Furto dati ho.mobile: seriale delle SIM rigenerato in automatico, non serve andare in negozio

[gd350turbo]

Originariamente inviato da Yrbaf

A me pare che la soluzione sia valida e pure migliore del solo cambio Sim di massa a tutti ora (non realizzabile facilmente in tempi brevi e che nel frattempo lasciava spazio alle MNP truffa).
Chi vuole maggiore sicurezza cambierà la Sim ma con tutta calma (non di corsa) o meglio ancora cambierà operatore ma nel frattempo saprà che comunque è lo stesso tutelato dalla truffa Sim Swap.

Anche secondo me, non è una cattiva idea, hanno cambiato lato server iccd, bloccando di conseguenza gli swap illegali, ed evitando di cambiare due milioni e mezzo di sim, con relativo costo, di milioni di euro.
Diciamo che ci avrebbero dovuto pensare il giorno dopo non dopo due settimane, quello si !

[elessar]

Originariamente inviato da Yrbaf

Però allo stesso tempo teoricamente siamo ancora esposti al Sim Clone (e se lo riescono a fare poi possono fare anche il Sim Swap perché possono mandare Sms al posto ns).

Cioè si può fare un SIM clone solo a partire dall'ICCID senza avere sottomano la SIM fisica? Non mi sembra, ci sono altri dati privati sulla SIM, che non erano presenti sul DB del leak.

[elessar]

Originariamente inviato da Thron

Se non me la cambia cambio operatore e afanmocc a HO.mobile che avesse anche rotto er piffero là giù.

Però per cambiare operatore dovrai fare il magheggio :-)

[Yrbaf]

Originariamente inviato da elessar

Cioè si può fare un SIM clone solo a partire dall'ICCID senza avere sottomano la SIM fisica? Non mi sembra, ci sono altri dati privati sulla SIM, che non erano presenti sul DB del leak.

Non lo so, altri sostenevano (in altri thread o forum) che se hai l'accoppiata numero di telefono e ICCID corrispondente (più magari un'altra sim dello stesso provider per vedere cosa c'è dentro), puoi fare anche il clone della sim e non solo il sim swap ed io sono andato dietro a quell'ipotesi.

Tutto sta a verificare cosa comunica la Sim durante la registrazione sulla rete.
Di certo al minimo ci sarà ICCID, poi forse numero di telefono (o anche no, ed il numero di telefono lo assegna la rete in base al ICCID comunicato) e qualcos'altro.
Ecco dipende cosa sarà il qualcos'altro e se non è un dato reperibile da altre fonti o al più da altre sim (magari smontate, di certo non roba banale da fare o almeno lo spero).

PS
Sui vari eStore trovi un sacco di kit belli che pronti (con tanto di Sim vergini) per clonare Sim fisiche possedute.
Poi che tali kit funzionino con tutte le Sim e soprattutto con quelle telefoniche non lo so.
Certo serve la sim fisica, ma sarebbe bello capire cosa copino tali soluzioni, se funzionano davvero (anche in ambito telefonico) e si possa fare un mix tra parte copiata da una sim e parte impostata a mano.

[canislupus]

L'ho detto altre volte...
Le vie sono due:

1) Rimanere con HoMobile senza farsi tanti drammi (al peggio attendete un po' per fare il cambio sim quando la situazione sarà più tranquilla)

2) Cambiare operatore

Io opterei per la seconda, anche per dare un messaggio non solo ad HoMbile, ma a qualsiasi gestore telefonico che troppo spesso considera la sicurezza, come un inutile dispendio di denaro.

[CYRANO]

Io non ho ricevuto nessun sms, nè quello del 4 nè quello del cambio seriale.
Ho mandato un sms al numero per il seriale e mi hanno risposto comunicandomelo.
Ho controllato con un'app che corrisponde al seriale vecchio.
Quindi con me non hanno fatto nulla proprio...


C,òlsoksokjsòsknsòl

[Thron]

Originariamente inviato da elessar

Però per cambiare operatore dovrai fare il magheggio :-)

Sì, certo, però è anche l'ultimo.
Ovvio, non pretendo che in pochi giorni mettano a disposizione un paio di milioni di sim; ben venga il fatto che abbiano generato questo icc, però io alla fine di tutto sto circo devo avere una sim nuova con icc nuovo. Punto.
Hanno sbagliato loro, a me stanno solo rompendo il piffero di cui sopra.

