Furto dati ho.mobile: seriale delle SIM rigenerato in automatico, non serve andare in negozio

[OUTATIME]

Originariamente inviato da blueambro

Credo che il nuovo iccid sia "virtuale" e serva solo per la portabilità, ho controllato con un'app e l'iccid della sim è sempre lo stesso, quello stampato sulla scheda. Comunque mi sembra una buona iniziativa da parte di Ho.

Perché l'iccid non si può cambiare, e hanno fatto un'associazione virtuale.

[Silent Bob]

Originariamente inviato da Dany83

Pensate che Tim, Vodafone e Wind3 siano meglio a livello di sicurezza?

No, ma ci si aspetta cmq un controllo migliore di HO, che alla fine è stata SICURAMENTE bucata.

Originariamente inviato da Dany83

Tim vende i numeri a terzi per fare "riacchiappo" di vecchi clienti, spesso chiama Tim per farti diventare Tim quando sei già Tim ... Stessa cosa Vodafone e Wind3.

Wind3 fà fare una voltura ad una azienda microbusiness con il modulo di privati che non prevede inserimenti di partita iva, codice sdi e/o pec.

Vodafone fà contratti da 29,90€ per poi fatturare oltre 40€ al mese, e se il cliente non è attento paga per mesi senza poter riprendere niente.

Che poi che TIM, VODA e Wind (con la 3 non direi, prima della fusione) avessero tra chi ci lavora qualcuno che passa i dati è più che probabile.

Come non è una novità i loro modi di fare , non stai aggiungendo nulla di ciò che non si sa.

Originariamente inviato da Dany83

Preferisco Ho-Mobile che magari zoppicando tenta di riprendere la situazione ed evita esodi di massa di gente che per l'ennesima volta cambia operatore, spendendo 10/15/20€ o più per l'ennesima triangolazione oppure per l'ennesima ipotenusazione ....

Il fatto è questo, se dall'inizio non c'era stato il buco, non usciva fuori neanche il problema.
Ho Mobile sta solo cercando di riparare il casino, non sta facendo nulla di eccezionale o chissà che.

Poi ognuno può cambiare operatore quante volte vuole, non ci stanno offrendo un servizio gratis, serio, etc...

Questo fa parte anche di altri discorsi, che non coinvolge il solo risparmio.

Ciò non toglie che HO è pur sempre una virtuale di Voda, come Kena per TIM, quindi sempre sotto 2 tra i primi operatori nazionali stai.

[elessar]

Originariamente inviato da Thron

io alla fine di tutto sto circo devo avere una sim nuova con icc nuovo. Punto.

Boh? Che ti cambia? Qual è la differenza all'atto pratico?

Comunque mi pare che il cambio gratuito non sia stato precluso, ma non è fattibile in tempi stretti per questioni di volumi. Se tra qualche mese andrai da un rivenditore a chiedere il cambio SIM probabilmente te la faranno.

[elessar]

Originariamente inviato da Yrbaf

Non lo so, altri sostenevano (in altri thread o forum) che se hai l'accoppiata numero di telefono e ICCID corrispondente (più magari un'altra sim dello stesso provider per vedere cosa c'è dentro), puoi fare anche il clone della sim e non solo il sim swap ed io sono andato dietro a quell'ipotesi.

Mi pare che la duplicazione a partire dall'ICCID sia impossibile.

Solo per alcune SIM molto vecchie che avevano dei problemi è possibile fare una copia a partire dalla sim fisica. Clonare una SIM moderna non è banale, neanche avendo a disposizione la SIM fisica, il principio è proprio che la chiave privata usata per registrare il telefono sulla rete è blindata dentro la SIM e non viene mai comunicata all'esterno.

Insomma, se la SIM non è vulnerabile non puoi duplicarla, neppure se hai a disposizione la SIM fisica.

[andy45]

Originariamente inviato da elessar

Boh? Che ti cambia? Qual è la differenza all'atto pratico?

Che hai meno rotture di scatole in caso di cambio operatore...nei negozi il codice iccid è quello della sim, non quello di un sms.

Originariamente inviato da elessar

Comunque mi pare che il cambio gratuito non sia stato precluso, ma non è fattibile in tempi stretti per questioni di volumi. Se tra qualche mese andrai da un rivenditore a chiedere il cambio SIM probabilmente te la faranno.

Probabile che tra qualche mese il cambio gratuito non te lo faranno più.

[gsep2]

Originariamente inviato da andy45

Che hai meno rotture di scatole in caso di cambio operatore...nei negozi il codice iccid è quello della sim, non quello di un sms.



