Telstra sumokėjo 277 200 USD už didelius SIM keitimo saugumo pažeidimus

Telekomų sukčiavimo prevencijos tarnyba (ACMA) skyrė „Telstra“ 277 200 JAV dolerių baudą. Ši bauda skirta po tyrimo, kuris atskleidė sisteminius tapatybės tikrinimo trūkumus SIM kortelių keitimo užklausų metu. Šis atvejis tarnauja kaip rimtas perspėjimas internetinių lošimų ir finansų sektoriams. SIM kortelės keitimas yra nusikalstamų susivienijimų mėgstamas būdas apeiti dviejų veiksnių autentifikaciją, leidžiantis jiems ištuštinti sąskaitas, įskaitant internetinių kazino ir bankų sąskaitas.

ACMA tyrimas nustatė, kad nuo 2025 m. sausio iki spalio mėn. „Telstra“ 15 kartų nesilaikė privalomų autentifikavimo procesų, atlikdama neteisėtus SIM kortelių keitimus. Dar labiau nerimą kelia 13 atvejų, kai „Telstra“ agentai nesugebėjo įgyvendinti papildomų apsaugos priemonių klientams, kurie jau buvo pažymėti kaip didelės rizikos arba kurie tiesiogiai išreiškė susirūpinimą dėl savo saugumo. Šie trūkumai tiesiogiai lėmė bent 39 500 JAV dolerių finansinius nuostolius nukentėjusiems asmenims.

Skaičiai ir faktai

Finansinė 277 200 JAV dolerių bauda atspindi priežiūros sunkumą. Pasak ACMA, tai yra dalis platesnės mobiliojo ryšio numerių sukčiavimo prevencijos kampanijos, kurios metu pramonė iki šiol sumokėjo daugiau nei 5 mln. JAV dolerių baudų. Nustatyta, kad „Telstra“ darbuotojai ignoravo bendrovės vidaus saugumo procedūras. Be baudos, „Telstra“ įsipareigojo teismui atlikti išsamią savo sukčiavimo prevencijos mokymų ir techninių protokolų peržiūrą ir atnaujinimą.

„Šiuo atveju „Telstra“ darbuotojai nesilaikė paslaugų teikėjo procesų, palikdami klientus pažeidžiamus SIM kortelių keitimo sukčiavimo ir kitų mobiliųjų sukčiavimų atžvilgiu. Kai telekomunikacijų bendrovė sužino, kad klientui gresia sukčiavimas, susijęs su jo paslauga, ji turi pasiūlyti papildomas arba situacijai pritaikytas apsaugos priemones.“ - Samantha Yorke, ACMA narė

Pagrindas

SIM kortelės keitimo sukčiavimas įvyksta, kai kenkėjiškas asmuo įtikina mobiliojo ryšio operatorių pernešti nukentėjusiojo telefono numerį į naują SIM kortelę, kurią kontroliuoja užpuolikas. Kai perdavimas baigtas, nusikaltėlis gauna visus nukentėjusiojo skambučius ir tekstinius pranešimus, įskaitant vienkartinius slaptažodžius (OTP), naudojamus finansinėms operacijoms arba lošimų svetainių prisijungimams. ACMA pabrėžia, kad šias operacijas dažnai vykdo organizuotos nusikaltėlių grupės, todėl tvirtas telekomunikacijų operatorių tikrinimas yra gyvybiškai svarbi visos skaitmeninės ekonomikos gynybos linija.

Kodėl tai svarbu Vokietijos žaidėjams

Vokietijos žaidėjams šis incidentas pabrėžia 2021 m. Tarpvalstybinio susitarimo dėl lošimų (GlüStV 2021) nustatytos griežtos reguliavimo aplinkos būtinybę. Nors „Telstra“ atvejis įvyko Australijoje, sukčiavimo mechanizmai yra pasauliniai. Vokietijos centrinės sistemos, tokios kaip LUGAS, ir Jungtinių lošimų institucijų (GGL) priežiūra užtikrina aukštą apsaugos lygį, tačiau vartotojo galo saugumas išlieka svarbiausias. Jei mobiliojo ryšio operatorius nesugeba apsaugoti telefono numerio, net ir labiausiai reikalavimus atitinkanti Vokietijos kazino sąskaita gali būti rizikuojama. Vokiečių žaidėjams primygtinai rekomenduojama žaisti tik GGL licencijuotuose kazino, esančiuose oficialiame baltajame sąraše. Šie operatoriai laikosi griežtų apribojimų, tokių kaip 1 000 € mėnesio įmokos limitas ir 1 € už sukimą statymo limitas. Kadangi SIM mainai gali būti naudojami sąskaitoms perimti, žaidėjai turėtų apsvarstyti galimybę naudoti programėlių autentifikavimą, o ne SMS kodus, kai tik tai siūlo kazino ar jų bankas. Saugumas Vokietijos rinkoje priklauso nuo reguliuojamų operatorių ir saugių asmeninių ryšių kanalų sinergijos.

Ką tai reiškia GGL licencijuotiems kazino

Kazino, veikiantiems pagal GGL licenciją, „Telstra“ incidentas pabrėžia būtinybę stebėti įtartiną paskyros veiklą, kuri gali rodyti pažeistą įrenginį. Vokietijos įstatymai reikalauja, kad operatoriai išlaikytų aukštus duomenų apsaugos ir pinų plovimo prevencijos (AML) patikrinimų standartus. Jei paslaugų teikėjas įtaria, kad klientas tapo tapatybės vagystės auka, jis privalo nedelsiant imtis veiksmų, kad užblokuotų sąskaitą. Šis atvejis rodo, kad silpniausia saugumo grandies grandis dažnai yra ne pats kazino, o paslaugų teikėjai, palaikantys skaitmeninę žaidėjo tapatybę.