سیم‌سواپ: دزدیدن شماره

گوشی‌ای که یهو بی‌آنتن شد

مثلا فرض کنید یه بعدازظهر معمولی، گوشی‌تون یهو می‌نویسه «بی سرویس». فکر می‌کنید آنتن نمیده، ولی همکار کناریتون آنتن کامل داره. گوشی رو خاموش‌روشن می‌کنید، فرقی نمی‌کنه. یه ساعت بعد، از کامپیوتر ایمیلتون رو باز می‌کنید و می‌بینید رمز ایمیل عوض شده، و توی پیام‌رسان، دوستاتون می‌گن «از طرف تو پیام اومد که پول قرض بده».

این سیم‌سواپه. کسی رمز شما رو حدس نزده و گوشی شما رو هم ندزدیده؛ شماره‌ی شما رو دزدیده. و چون خیلی از حساب‌ها، از ایمیل تا بانک تا پیام‌رسان، با یه پیامک کد به شماره باز می‌شن، دزدیدن شماره یعنی دزدیدن کلید همه‌ی این درها. درس کد یک‌بارمصرف گفت کد پیامکی به شماره فرستاده می‌شه، نه به گوشی شما. این درس می‌گه این یعنی چی، و چطور ازش در امون بمونید.

سیم‌کارت چیه

سیم‌کارت، به انگلیسی SIM Card، کوتاه‌شده‌ی Subscriber Identity Module، یعنی «تیکه‌ی شناسایی مشترک»، یه تراشه‌ی کوچیکه که به شبکه‌ی اپراتور می‌گه این گوشی، صاحب کدوم خطه. شماره‌ی تلفن روی خود سیم‌کارت حک نشده؛ اپراتور توی سیستم خودش نوشته که فلان شماره، مال فلان سیم‌کارته.

یعنی شماره‌ی تلفن بیشتر شبیه یه نشانی پستیه تا یه کلید. شما نامه‌ها رو توی خونه‌تون می‌گیرید چون اداره‌ی پست نوشته این نشانی مال این خونه‌ست. اگه یکی بره اداره‌ی پست و بگه «من صاحب این نشانی‌ام، از این به بعد نامه‌ها رو بفرستید خونه‌ی جدیدم»، و کارمند باور کنه، نامه‌های شما به اون می‌رسه، بی اینکه کسی به خونه‌ی شما دست زده باشه.

چطور انجامش می‌دن

• مدرک جعلی. با یه کارت شناسایی جعلی، یا کپی مدرک‌های شما که از یه جا لو رفته، به اسم «سیم‌کارتم گم شده» سیم‌کارت تازه می‌گیرن.
• همدست. یه فروشنده یا کارمند که پول می‌گیره و بی بررسی درست، کار رو انجام می‌ده. این اتفاق توی خیلی از کشورها گزارش شده.
• فریب پشتیبانی. با پشتیبانی اپراتور تماس می‌گیرن و با اطلاعاتی که از شما جمع کردن، مثل کد ملی، تاریخ تولد و آخرین شارژ، خودشون رو جای شما جا می‌زنن. درس مهندسی اجتماعی.
• حساب کاربری اپراتور. اگه به برنامه یا سایت اپراتور، که با اون خط رو مدیریت می‌کنید، دسترسی پیدا کنن، ممکنه بتونن خدمات خط رو عوض کنن.
• انتقال شماره. بعضی جاها شماره رو به اپراتور دیگه منتقل می‌کنن؛ نتیجه همونه، شماره از دست شما می‌ره.

روش دقیق تعویض سیم‌کارت بین اپراتورها و با گذشت زمان فرق می‌کنه؛ ولی هر راهی که اپراتور برای آدم‌هایی که سیم‌کارت گم کردن گذاشته، همون راهیه که کلاهبردار دنبالشه. چیزی که توی همه‌ش مشترکه: هر چی اطلاعات شخصی شما راحت‌تر پیدا بشه، جا زدن خودشون به جای شما راحت‌تره.

چی به دستشون میاد

با شماره‌ی شما، کلاهبردار سراغ هر حسابی می‌ره که با پیامک باز می‌شه. اول ایمیل: «رمز رو فراموش کردم»، کد به شماره میاد، رمز عوض می‌شه. با ایمیل، رمز بقیه‌ی حساب‌ها هم عوض می‌شه. بعد پیام‌رسان‌ها: کد ورود به شماره میاد و حساب، با همه‌ی گروه‌ها و مخاطب‌ها، دستشه. بعد شبکه‌های اجتماعی، و هر جایی که پیامک کد بانک یا رمز پویا لازمه.