[Dany83]

Sono cliente Ho-Mobile praticamente dal dayone e sinceramente mi trovo bene e spendo il giusto. Ho ricevuto il primo SMS di avviso, oggi quello del cambio ICCD e subito richiesto. Dopo 50 minuti ho fatto il backup degli SMS su cloud, nas, locale e stasera andrò a dormire uguale a ieri sera, tanto ho 59 centesimi di credito e rinnovo automatico su PayPal.

Pensate che Tim, Vodafone e Wind3 siano meglio a livello di sicurezza?

Tim vende i numeri a terzi per fare "riacchiappo" di vecchi clienti, spesso chiama Tim per farti diventare Tim quando sei già Tim ... Stessa cosa Vodafone e Wind3.

Wind3 fà fare una voltura ad una azienda microbusiness con il modulo di privati che non prevede inserimenti di partita iva, codice sdi e/o pec.

Vodafone fà contratti da 29,90€ per poi fatturare oltre 40€ al mese, e se il cliente non è attento paga per mesi senza poter riprendere niente.

Preferisco Ho-Mobile che magari zoppicando tenta di riprendere la situazione ed evita esodi di massa di gente che per l'ennesima volta cambia operatore, spendendo 10/15/20€ o più per l'ennesima triangolazione oppure per l'ennesima ipotenusazione ....

Mio parere, senza dubbio

[floc]

Originariamente inviato da Yrbaf

Scusa ma non mi pare così complicato.

non ti pare così complicato perchè trascuri l'anello debole, l'utente

Il 99% non si sarà annotato il nuovo iccd.

Quindi se e quando faranno mnp daranno il vecchio leggendolo dalla sim. E a questo punto tu gestore cosa ne sai? E' un simswap illegittimo o una richiesta legittima? Gli ridai iccd nuovo a richiesta? E come fai a sapere che è l'utente reale e non un ladro di identità (visto che ti sei fatto fregare anche tutti i dati personali)? Glielo mandi per posta? Sì, ma nel frattempo auguri.

A logica se non hai iccd vecchio+nuovo non dovresti concedere mnp, bloccando chissà quanti utenti.

Originariamente inviato da Domenik73

Arrivato il messaggio del nuovo seriale. Confermo che le app che leggono l'iccid leggono quello vecchio

e non poteva essere altrimenti visto che è burnato nella sim e proprio per sicurezza non si può modificare. Questa soluzione è un palliativo, anche il nuovo iccd in qualche modo deve essere incrociato con il vecchio che per forza di cose, insieme ai dati personali completi trafugati, resta una vulnerabilità ENORME.

Fuggite, sciocchi!

[Yrbaf]

Originariamente inviato da floc

non ti pare così complicato perchè trascuri l'anello debole, l'utente

Non complicato da capire (e così è) è diverso da semplicissimo da fare.

Il 99% non si sarà annotato il nuovo iccd.

E chi ha detto che te lo devi annotare.
Per ora lo stai dicendo solo tu, non mi sembra che HO abbia detto cose del genere per ora (poi il domani chi lo sa).

Quindi se e quando faranno mnp daranno il vecchio leggendolo dalla sim. E a questo punto tu gestore cosa ne sai? E' un simswap illegittimo o una richiesta legittima? Gli ridai iccd nuovo a richiesta? E come fai a sapere che è l'utente reale e non un ladro di identità (visto che ti sei fatto fregare anche tutti i dati personali)? Glielo mandi per posta? Sì, ma nel frattempo auguri.

O ma è semplice e stai facendo confusione per un non nulla.
Il servizio SMS dovrebbe rimanere per sempre o almeno finché non proporranno un'altra soluzione o tutti quelli con dati rubati avranno cambiato in qualche modo la Sim (magari cambiando operatore) ed il servizio non servirà più.

Non ti devi annotare nulla e non ci sono sim swap illeggitimi.
Non ti ricordi che devi usare il nuovo ICCID, bene la MNP non andrà a buon fine ed otterrai il KO.
Ed a questo livello all'operatore cedente (alias HO) non interessa se la MNP la sta facendo un truffatore o il reale proprietario, perché tanto sono tutte MNP da mandare in KO in ogni caso (ICCID sbagliato anche se scritto sulla Sim).