Probabile che tra qualche mese il cambio gratuito non te lo faranno più.

In negozio oltre ad esserci il riconoscimento tramite documento sai quanto gli importa dell'iccid se l'hai su sms, sei sempre un cliente nuovo da non farsi scappare, invece per quanto riguarda il cambio sim gratuito fra qualche mese molto probabilmente sarà come dici tu, sicuramente si giustificheranno dicendo che l'hanno cambiato e non c'è da preoccuparsi

[floc]

Originariamente inviato da Yrbaf

Non complicato da capire (e così è) è diverso da semplicissimo da fare.


E chi ha detto che te lo devi annotare.
Per ora lo stai dicendo solo tu, non mi sembra che HO abbia detto cose del genere per ora (poi il domani chi lo sa).

O ma è semplice e stai facendo confusione per un non nulla.
Il servizio SMS dovrebbe rimanere per sempre o almeno finché non proporranno un'altra soluzione o tutti quelli con dati rubati avranno cambiato in qualche modo la Sim (magari cambiando operatore) ed il servizio non servirà più.

Non ti devi annotare nulla e non ci sono sim swap illeggitimi.
Non ti ricordi che devi usare il nuovo ICCID, bene la MNP non andrà a buon fine ed otterrai il KO.
Ed a questo livello all'operatore cedente (alias HO) non interessa se la MNP la sta facendo un truffatore o il reale proprietario, perché tanto sono tutte MNP da mandare in KO in ogni caso (ICCID sbagliato anche se scritto sulla Sim).

Ora se tu sei il reale possessore della Sim che non si ricordava che doveva dare ICCID virtuale, quando riceverai il KO ti chiederai del perché e magari ti ricorderai della cosa o te lo farai ricordare da qualcun altro chiedendo (forum, telefonata ad assistenza Ho, magari gli stessi operatori del nuovo provider lo sanno e te lo dicono, ...ecc)

A quel punto prendi la tua bella Sim, la cacci in un telefono (se non lo fosse più), carichi dei soldi per riattivarla (se fosse a credito negativo) e mandi il SMS di richiesta ICCID corretto.
A risposta ottenuta rifai la tua bella MNP che questa volta darà esito OK.

Nulla di troppo invalidante, solo un po' di scomodità in più ed un rallentamento per gli smemorati ed i poco pratici (che però si possono anche fare assistere da qualcuno).


Ed infatti è così chi non ha ICCID nuovo più prova del possesso fisico della Sim (su cui poi c'è ICCID vecchio) non viene concesso il passaggio (anche se non so se tutti i provider richiedono foto della sim vecchia o gli basta solo ICCID, nuovo ovviamente).

Non blocchi nessun utente regolare, solo quelli che non hanno la sim fisica (che ti permette di avere facilmente ICCID nuovo oltre a quello vecchio) e hanno preso il tuo ICCID vecchio dal DB venduto.


La soluzione sarà anche un paliativo per te, ma alla fine funziona e non pare essere una vulnerabilità (a meno che non punti ad intercettare il SMS di risposta di tutti quelli che lo useranno).

L'incrocio in fase di MNP non c'è, il provider che chiede la MNP ad HO gli dà solo i dati anagrafici del cliente, il numero di telefono ed il nuovo ICCID ed ottiene da HO un OK o un KO. Tutto uguale ad una classica MNP con solo un ICCID inserito a mano e non letto con APP o da foto della Sim.
Poi è HO che saprà per i fatti suoi che il nuovo ICCID corrisponde invece ad una sim con un ICCID fisico diverso, ma agli altri non serve saperlo.

Al max restano tutte le criticità relative ai dati anagrafici rubati ma per quello non ci si può fare più nulla e ci si convivrà (tanto alcuni dati li avete probabilmente già divulgati voi con altri mezzi e sono già parzialmente pubblici) ed anche a fuggire di provider non servirà a nulla per quel problema.
Poi se volete più privacy e sicurezza al più potete valutare di cambiare numero di telefono e di cambiare email con però le scomodità conseguenti.

Per i più paranoici c'è anche da valutare di vendere la casa e cambiare indirizzo, ed infine magari provare a cambiare il vs nome e cognome in qualche modo e poi magari farsi assegnare un nuovo codice fiscale

no, non è semplice e non sono io quello che lo sta complicando, sei tu che non hai capito rileggi il mio intervento precedente.