برای همینه که سیم‌سواپ معمولا کار یه کلاهبردار حرفه‌ایه و هدفش پول یا حساب‌های باارزشه. ولی همین که ممکنه، دلیل کافیه که حساب‌های مهم رو طوری ببندید که فقط با یه پیامک باز نشن.

بانک، صرافی و کیف پول

بیشتر سیم‌سواپ‌های بزرگی که توی دنیا گزارش شده، دنبال پول بودن، و بیشترشون دنبال رمزارز، چون انتقال رمزارز برگشت نداره. صرافی‌های اینترنتی و کیف پول‌هایی که برای برداشت فقط یه کد پیامکی می‌خوان، بهترین هدفن. اگه توی همچین جایی حساب دارید، اول از همه ورود دومرحله‌ای رو از پیامک به برنامه‌ی تایید ببرید، اگه امکانش هست برای برداشت، فهرست نشانی‌های مجاز بذارید، و هیچ‌جا نگید چقدر دارایی دارید.

برای بانک هم یه نکته‌ی کوچیک: پیامک‌های هشدار تراکنش، که برای هر برداشت میاد، یه زنگ خطر طبیعیه. وقتی شماره دزدیده می‌شه، این پیامک‌ها هم دیگه به شما نمی‌رسه. اگه برنامه‌ی رسمی بانک اعلان تراکنش رو داخل خود برنامه هم نشون می‌ده، روشنش کنید، تا حتی بی پیامک هم از برداشت‌ها باخبر بشید.

چرا یکی هدف می‌شه

سیم‌سواپ وقت و خطر داره، پس کلاهبردار سراغ کسی می‌ره که فکر می‌کنه ارزشش رو داره: کسی که توی شبکه‌های اجتماعی از پول، رمزارز یا کسب‌وکارش زیاد حرف می‌زنه، صفحه‌ی پرطرفدار اینستاگرام داره، یا شماره‌ش همه‌جا روی آگهی‌ها هست. و کسی که اطلاعات شخصیش راحت پیدا می‌شه، چون جا زدن به جای اون راحت‌تره.

این یعنی دو کار ساده کمک می‌کنه: کمتر درباره‌ی دارایی‌ها حرف زدن، و کمتر پخش کردن اطلاعاتی مثل کد ملی، تاریخ تولد و عکس کارت شناسایی. هیچ‌وقت عکس کارت ملی رو برای کسی که نمی‌شناسید نفرستید، حتی به اسم «احراز هویت» برای یه خرید یا یه جایزه.

انتقال تماس، سیم‌سواپ بی سیم‌کارت

یه ترفند ساده‌تر هست که نتیجه‌ش شبیه سیم‌سواپه، ولی به اپراتور هم نیاز نداره: انتقال تماس، به انگلیسی Call Forwarding. گوشی‌ها می‌تونن تماس‌های ورودی رو به یه شماره‌ی دیگه بفرستن، و این کار با یه کد ساده انجام می‌شه که با ستاره و مربع شروع می‌شه و آخرش یه شماره‌ست. کلاهبردار به یه بهونه، مثلا «برای فعال کردن جایزه» یا «برای درست کردن آنتن»، از شما می‌خواد یه کد رو بگیرید. شما می‌گیرید، و از اون به بعد تماس‌هاتون به گوشی اون می‌ره.

حالا اون توی سایت یا پیام‌رسان، به جای پیامک، «کد با تماس صوتی» رو انتخاب می‌کنه، و تماسی که کد رو می‌خونه، به جای گوشی شما، به گوشی اون می‌رسه. قانونش ساده‌ست: هیچ کدی که با ستاره و مربع شروع می‌شه رو به خواست کسی که نمی‌شناسید، نگیرید. توی بیشتر گوشی‌ها و شبکه‌ها، با گرفتن کد استاندارد *#21# می‌تونید ببینید انتقال تماس روشنه یا نه، و توی تنظیمات تماس گوشی، بخش انتقال تماس (Call Forwarding)، خاموشش کنید.