Ora se tu sei il reale possessore della Sim che non si ricordava che doveva dare ICCID virtuale, quando riceverai il KO ti chiederai del perché e magari ti ricorderai della cosa o te lo farai ricordare da qualcun altro chiedendo (forum, telefonata ad assistenza Ho, magari gli stessi operatori del nuovo provider lo sanno e te lo dicono, ...ecc)

A quel punto prendi la tua bella Sim, la cacci in un telefono (se non lo fosse più), carichi dei soldi per riattivarla (se fosse a credito negativo) e mandi il SMS di richiesta ICCID corretto.
A risposta ottenuta rifai la tua bella MNP che questa volta darà esito OK.

Nulla di troppo invalidante, solo un po' di scomodità in più ed un rallentamento per gli smemorati ed i poco pratici (che però si possono anche fare assistere da qualcuno).

A logica se non hai iccd vecchio+nuovo non dovresti concedere mnp, bloccando chissà quanti utenti.

Ed infatti è così chi non ha ICCID nuovo più prova del possesso fisico della Sim (su cui poi c'è ICCID vecchio) non viene concesso il passaggio (anche se non so se tutti i provider richiedono foto della sim vecchia o gli basta solo ICCID, nuovo ovviamente).

Non blocchi nessun utente regolare, solo quelli che non hanno la sim fisica (che ti permette di avere facilmente ICCID nuovo oltre a quello vecchio) e hanno preso il tuo ICCID vecchio dal DB venduto.

Originariamente inviato da floc

Questa soluzione è un palliativo, anche il nuovo iccd in qualche modo deve essere incrociato con il vecchio che per forza di cose, insieme ai dati personali completi trafugati, resta una vulnerabilità ENORME.

La soluzione sarà anche un paliativo per te, ma alla fine funziona e non pare essere una vulnerabilità (a meno che non punti ad intercettare il SMS di risposta di tutti quelli che lo useranno).

L'incrocio in fase di MNP non c'è, il provider che chiede la MNP ad HO gli dà solo i dati anagrafici del cliente, il numero di telefono ed il nuovo ICCID ed ottiene da HO un OK o un KO. Tutto uguale ad una classica MNP con solo un ICCID inserito a mano e non letto con APP o da foto della Sim.
Poi è HO che saprà per i fatti suoi che il nuovo ICCID corrisponde invece ad una sim con un ICCID fisico diverso, ma agli altri non serve saperlo.

Al max restano tutte le criticità relative ai dati anagrafici rubati ma per quello non ci si può fare più nulla e ci si convivrà (tanto alcuni dati li avete probabilmente già divulgati voi con altri mezzi e sono già parzialmente pubblici) ed anche a fuggire di provider non servirà a nulla per quel problema.
Poi se volete più privacy e sicurezza al più potete valutare di cambiare numero di telefono e di cambiare email con però le scomodità conseguenti.

Per i più paranoici c'è anche da valutare di vendere la casa e cambiare indirizzo, ed infine magari provare a cambiare il vs nome e cognome in qualche modo e poi magari farsi assegnare un nuovo codice fiscale

[tallines]

Ho. Mobile stronca le gambe al SIM swapping: nuovo seriale per tutti i clienti coinvolti

[OUTATIME]

Originariamente inviato da Dany83

Preferisco Ho-Mobile che magari zoppicando tenta di riprendere la situazione ed evita esodi di massa di gente che per l'ennesima volta cambia operatore, spendendo 10/15/20€ o più per l'ennesima triangolazione oppure per l'ennesima ipotenusazione ....

Ti faccio notare che Ho mobile evita esodi di massa bloccando i clienti contro la propria volontà....
Non mi sembra un comportamento di cui andare fieri.

[Dany83]

Tanto purtroppo noi italiani siamo così

Rubano i dati - Ho Mobile maledetta sei una compagnia di @#*£$
Ti dicono ti diamo la sim nuova gratis (con le criticità che milioni di clienti vanno a farla e non si trovano) - Ho Mobile maledetta sei una compagnia che non vali un @#£$&
Ti generano l'iCCD nuovo senza farci muovere il culo da casa, senza rischiare di farci girare senza un valido motivo in momento di pandemia - Ho Mobile maledetta devi morire male

Però quando Ho-Mobile, Iliad e simili ci offrivano 6,99€/5,99€ per tutto illimitato e 30gb 2 anni fà - Tim Me$%&, Vodafone carogne figli di putt$%&!, Wind3 non vali un ca@#

Very Mobile, attenta tra poco tocca a te! (E và molto meglio di Wind3!)

