment pas et menacent même de résilier le contrat.

Dans tous les cas, une nouvelle carte SIM ne s’envoie pas si facilement sans données personnelles précises.

Pour les fonctions nécessitant une protection particulière, l’authentification à 2 facteurs est toujours active. Par exemple pour les factures, les justificatifs de connexion, les connexions via VPN ou depuis l’étranger.

Afficher la langue d’origine (Allemand)

Installationen, Netzwerk, Internet, Computertechnik, OS Windows, Apple und Linux.

Je suis conscient que Swisscom s’efforce de protéger ses clients - simplement avec les moyens techniques dont Swisscom dispose actuellement ou qui ont été mis à disposition au cours d’une évolution technique rapide.

Une approche d’échange de cartes SIM présente la particularité que l’attaquant essaie d’abord d’obtenir autant de données que possible de l’utilisateur.

De cette manière, l’opérateur téléphonique peut être trompé par l’attaquant se faisant passer pour un client. La vérification du client en cas de perte de la carte SIM est un problème ; une technologie de haute qualité pour protéger les clients est une deuxième approche.

A titre d’exemple, je citerai l’article suivant, dans lequel Telefonica (entreprise de télécommunications en Espagne) s’efforce d’obtenir la plus haute sécurité technique et investit donc l’argent approprié dans cette sécurité. Un tel article est visible et transparent.

https://cryptonews.net/de/news/blockchain/28569123/

Afficher la langue d’origine (Allemand)

Cela fonctionne également sans SIM SWAP :

Alors bien sûr, il existe des solutions : https://messagewhiz.com/secure-sms-for-telecoms

En outre, des documents d’identification peuvent être falsifiés et des identités peuvent être falsifiées, en particulier si des systèmes d’identification courants (par exemple Swisscom RA, Sunrise ID Checker) avec caméra sont utilisés et que ceux-ci peuvent être identifiés à l’aide de LLM ou La génération AI peut être trompée, même si des examinateurs humains effectuent l’identification via une diffusion en direct. Grâce à l’IA, les visages peuvent être falsifiés de manière convaincante, via le flux en direct et dans toutes les perspectives, y compris un éclairage correct, tout comme les photos d’identité et d’identité, où le document correspondant doit être filmé dans le flux en direct :

[https://www.404media.co/inside-the-underground-site-where-ai-neural-networks-churns-out-fake-ids-onlyfake/](https://www.404media.co/inside -le-site-souterrain-où-les-réseaux-neuraux-ai-produisent-des-fake-ids-onlyfake/)

Afficher la langue d’origine (Allemand)

En tant que client Swisscom, vous vous sentez désormais beaucoup plus en sécurité.

Au moins, j’espère sincèrement que beaucoup de personnel a été investi dans la sécurité et dans des infrastructures de sécurité avancées ces dernières années.

Je n’ai rien lu à ce sujet dans la presse. Au lieu d’abonnements bon marché, la question de la sécurité est devenue un critère important pour moi ou pour d’autres personnes.

Je ne sais vraiment rien des attaques SS7. Il semble que vous puissiez même le faire avec les outils appropriés en tant que script kiddie et un flux de travail adapté. Cela me rappelle un peu Cablecom il y a 10 ans : regarder la télévision gratuitement avec la Dreambox - n’importe quel idiot peut générer une clé dynamique…

Afficher la langue d’origine (Allemand)

    Metteunteu61 a écrit :

    Vous vous sentez désormais beaucoup plus en sécurité en tant que client Swisscom.

    Malheureusement, vous pourriez vous laisser bercer par un faux sentiment de sécurité :

    - Le SMS est un canal de communication non sécurisé et non crypté. Grâce à SS7, il est très simple pour les criminels et les services secrets de lire, intercepter ou falsifier des messages SMS. Envoyer des SMS avec de faux numéros de téléphone de l’expéditeur est également très simple.

    [https://www.heise.de/news/Chaos-Computer-Club-Nutzt-2-Factor-Authentication-aber-bitte-nicht-via-SMS-9798159.html](https://www.heise. de/news/Chaos-Computer-Club-Utzt-2-Factor-Authentication-but-please-not-via-SMS-9798159.html)

    - La téléphonie vocale classique via MSISDN (numéro de téléphone +41….) est un canal de communication non sécurisé et non crypté. Le numéro de téléphone de l’appelant est très facile à falsifier. Avec les fournisseurs de téléphonie VoIP tels que DUS.net, vous pouvez configurer le numéro de téléphone à afficher à la personne appelée sur un site Internet (Kundencenter) :

    Dépôt du numéro de téléphone.png

    Avec ces fournisseurs de téléphonie VoIP, seul un « appel de vérification » de la part du fournisseur de téléphonie VoIP évite de graves problèmes avec le numéro de téléphone.

