Bir eSIM hacklenebilir mi?

Bu ayrım önemlidir, çünkü çabanızı nereye harcayacağınızı belirler. Çipe yapacağınız hiçbir şey işe yaramaz. İşe yarayan şey, numaranızı kontrol eden hesabı kilitlemek ve paranızı koruyan kodları SMS’ten tamamen uzaklaştırmaktır.

• Çip sağlamdır. Profil kimlik bilgileri, kurcalamaya dayanıklı güvenli bir bileşende durur ve hiçbir zaman okunabilir biçimde dışarı verilmez.
• Evrak zayıftır. Telefon numaraları, sadece bir isim, bir adres ve inandırıcı bir hikâyenin gücüyle profiller arasında taşınabilir.
• Ödül, veri değil numaradır. Bir saldırgan, numaranızın aldığı SMS kodlarını ister — sadece veri sunan bir eSIM’in asla sahip olmadığı şey de tam olarak budur.

Bu rehberin geri kalanı, bir saldırının gerçekte inebileceği dört noktayı tek tek ele alır, ardından önemli olan tek noktayı kapatan kontrol listesini verir.

“Bir eSIM’i hacklemek” tek bir şey değildir. Zorluk dereceleri birbirinden çok farklı dört ayrı hedef vardır ve bunları birbirine karıştırmak, insanların yanlış olanı dert etmesine yol açar.

Bu listeyi çaba sırasına göre okuyun: bir saldırgan en alttan başlar ve ancak zorunda kalırsa yukarı çıkar. Destek hattına bir telefon açmak işe yarıyorsa kimse çipe saldırmaz.

Bir SIM takası, bir telefon numarasının çalınmasıdır. Saldırgan telefonunuza asla dokunmaz ve hiçbir şifrelemeyi kırmaz. Operatörünüzü, sizin olduğuna ve hizmetin yeni bir SIM karta ya da yeni bir eSIM profiline taşınması gerektiğine ikna eder. O andan itibaren, size gelmesi gereken her arama ve mesaj, onun yerine kendi cihazında çalar.

1. 01
   Bilgileri toplarlar

   Adınız, numaranız, doğum tarihiniz, adresiniz ve bir kartın son dört hanesi. Veri sızıntıları, sosyal medya ve size atılan samimi bir telefon görüşmesi bunların neredeyse tamamını sağlar.

2. 02
   Operatörle iletişime geçerler

   Destek hattı, sohbet ya da bir mağaza gişesi. Hikâye sıradan ve sıkıcıdır: kaybolmuş bir telefon, kırık bir cihaz, bir yükseltme. Onaylanan şey, tam olarak sıradan ve sıkıcı olandır.

3. 03
   Numara taşınır

   Hattınız ölür. Onlarınki, genellikle dakikalar içinde, sizin numaranızla hayat bulur.

4. 04
   Ulaşabildikleri her şeyi sıfırlarlar

   E-posta, banka, borsa, bulut depolama. Her “şifremi unuttum” bir SMS koduyla gönderilir ve bu SMS artık onların telefonuna ulaşır.

5. 05
   Boşaltıp kaybolurlar

   Önce kripto hesapları, çünkü bu transferler geri alınamaz. Tüm süreç genellikle bir saat içinde, çoğu zaman da gece yarısı tamamlanır.

Dürüst bir rehberin bunu açıkça söylemesi gerekir: eSIM, SIM takasını yaratmadı, ama onu yavaşlatan sürtünmeyi ortadan kaldırdı. Postalanacak bir plastik kart, gidilecek bir mağaza yok — yerine konan hat, anında düzenlenen bir QR koddur.

• Teslimat anındadır. Eski saldırı, postadaki bir kartı ya da sahte kimlikle mağazaya girmeyi gerektiriyordu. Yenisi ise yalnızca bir e-posta adresi ve bir ekran görüntüsü gerektirir.
• Ölçeklenir. Bir web formuna indirgenebilen her şey, herhangi bir yerden, aynı anda birçok kurbana karşı çalıştırılabilir.
• Kurban bunu daha sonra fark eder. Sabah 3’teki bir takas, sabaha kadar kötü çekim gibi görünür ve saldırgan için işe yarar zaman aralığı dakikalarla ölçülür.
• Kendi kendine hizmet portalı artık bir hedeftir. Bir operatör çevrimiçi hesabınızdan bir eSIM sağlamanıza izin veriyorsa, o girişi çalmak yeterlidir — destek hattıyla konuşmaya gerek kalmaz.

Bunların hiçbiri eSIM’e karşı bir argüman değildir. Bir profili taşımayı zorlaştıran aynı kalıcılık, bir eSIM’in çalıntı bir telefona plastikten daha iyi dayanmasının da nedenidir — ataçla açılacak bir tepsi, çıkarılıp yeniden kullanılacak bir kart yoktur.

Endişelenmenizi gerektirecek hiçbir şekilde değil. İnsanlar bir eSIM’in hacklenip hacklenemeyeceğini sorduğunda gerçekte kastettikleri soru budur ve teknolojinin gerçek anlamda dayandığı tek nokta da burasıdır.