[OUTATIME]

Originariamente inviato da Dany83

Tanto purtroppo noi italiani siamo così

Rubano i dati - Ho Mobile maledetta sei una compagnia di @#*£$
Ti dicono ti diamo la sim nuova gratis (con le criticità che milioni di clienti vanno a farla e non si trovano) - Ho Mobile maledetta sei una compagnia che non vali un @#£$&
Ti generano l'iCCD nuovo senza farci muovere il culo da casa, senza rischiare di farci girare senza un valido motivo in momento di pandemia - Ho Mobile maledetta devi morire male

Però quando Ho-Mobile, Iliad e simili ci offrivano 6,99€/5,99€ per tutto illimitato e 30gb 2 anni fà - Tim Me$%&, Vodafone carogne figli di putt$%&!, Wind3 non vali un ca@#

Very Mobile, attenta tra poco tocca a te! (E và molto meglio di Wind3!)

Sarebbe bastato inserire un grace time e accettare le MNP anche con il seriale vecchio per i primi 3 giorni lavorativi dopo l'inserimento del nuovo.
Ma mi rendo conto che questa soluzione sia troppo complicata da elaborare per i geni che lavorano in ho.
Comunque si, hai ragione, il problema è chi si lamenta.

[sbudellaman]

Sono utente ho mobile ed ho cambiato la SIM dopo che ho saputo dell'hackeraggio. Ora però mi è arrivato comunque l'sms dove dice che mi è stato rigenerato il codice seriale della sim... ma questo significa che mi è stato cambiato il codice sulla nuova sim e non sulla vecchia, giusto?? L'SMS mi è arrivato dopo aver messo la sim nuova...

[OUTATIME]

Originariamente inviato da sbudellaman

Sono utente ho mobile ed ho cambiato la SIM dopo che ho saputo dell'hackeraggio. Ora però mi è arrivato comunque l'sms dove dice che mi è stato rigenerato il codice seriale della sim... ma questo significa che mi è stato cambiato il codice sulla nuova sim e non sulla vecchia, giusto?? L'SMS mi è arrivato dopo aver messo la sim nuova...

Manda l'sms e verifica quale seriale ti arriva in risposta.

[Dany83]

Guarda, se sapessi quali splendide iniziative prende l'operatore nazionale che pubblicizza tante belle cose con la voce di un artista nazionale come canzone rabbrividiresti, altro che queste dabbenaggini di Ho-Mobile. Siamo tutti dirigenti di azienda, che abbiamo dati sensibili che se ce li rubano siamo fottuti e perdiamo i nostri Nasdaq, i Forex, gli outbound proxy e il vox in una logica round? Come ci piace riempirci la bocca con i termini anglosassoni!

[OUTATIME]

Originariamente inviato da Dany83

Guarda, se sapessi quali splendide iniziative prende l'operatore nazionale che pubblicizza tante belle cose con la voce di un artista nazionale come canzone rabbrividiresti, altro che queste dabbenaggini di Ho-Mobile. Siamo tutti dirigenti di azienda, che abbiamo dati sensibili che se ce li rubano siamo fottuti e perdiamo i nostri Nasdaq, i Forex, gli outbound proxy e il vox in una logica round? Come ci piace riempirci la bocca con i termini anglosassoni!

In realtà sono dati personali e non sensibili, se proprio vogliamo essere precisi.
E per essere ancora più precisi dei dati di cui sopra non mi frega nulla, vorrei solo fare mnp out verso un operatore che non abbia spento le frequenze 3G.

[blueambro]

Credo che il nuovo iccid sia "virtuale" e serva solo per la portabilità, ho controllato con un'app e l'iccid della sim è sempre lo stesso, quello stampato sulla scheda. Comunque mi sembra una buona iniziativa da parte di Ho.

[sbudellaman]

Originariamente inviato da OUTATIME

Manda l'sms e verifica quale seriale ti arriva in risposta.

Se lo faccio mi compare il seriale della nuova SIM, quindi se ho ben capito sembra che non sia stato rigenerato nonostante mi sia arrivato l'sms... meglio così... grazie