حساب‌ها رو از شماره جدا کنید

شما نمی‌تونید کار کارمند اپراتور رو کنترل کنید، ولی می‌تونید کاری کنید که حتی اگه شماره‌تون رفت، حساب‌ها نرن. یعنی حساب‌های مهم فقط به پیامک تکیه نکنن:

1. برای ایمیل، ورود دومرحله‌ای رو با برنامه‌ی تایید یا پس‌کی روشن کنید و اگه می‌شه، پیامک رو از راه‌های مرحله‌ی دوم بردارید. گوگل توی راهنماش می‌گه اعلان ورود روی گوشی، جلوی سیم‌سواپ رو هم می‌گیره.
2. کدهای بازیابی رو روی کاغذ نگه دارید، تا بی پیامک هم برگردید.
3. یه ایمیل بازیابی محکم کنار شماره‌ی بازیابی بذارید.
4. برای مدیر رمز، شماره نباید راه بازیابی باشه.

درس‌های ورود دومرحله‌ای و پس‌کی همین‌ها رو قدم‌به‌قدم گفتن.

قفل دوم پیام‌رسان

پیام‌رسان‌ها از همه بیشتر به شماره بسته‌ان، چون ورودشون با کد پیامکیه. برای همین مهم‌ترین کار بعد از ایمیل، روشن کردن قفل دوم پیام‌رسانه، همون که اسمش رو «تایید دومرحله‌ای» گذاشتن: یه رمز یا یه عدد که بعد از کد پیامکی پرسیده می‌شه. با این قفل، حتی کسی که شماره‌ی شما رو داره و کد پیامکی رو می‌گیره، پشت در دوم می‌مونه. درس‌های واتساپ و تلگرام قدم‌به‌قدمش رو می‌گن.

PIN و PUK

سیم‌کارت دو تا رمز داره. PIN، کوتاه‌شده‌ی Personal Identification Number، یعنی «عدد شناسایی شخصی»، همون رمز چهار تا هشت رقمیه که موقع روشن شدن می‌زنید. PUK، کوتاه‌شده‌ی Personal Unblocking Key، یعنی «کلید باز کردن شخصی»، یه رمز بلندتره برای وقتی که PIN رو چند بار اشتباه زدید و سیم‌کارت قفل شده.

اپل توی راهنماش یه هشدار مهم داره: PIN یا PUK رو حدس نزنید. اگه PIN رو چند بار اشتباه بزنید، سیم‌کارت PUK می‌خواد، و اگه PUK رو هم چند بار اشتباه بزنید، سیم‌کارت برای همیشه قفل می‌شه و باید یه سیم‌کارت تازه بگیرید. اگه PIN یادتون رفته، از اپراتور بپرسید؛ PUK معمولا روی کارت بزرگی که سیم‌کارت ازش جدا شده نوشته شده، یا اپراتور بهتون می‌ده. اون کارت رو جای امن، جدا از گوشی، نگه دارید.

گوشی دزدیده‌شده

یه راه ساده‌تر از سیم‌سواپ: دزد گوشی رو می‌دزده، نمی‌تونه قفلش رو باز کنه، ولی سیم‌کارت رو درمیاره و توی یه گوشی دیگه می‌ذاره. حالا پیامک‌ها و کدها به اون گوشی می‌رن. اینجاست که رمز سیم‌کارت کار می‌کنه: سیم‌کارت توی گوشی دیگه، بی رمز، هیچ کاری نمی‌کنه.

اگه گوشی‌تون دزدیده شد، با رمز سیم‌کارت یا بی اون، همون روز سیم‌کارت رو از اپراتور مسدود کنید و یه سیم‌کارت تازه با همون شماره بگیرید، و بعد از دستگاه دیگه، دستگاه دزدیده‌شده رو از حساب‌ها بیرون کنید. درس وقتی حساب از دست رفت قدم‌های کامل گوشی گم‌شده رو داره.

حساب کاربری اپراتور

خیلی‌ها برنامه یا سایت اپراتور رو برای شارژ و بسته‌ی اینترنت دارن، و همونجا خیلی از کارهای خط هم انجام می‌شه. این حساب خودش یه در به خط شماست. اگه با یه رمز ساده یا تکراری بازه، یا روی گوشی‌ای وارد شده که دیگه دستتون نیست، محکمش کنید: رمز جدا از مدیر رمز، و اگه امکانش هست، قفل یا ورود دومرحله‌ای. اگه اپراتور گزینه‌ای داره که برای تعویض سیم‌کارت یا انتقال شماره، تایید بیشتری بخواد، روشنش کنید.