L'attaccante ha in mano: dati personali + iccd vecchio
L'utente legittimo ha in mano: dati personali + iccd vecchio (perchè il nuovo tempo una settimana se l'è perso, non lo ha segnato, il telefono glielo mangiato il cane e l'sms lo ha cancellato la nonna)

Al momento della portabilità come fa HO a distinguere l'attaccante da un utente legittimo se entrambi presentano richiesta con iccd vecchio e dati personali?

L'unica è fare la portabilità solo con presenza fisica o documento fisico, cosa alla quale non credo neanche se lo vedo

PS Non buttiamola in caciara, il fatto che alcuni possano aver divulgato comunque per scelta i propri dati non è certo una scusante per HO e l'incuria che ha dimostrato. Mai.

[elessar]

Originariamente inviato da floc

L'attaccante ha in mano: dati personali + iccd vecchio
L'utente legittimo ha in mano: dati personali + iccd vecchio (perchè il nuovo tempo una settimana se l'è perso, non lo ha segnato, il telefono glielo mangiato il cane e l'sms lo ha cancellato la nonna)

Il server per il mapping dei seriali rimarrà attivo. Non è un one-shot, e non è l'SMS che mandi a far scattare il mapping; il mapping degli ICCID, creando uno nuovo ICCID virtuale per la migrazione, è già stato effettuato da Ho. L'SMS ti permette soltanto di fare la query.

L'utente legittimo (ovvero chi è in possesso della SIM), in qualsiasi istante da oggi per sempre, potrà mandare l'SMS "seriale" al numero previsto per ricevere l'ICCID necessario per la migrazione. L'attaccante, invece, non avrà accesso a tale ICCID mappato.

I gestori e i rivenditori, molto probabilmente, saranno informati di questo "dettaglio" di Ho. Quindi nel momento in cui vai ad effettuare una portabilità (online o in negozio) ti chiederanno, se l'operatore di provenienza è Ho, di mandare l'SMS al numero X con il contenuto Y e di riportare il seriale, anziché leggerlo dalla SIM. Correttamente, a quanto mi risulta, Ho restituisce sempre l'ICCID da migrazione, anche se è uguale a quello della SIM fisica, così da non complicare la faccenda.

E' un po' più complicato della versione "normale" ma non è TROPPO complicato.

L'unica è fare la portabilità solo con presenza fisica o documento fisico, cosa alla quale non credo neanche se lo vedo

Il problema è questa sarebbe una responsabilità del gestore di destinazione, non di provenienza. Come farebbe Ho a discriminare le richieste autentiche da quelle farlocche? Mi pare, inoltre, che non ci sia obbligo di continuità tra le intestazioni di un numero in caso di portabilità tra gestori.

Poi, che Ho debba migliorare le sue procedure di sicurezza, non ci piove. Ma la soluzione che ha proposto per il caso specifico non è terribile, è più che buona.

[floc]

niente, ci rinuncio... Il problema non è lato HO, è ovvio che LORO non si perdano l'iccd nuovo, ma lato identificazione dell'utente che si presenta senza sapere iccd nuovo ma solo con il vecchio, al pari di un attaccante.

[elessar]

Originariamente inviato da floc

niente, ci rinuncio... Il problema non è lato HO, è ovvio che LORO non si perdano l'iccd nuovo, ma lato identificazione dell'utente che si presenta senza sapere iccd nuovo ma solo con il vecchio, al pari di un attaccante.

Ma qual è il tuo problema? Cosa ti manca nel flusso?

L’utente lecito quando deve fare la portabilità manda un sms a ho, riceve l’icc virtuale, lo comunica e tanti saluti.

Perché chi ha la sim non dovrebbe poter ottenere l’iccid virtuale?

[Yrbaf]

Originariamente inviato da floc

no, non è semplice e non sono io quello che lo sta complicando, sei tu che non hai capito rileggi il mio intervento precedente.

Invece non hai capito nulla si vede da quello che scrivi dopo.

L'attaccante ha in mano: dati personali + iccd vecchio
L'utente legittimo ha in mano: dati personali + iccd vecchio (perchè il nuovo tempo una settimana se l'è perso, non lo ha segnato, il telefono glielo mangiato il cane e l'sms lo ha cancellato la nonna)

Il codice ottenuto via SMS non lo devi scrivere da qualche parte e conservare per il resto della vita (lontano dalle nonne hacker ).

Non lo usi neanche il servizio SMS (se non per verificare per sfizio) fino al gg che devi fare una MNP.
Il gg che la devi fare 2 ore prima mandi questo SMS ed ottieni il codice ICCID corretto (se tutto funzionerà ancora, ma qui dipende da HO) da usare e fine.
Se non lo farai non farai mai una MNP su quella Sim (però credo che potresti fare cambio sim, al peggio a pagamento, in negozio anche senza ICCID nuovo, dato che hai la sim fisica ed hai i tuoi documenti con te).