    Pour rappel : En raison de l’authentification insuffisante du réseau mobile par le téléphone mobile, tout WLAN correctement configuré est plus sécurisé que le réseau mobile le plus sécurisé de la planète ! Voir:

    [https://community.swisscom.ch/t5/Mobile/Automatische-Netzwahl-im-Roaming-Zutzenprinzip/m-p/778599#M12795](https://community.swisscom.ch/t5/Mobile/Automatische-Netzwahl- en itinérance-aléatoire/m-p/778599#M12795)

    Vous devez toujours assurer votre propre sécurité ! Vous ne devez JAMAIS compter sur des deuxièmes ou des tiers…

    \=> Dans la mesure du possible, utilisez des canaux de communication sécurisés et cryptés de bout en bout (TLS, SSH, S/MIME, OpenPGP, HTTPS, SIPS/SRTP, zRTP, Axolotl/Matrix Protocol, etc.). Tous les appareils finaux sous contrôle total et propre. Installez rapidement toutes les mises à jour de sécurité sur tous les appareils.

    \=> Si possible, sécuriser les services de base nécessaires à l’accès au réseau, tels que DNS, Radius et NTP, avec une authentification (et un cryptage) sécurisés : DNSSEC, DNS avec TLS, Network Time Security (NTS), Radsec, etc. Tous les composants du réseau sous votre propre contrôle. Installez rapidement toutes les mises à jour de sécurité sur tous les composants réseau.

    \=> Si possible, utilisez et exploitez vos propres réseaux et réseaux sans fil (WLAN, LoRaWAN, Meshtastic). Sécurisez l’accès au réseau avec des mesures telles que le pare-feu SPI, VPN, VLAN, EAP-TLS, 802.1x, etc.

    \=> Les clés privées utilisées pour la communication cryptée, l’accès au réseau et l’authentification doivent, si possible, être stockées dans un HSM (carte à puce, (f)TPM, jeton de sécurité USB, carte SIM, etc.).

    [https://community.swisscom.ch/t5/Archiv-telefonie/Mobile-ID-funktioniert-als-second-SIM-karte-im-iPhone-nicht/m-p/622942#M59151] (https://community.swisscom.ch/t5/Archiv-telefonie/Mobile-ID-funktioniert-als-zweite-SIM- Karten-im-iPhone-nicht/m-p/622942#M59151)

    [https://www.lancom-forum.de/fragen-zum-thema-vpn-f14/vpn-ikev2-mit-certificate-username-oder-passwor-t17833.html#p101137] (https://www.lancom-forum.de/fragen-zum-thema-vpn-f14/vpn-ikev2-mit-certificate-username-oder-passwor-t17833.html#p101137)

    Afficher la langue d’origine (Allemand)

      Je ne suis pas entièrement d’accord avec cela. La responsabilité incombe exclusivement à Swisscom, c’est pourquoi je ne veux rien prendre en main.

      Il n’y a que deux options : soit il existe un système sécurisé de haute qualité, soit il n’y en a pas. Il n’y a pas beaucoup de place pour la discussion là-bas.

      Si le deuxième cas (catastrophe) devait se produire, de nombreux clients seraient touchés et l’entreprise ferait effectivement faillite.

      Afficher la langue d’origine (Allemand)

      Il n’existe pas de réseau mobile suffisamment sécurisé sur cette planète.

      [https://community.swisscom.ch/t5/Mobile/Automatische-Netzwahl-im-Roaming-Zutzenprinzip/m-p/778599#M12795](https://community.swisscom.ch/t5/Mobile/Automatische-Netzwahl- en itinérance-aléatoire/m-p/778599#M12795)

      Et le désastre du réseau mobile s’est déjà produit dans le cas du plus grand opérateur de téléphonie mobile ukrainien (Kyivstar).

      [https://www.heise.de/news/Hacker-Attack-auf-ukrainischen-Mobilfunkunternehmen-Kyivstar-9573034.html](https://www.heise.de/news/Hacker-Attack-auf-ukrainischen- opérateur mobile-Kyivstar-9573034.html)

      Peut-être que l’assurance cyberprotection (souscrite, espérons-le) couvrira les dommages causés par l’attaque du pirate informatique…

      https://community.swisscom.ch/t5/Mobile/easy-protection/m-p/798648#M13646

      Afficher la langue d’origine (Allemand)

      @Metteunteu61

      Malheureusement, votre affirmation selon laquelle une entreprise doit être 100 % responsable n’est pas entièrement vraie, sinon le système fédéral piraté qui possède nos données devrait également nous verser une compensation.

      Et la sécurité à 100 % n’existe nulle part.

      Dans tous les cas, les risques assumés par une entreprise doivent être écrits dans les conditions générales !

      Afficher la langue d’origine (Allemand)

      Installationen, Netzwerk, Internet, Computertechnik, OS Windows, Apple und Linux.