خط‌هایی که به نام شماست

یه خطر نزدیک به سیم‌سواپ اینه که با مدرک‌های شما، یه خط تازه به نامتون گرفته بشه و برای کلاهبرداری از بقیه استفاده بشه. طبق اطلاعیه‌هایی که چند سال اخیر توی خبرها اومده، توی ایران می‌شه کد ملی رو به سامانه‌ی پیامکی 3000150 فرستاد، یا توی سایت سازمان تنظیم مقررات ارتباطات (cra.ir)، بخش حقوق کاربران، استعلام گرفت که چند خط از هر اپراتور به نام شماست؛ هر چند روز یه بار. چون این سامانه‌ها ممکنه عوض بشن، اگه کار نکرد، از اپراتور خودتون بپرسید.

اگه خطی دیدید که مال شما نیست، با کارت شناسایی به دفتر خدمات همون اپراتور برید و قطعش کنید.

شماره‌ی عمومی جدا

شماره‌ای که روی آگهی، کارت ویزیت یا صفحه‌ی اینستاگرام کاری می‌ذارید، به دست هزاران نفر می‌رسه، از جمله کسایی که دنبال هدفن. اگه می‌تونید، یه خط دوم داشته باشید: یکی عمومی برای کار و آگهی، و یکی خصوصی که فقط حساب‌های مهم، مثل بانک و ایمیل، بهش وصلن و جایی منتشر نمی‌شه. این‌طوری کسی که شماره‌ی عمومی شما رو داره، نمی‌دونه کدها کجا میان.

شماره و حریم خصوصی

شماره‌ی موبایل فقط کلید حساب‌ها نیست؛ یه جور شناسنامه‌ی دیجیتاله. چون خط به نام آدم ثبت می‌شه و آدم سال‌ها یه شماره رو نگه می‌داره، با یه شماره می‌شه خیلی چیزها رو به هم وصل کرد: حساب پیام‌رسان، صفحه‌ی اجتماعی، آگهی‌های فروش، حتی عکس پروفایل. هر چی شماره‌تون جاهای بیشتری باشه، هم برای سیم‌سواپ راحت‌تر هدف می‌شید، هم کسی که شماره رو داره، بیشتر درباره‌تون می‌فهمه.

توی تنظیمات حریم خصوصی پیام‌رسان‌ها، معمولا می‌شه تعیین کرد چه کسی شماره‌تون رو ببینه و چه کسی با شماره بتونه پیداتون کنه؛ روی «مخاطب‌ها» یا «هیچ‌کس» بذاریدش. موقع ثبت‌نام توی سایت‌ها هم، اگه شماره اجباری نیست، ندیدش. درس امنیت و حریم خصوصی یعنی چی فرق این دو تا رو گفت؛ اینجا هر دو با هم بازی می‌کنن.

وقتی شماره عوض می‌کنید

1. تا خط قدیمی هنوز دستتونه، فهرست حساب‌هایی که بهش وصلن رو بنویسید؛ پیامک‌های کد قدیمی کمک می‌کنن.
2. توی هر حساب، شماره‌ی تازه رو اضافه کنید و بعد قدیمی رو بردارید؛ اول ایمیل و بانک.
3. پیام‌رسان‌ها معمولا گزینه‌ی «عوض کردن شماره» دارن که حساب رو با همه‌ی گروه‌ها منتقل می‌کنه؛ از همون استفاده کنید، نه ساختن حساب تازه.
4. فقط بعد از همه‌ی این‌ها، خط قدیمی رو رها کنید.

وقتی اتفاق افتاد

1. از یه گوشی دیگه، به پشتیبانی اپراتور زنگ بزنید و بگید سیم‌کارتتون بی‌دلیل از کار افتاده و ممکنه تعویض شده باشه؛ بخواید خط رو مسدود کنن.
2. با کارت شناسایی به دفتر اپراتور برید و سیم‌کارت تازه با شماره‌ی خودتون بگیرید.
3. هم‌زمان، از یه کامپیوتر یا دستگاه مطمئن، رمز ایمیل رو عوض کنید و دستگاه‌های ناشناس رو بیرون کنید.
4. به بانک زنگ بزنید و کارت‌ها رو تا روشن شدن ماجرا مسدود کنید.
5. به دوستان و خانواده از راه دیگه خبر بدید که از طرف شما پول یا کد نخوان.
6. بعد از برگشتن شماره، حساب‌ها رو یکی‌یکی از پیامک جدا کنید (بخش «حساب‌ها رو از شماره جدا کنید»).
7. اگه پولی برداشته شد، با مدرک‌ها، شکایت رسمی ثبت کنید.

