Как защититься от SIM-свопа: пошаговый гайд после четырёх утечек данных, о которых предупредил CZ

Разбираемся, как защититься от SIM-свопа — схемы, при которой мошенник переводит твой номер на свою SIM-карту и получает все SMS-коды. Повод свежий: 28 октября CZ предупредил, что сразу четыре утечки данных — у подрядчика Coinbase, у биржи Bithumb и у двух корейских брокеров — дают атакующим имена, почты, телефоны и историю операций. С таким набором подмена номера становится делом техники.

Что случилось и почему это касается тебя

По данным TechFlow, CZ перечислил четыре свежие утечки: у аналитического подрядчика Coinbase — Amplitude, у Bithumb и у корейских брокеров Mirae Asset и Daishin Securities. Слитые имена, почты, телефоны, адреса и записи о транзакциях, предупредил он, годятся для фишинга, SIM-свопа и социальной инженерии. Его совет: включить аппаратные ключи или passkeys, отказаться от двухфакторки через SMS и не верить сообщениям от «поддержки».

CoinDesk уточняет: Coinbase заявила, что её собственные системы не взломаны и средства клиентов в безопасности, а у Amplitude утекла лишь «небольшая часть» контактных данных. Daishin Securities сообщила о взломе данных 38 490 клиентов. Но для SIM-свопа как раз и нужны телефон, имя и понимание, что у человека есть крипта.

Как работает SIM-своп

Схема простая. Мошенник собирает о тебе данные из утечек, звонит или приходит к оператору под видом тебя и просит перевыпустить SIM или перенести номер. Как только номер у него, твой телефон теряет сеть, а все SMS с кодами идут злоумышленнику. Дальше он сбрасывает пароли на почте и биржах, где восстановление идёт через SMS.

Telegram в этом смысле особенно уязвим. В официальном FAQ прямо сказано: номер телефона — единственный способ идентифицировать пользователя, и у кого номер, у того и аккаунт. А это твои чаты с OTC-контрагентами, админки каналов и кошелёк в мини-аппах.

Номер телефона — это не пароль, а адрес, по которому твои пароли можно перенаправить.

Как защититься от SIM-свопа: пошагово

Шаг 1. Оператор. Позвони своему оператору и спроси, есть ли запрет на замену SIM и перенос номера без личного визита с паспортом, кодовое слово или PIN для операций с номером. Если такая услуга есть — включи. Это не делает тебя неуязвимым, но заметно усложняет подмену.

Шаг 2. Telegram. Зайди в «Настройки → Конфиденциальность» и включи двухэтапную аутентификацию — в русском интерфейсе она называется «Облачный пароль». После этого, как пишет Telegram, одного номера для входа будет мало. Добавь почту для восстановления и защити её тоже. Там же можно создать ключ доступа (passkey): вход по PIN, отпечатку или лицу вместо SMS-кода, и, по словам Telegram, он надёжнее кода. Загляни в «Устройства» и заверши незнакомые сеансы.

Шаг 3. Почта и биржи без SMS. Почта — ключ ко всему остальному. В справке Google по двухэтапной аутентификации прямо сказано: коды по SMS и звонку уязвимы для атак через номер телефона, а уведомления Google на устройстве помогают защититься от SIM-свопа. Лучшие варианты — passkey и аппаратный ключ: по данным Google, они защищают от фишинга. На биржах переключи вторую ступень с SMS на приложение-аутентификатор или ключ безопасности, а номер телефона, где можно, убери из способов восстановления.

Шаг 4. Аппаратный ключ. Это маленькое USB- или NFC-устройство. По справке Google о ключах безопасности, подойдёт любой ключ FIDO1 или FIDO2, а для входа без пароля нужен ключ с поддержкой FIDO2. По объяснению FIDO Alliance, passkeys построены на криптографии с открытым ключом и устойчивы к фишингу: украсть пароль просто нечего. Купи два ключа и зарегистрируй оба, чтобы потеря одного не заблокировала тебе доступ. Учти: Google может выдержать паузу до 7 дней, прежде чем новый ключ заработает при входе.

Шаг 5. Отдельные контакты для крипты. Заведи отдельную почту только для бирж и кошельков и не свети её в соцсетях. Если оператор позволяет, держи для двухфакторки отдельный номер, который нигде не публикуешь. Чем меньше связей между твоим публичным профилем и крипто-аккаунтами, тем дольше мошенник будет собирать пазл.

Если номер уже увели

Признак — телефон внезапно пишет «Нет сети», хотя ты в зоне покрытия. Действуй быстро: звони оператору с другого телефона и блокируй SIM, с доверенного устройства меняй пароль почты и выкидывай чужие сеансы, затем проверяй биржи и выводы. Если есть подозрение, что под угрозой и кошелёк, переезжай на новый адрес — как это сделать без потерь, мы разбирали в гайде про смену кошелька после утечки.

Помни, что после утечки атаки часто идут через «поддержку». Ни Coinbase, ни Google, ни Telegram не просят продиктовать код из SMS. Как отличить фальшивое письмо или пуш от настоящего, мы показывали на примере атаки на NGRAVE. А сид-фраза вообще не должна жить в телефоне — правила хранения есть в гайде про создание сид-фразы.

FAQ

Как защититься от SIM-свопа, если оператор не даёт запрет на замену SIM? Убери SMS из всех важных аккаунтов: включи пароль в Telegram, passkey или ключ безопасности на почте и биржах.

Хватит ли приложения-аутентификатора? Это намного лучше SMS. Но от фишинга надёжнее защищают passkeys и аппаратные ключи.

Что важнее всего защитить первым? Почту и Telegram: через них восстанавливают доступ ко всему остальному.

Мои данные утекли — что делать прямо сейчас? Сменить пароли, отключить SMS-двухфакторку и игнорировать любые звонки и сообщения от «поддержки».

Итог: как защититься от SIM-свопа — вопрос не одного клика, а трёх слоёв: оператор, вторые факторы без SMS и отдельные контакты для крипты. После свежих утечек это лучше сделать сегодня, пока твой номер не стал чужим.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.