E se l'utente giusto si è fatto mangiare la sim dal cane (presumo che un telefono mangiato dal cane contenga una sim ) allora va a fare denuncia alle forze di polizia e poi chiede una sim sostitutiva con denuncia e suoi documenti.

Al momento della portabilità come fa HO a distinguere l'attaccante da un utente legittimo se entrambi presentano richiesta con iccd vecchio e dati personali?

Non lo deve distinguere, è questo il punto!

Sono entrambi da bocciare con KO e chi se ne frega chi è quello giusto.
Chi ha la sim fisica in mano al secondo tentativo farà la richiesta giusta (se non è poco informato e non vuole informarsi ma solo persistere nei suoi errori) ed il truffatore non potrà che continuare a fare richieste sbagliate (o in realtà si fermerà al primo KO avendo capito che non può fare altro).

PS
Chi è sveglio ed ha capito come si fa (e soprattutto se lo ricorderà in futuro quando deve fare una MNP) non ha neanche bisogno di fare minimo due tentativi, fa tutto giusto da subito al primo tentativo.
Al limite ci sarà solo da ricordare il numero di telefono ed il messaggio sms da scrivere, ma al peggio basterà chiedere all'assistenza.

[OUTATIME]

Originariamente inviato da Yrbaf

PS
Chi è sveglio ed ha capito come si fa (e soprattutto se lo ricorderà in futuro quando deve fare una MNP) non ha neanche bisogno di fare minimo due tentativi, fa tutto giusto da subito al primo tentativo..

Si, salvo quando ti cambiano il seriale durante la mnp ma questa è un'altra storia

[Quell_uomo]

Nonostante non abbia ricevuto il messaggio sul furto dei dati provvedero' lo stesso al cambio della SIM quando le acque si saranno un pochino calmate...

[andy45]

Originariamente inviato da gsep2

In negozio oltre ad esserci il riconoscimento tramite documento sai quanto gli importa dell'iccid se l'hai su sms, sei sempre un cliente nuovo da non farsi scappare

Chiesto oggi in un negozio ***, per nuove disposizioni devono fotocopiare la sim per dimostrare che il codice inserito sia il medesimo della sim che vogliono passare, al momento non hanno disposizioni in merito a questa novità di ho mobile, quindi per ora almeno con loro se si fa la portabilità del numero non si sa se andrà a buon fine o meno...immagino dipenderà da ho mobile.

[Yrbaf]

Originariamente inviato da OUTATIME

Si, salvo quando ti cambiano il seriale durante la mnp ma questa è un'altra storia

Certo però c'è da dire che la cosa per quanto scocciante (se arriverà il KO, non ho ancora letto di casi, ma magari ci sono/saranno) è in ogni caso una mossa utile.

Certo bloccherà le MNP regolari che sono in corso, ma di certo ha impedito anche quelle irregolari (ammesso che ce ne siano in corso attualmente).
E per quelle regolari basterà rifarle dopo il KO, un piccolo sacrificio per gli utenti onesti in cambio di un blocco (almeno parziale) di quelli disonesti che già hanno agito.

[baffetto58]

Sono uno dei "fortunati" della lista nera di HO confermo che dopo aver ricevuto il primo SMS di avviso del furto dati a distanza di qualche giorno mi hanno inviato l'Sms di cambio ICCD, nel frattempo (causa impossibilità trovare sim sostitutiva Ho) provvedervi a effettuare il passaggio a Kena con conseguente portabilità del vecchio numero "fallita".
Dopo aver contattato il nuovo operatore e rilasciato il nuovo ICCD (confermo che con l'App di verifica esce sempre il vecchio seriale) sono in attesa di portabilità (speriamo bene).

[floc]

Originariamente inviato da Yrbaf

Sono entrambi da bocciare con KO e chi se ne frega chi è quello giusto.
Chi ha la sim fisica in mano al secondo tentativo farà la richiesta giusta

peccato che se mi hanno swappato o clonato la sim l'sms che richiede il nuovo iccd arriva (anche) all'utente illegittimo

comunque

Originariamente inviato da floc

L'unica è fare la portabilità solo con presenza fisica o documento fisico, cosa alla quale non credo neanche se lo vedo

quindi quello che avevo già scritto io. Solo presenza fisica con documento e sim. Auguri a HO e a chi deve fare la procedura.