خانواده و پدر و مادرها

خیلی وقت‌ها خط پدر و مادر یا پدربزرگ و مادربزرگ، به حساب‌های بانکی‌شون وصله، و خودشون کمتر می‌دونن «بی سرویس» شدن گوشی می‌تونه یعنی چی. چند تا کار کوچیک که می‌تونید براشون بکنید: رمز سیم‌کارتشون رو روشن کنید و رمزش رو جایی که پیدا کنن بنویسید؛ کارت PUK رو کنار مدارک مهمشون بذارید؛ قفل دوم پیام‌رسانشون رو روشن کنید؛ و یه قانون ساده بهشون بگید: «اگه گوشی یهو آنتن نداشت و گوشی بقیه داشت، اول به من زنگ بزن».

و قانون کدها رو هم براشون تکرار کنید: هیچ کدی که با ستاره و مربع شروع می‌شه رو به خواست کسی نگیرن، و هیچ کد پیامکی رو به هیچ‌کس نگن، حتی اگه طرف گفت از اپراتور یا بانکه.

سیم‌کارت الکترونیکی

توی خیلی از کشورها، سیم‌کارت دیگه یه تیکه‌ی پلاستیکی نیست؛ یه سیم‌کارت الکترونیکی، به انگلیسی eSIM، داخل خود گوشیه که اپراتور از راه دور روش خط می‌ذاره. اونجا سیم‌سواپ گاهی از راه حساب کاربری اپراتور و انتقال eSIM انجام می‌شه، نه با سیم‌کارت تازه. ولی توی ایران هنوز سیم‌کارت الکترونیکی برای همه نیومده و بیشتر آدم‌ها سیم‌کارت معمولی دارن، پس همون راه‌های این درس، یعنی تعویض و المثنی سیم‌کارت و دزدیدن سیم‌کارت، مهم‌ترن. اگه یه روز eSIM گرفتید، همون قانون‌ها سر جاشه: حساب کاربری اپراتور رو محکم کنید و حساب‌های مهم رو از پیامک جدا.

از کجا اومد

سیم‌سواپ از وقتی مهم شد که پیامک کد، راه رایج ورود و بازیابی حساب‌ها شد. یکی از معروف‌ترین نمونه‌هاش سال ۲۰۱۹ بود: حساب توییتر خود مدیرعامل توییتر با سیم‌سواپ گرفته شد و ازش پیام‌های توهین‌آمیز منتشر شد، چون اون موقع توییتر اجازه می‌داد با فرستادن پیامک به شماره‌ی حساب، پست منتشر بشه. اون اتفاق نشون داد اگه حتی صاحب خود یه شرکت بزرگ از سیم‌سواپ در امون نیست، بقیه هم نیستن.

از اون موقع خیلی از سرویس‌های بزرگ، پیامک رو از راه اصلی ورود به یه راه پشتیبان تبدیل کردن و به جاش برنامه‌ی تایید، اعلان و پس‌کی گذاشتن، و اپراتورها توی خیلی از کشورها برای تعویض سیم‌کارت، بررسی بیشتری اضافه کردن. ولی تا وقتی پیامک هنوز راه بازیابی خیلی از حساب‌هاست، سیم‌سواپ هم هست.

اشتباه‌های رایج

• «گوشی بی‌آنتن شد، گفتم فردا درست می‌شه.» اگه بقیه آنتن دارن، همون لحظه به اپراتور خبر بدید.
• «همه‌ی حساب‌هام فقط با پیامک باز می‌شن.» یه شماره‌ی دزدیده‌شده، همه‌شون رو باز می‌کنه.
• «رمز سیم‌کارت رو حدس زدم.» چند حدس اشتباه، سیم‌کارت رو برای همیشه قفل می‌کنه؛ از اپراتور بپرسید.
• «عکس کارت ملیم رو برای احراز هویت یه خرید فرستادم.» با همین عکس می‌شه به جای شما سیم‌کارت گرفت.
• «خط قدیمی رو ول کردم و حساب‌ها هنوز بهش وصلن.» صاحب تازه‌ی شماره، کدهاشون رو می‌گیره.
• «پیام‌رسانم قفل دوم نداره.» هر کی شماره رو بگیره، حساب رو هم گرفته.

آخرین بررسی راهنمای رسمی اپل: ۲۴ مهر ۱۴۰۵.