Poi se vi fa piacere pensate pure di essere voi quelli svegli eh

[Yrbaf]

Originariamente inviato da floc

peccato che se mi hanno swappato o clonato la sim l'sms che richiede il nuovo iccd arriva (anche) all'utente illegittimo

Non dire fesserie per fare arrampicate sugli specchi e non dire semplicemente che non ci avevi capito nulla.

Se il sim swap è già avvenuto (e prima della storia ICCID virtuale perché dopo non poteva più avvenire) tu non hai neanche il problema di fare MNP, sarai già a fare la denuncia.
Non funzionano due sim in parallelo con il sim swap ma una cessa di andare.
E poi se il truffatore ti ha già fatto il sim swap (pure ancora su una sim Ho), che motivo avrebbe di mandare SMS ?
Per farsi dire un ICCID che è già quello fisico (visto che sulle nuove sim non c'è un ICCID virtuale e SMS restituisce lo stesso ICCID stampato) ?
E poi perché dovrebbe fare una seconda MNP a breve se tanto ti ha già fregato il numero con la prima ?
Stai dicendo cose senza senso!!

Quindi SMS arriva solo ad una Sim e se la tua sim funziona ancora SMS arriva solo a te (che poi ci siano metodi per intercettarli è un altro discorso).
Tu puoi fare MNP e gli altri NO!!!

Inoltre è già stato chiarito che con il metodo proposto (che funziona come dovrebbe se lo si riesce a capire) non fanno più nessun sim swap (dall'entrata in vigore del sistema se l'hanno fatto prima è un altro discorso) ed il SMS arriva solo a te, punto.


Il caso sim clonata è diverso (e rimane il fatto che due sim identiche non possono autenticarsi, quindi chi ha la sim clonata dovrebbe tenerla spenta per favorire l'altro) ed è già stato smontato da altri sulla fattibilità di farlo in modo agevole con solo i dati rubati.
E se lo sanno fare te lo fanno pure sulla sim nuova e/o su altri provider.

[floc]

nessuna arrampicata. Semmai le arrampicate sono da parte di chi non ha idea di come funzioni un sim swap o una clonazione (e qui ce ne sono diversi, uno sei tu) nel mondo reale.

Il fatto che le due sim non funzionino in parallelo è solo teoria, soprattutto in ambito sms considerando il tempo di giacenza nel centro messaggi. Per quanto già spiegato, se sto confezionando un attacco ad personam (e potrei avere intenzione a farlo visto che la mole di dati trafugati permette di documentarsi riguardo i soggetti coinvolti ) questo teatrino è assolutamente scavalcabile.

Ciò detto, a chi è interessato ad approfondire l'argomento consiglio di seguire qualche seminario di informatica forense, e, nel mentre, di non fare sparate a caso.

[jotaro75]

Originariamente inviato da baffetto58

Sono uno dei "fortunati" della lista nera di HO confermo che dopo aver ricevuto il primo SMS di avviso del furto dati a distanza di qualche giorno mi hanno inviato l'Sms di cambio ICCD, nel frattempo (causa impossibilità trovare sim sostitutiva Ho) provvedervi a effettuare il passaggio a Kena con conseguente portabilità del vecchio numero "fallita".
Dopo aver contattato il nuovo operatore e rilasciato il nuovo ICCD (confermo che con l'App di verifica esce sempre il vecchio seriale) sono in attesa di portabilità (speriamo bene).

Anche io sto tentando con kena.
Per ora sono a due fallimenti di MNP con vecchio ICCID, però il secondo attivato poche ore prima che arrivasse l'sms di cambio ICCID.
PRovato già una prima portabilità con nuovo ICCID e tre ore dopo mi è arrivato comunque un KO anche con quello. Ho fatto riattivare per la seconda volta la portabilità con nuovo ICCID...speriamo che sia la volta buona....

"Fortunatamente" è quello di mia moglie che ha pochi servizi legati al numero telefonico perchè il grosso sono dal mio lato...infatti stiamo valutando dovesse andare male di tenerci il numero nuovo e recedere quello vecchio con HO. Anche perchè kena nel contratto precisa che dopo 30 giorni di tentativi rinuncia e ti tieni quello nuovo con contratto base(ma a quel punto puoi attivare le offerte come numero nuovo e cmq farei richiesta del rimborso per fallito mnp che prevee 2.50€ per ogni giorno di ritardo per un massimo di 50€).
Alternativa se per sabato non va ancora a buon fine fare il ripensamento con kena non essendo passati ancora 14 giorni, ma non ho capito se con il ripensamento mi rimborsano i 15 euro pagati o parte di essi visto che ho letto il documento di ripensamento da compilare ma mica chiede i dati per il rimborso.