• Anahtarlar çipten asla çıkmaz. Bir profil, sertifikalı ve kurcalamaya dayanıklı güvenli bir bileşen olan eUICC’de yaşar. Sırları onun içinde kullanılır ve hiçbir zaman okunabilir biçimde dışarı aktarılmaz — ne işletim sistemine, ne bir uygulamaya, ne de size.
• Her iki uç da kimliğini kanıtlar. Bir profil indirmesi, karşılıklı doğrulamalı bir kanal üzerinden yürür: sunucu kendini çipe, çip de kendini sunucuya kanıtlar; bunu, hiçbir tarafın sahtesini üretemeyeceği sertifikalarla yapar.
• Bir profil tek bir çipe bağlıdır. Belirli bir eUICC için şifrelenmiştir. QR kodunu, etkinleştirme dizesini ya da dosyayı kopyalamak, bir saldırgana yalnızca kendi donanımının açamayacağı bir yük kazandırır.
• Kod tek kullanımlıktır. Bir profil indirildikten sonra, etkinleştirme kodu harcanmış olur. Daha sonra sızan bir ekran görüntüsü artık hiçbir şey kurmaz.

İnsanların belli belirsiz hatırladığı eski klonlama saldırıları, teknolojinin başka bir dönemine aittir ve eSIM var olmadan çok önce kullanımdan kaldırılmış algoritmalara karşı işliyordu. Bunlar tarihtir, güncel bir risk değil.

Bir SIM takasının her adımı tek bir varlığı hedefler: telefon numarasını, çünkü kodları alan numaradır. Numarayı ortadan kaldırın, saldırının hedefi kalmaz. Sadece veri sunan bir seyahat eSIM’inin numarası yoktur, SMS alamaz ve hiçbir isme bağlı değildir.

Bu, tehdit modeli rehberimizde baştan sona işleyen aynı yapısal argümandır: bir şeyi hiç toplamayan bir hizmet onu sızdıramaz, hiç numarası olmamış bir hat da bir numarasını çaldırtamaz. Bu, birinin tutması gereken bir vaat değildir — bir yokluktur.

Sizi gerçekten koruyan kısım burasıdır ve bir kereliğine yaklaşık yirmi dakika sürer. Listeyi sırayla uygulayın — ilk iki madde saldırıyı doğrudan engeller, geri kalanı ise başka bir şey ters giderse hasarı sınırlar.

1. 01
   Bir numara taşıma PIN’i ya da numara kilidi açın

   Neredeyse her büyük operatör artık SIM koruması, numara kilidi ya da taşıma dondurma gibi bir adla bunu sunuyor. Siz kaldırmadıkça hattınızın her türlü transferini engeller. Bu sayfadaki en değerli tek ayardır ve genellikle varsayılan olarak kapalıdır.

2. 02
   Kodlarınızı SMS’ten uzaklaştırın

   Önemli olan her hesabı — önce e-posta, sonra banka ve borsa — bir kimlik doğrulayıcı uygulamaya ya da bir donanım anahtarına geçirin. Numaraların çalınmasının nedeni SMS kodlarıdır; ödülü ortadan kaldırın, saldırı kazandırmayı bıraksın.

3. 03
   Numaranızı bir kurtarma yöntemi olmaktan çıkarın

   Birçok hesap, uygulama tabanlı iki faktörlü doğrulama açık olsa bile numaranıza sıfırlama kodu göndermeye devam eder; bu da az önce kapattığınız açığı sessizce yeniden açar. Seçenek varsa numarayı silin.

4. 04
   Operatör hesabınıza gerçek bir parola belirleyin

   Köpeğinizin adı değil, doğum yılınız değil, profilinizde herkesin okuyabileceği bir güvenlik sorusunun cevabı hiç değil. Diğer her şeyle birlikte bir parola yöneticisinde saklayın.

5. 05
   Doğum gününüzü ve adresinizi herkese açık profillerden uzak tutun

   Destek hattının sizi doğrulamak için kullandığı alanlar tam olarak bunlardır. Yayımladığınız her biri, sizmiş gibi arayan herkes için bedava bir kimlik bilgisidir.

• E-postayla başlayın. Gelen kutunuzu kim kontrol ederse geri kalanının çoğunu sıfırlayabilir, bu yüzden kullanmaya razı olduğunuz en güçlü yöntemi hak eder.
• Hesabın desteklediği yerlerde bir donanım anahtarını ya da bir geçiş anahtarını tercih edin. İkisi de kimlik avıyla ele geçirilemez, yönlendirilemez ya da kilit ekranından okunamaz.
• Yedek kodlarınızı ihtiyaç duymadan önce çevrimdışı olarak saklayın — kağıt üzerinde, telefon olmayan bir yerde.
• Yurt dışında sadece veri sunan bir eSIM kullanın ki ev hattınız seyahat boyunca boşta kalsın. Kimsenin kullanmadığı bir hat, kimsenin sizin için izlemediği bir hattır — üstelik yalnızca ziyaret ettiğiniz bir ülkede bir dolaşım kaydı daha az demektir.

Takaslar, erken yakalarsanız atlatılabilir ve neye bakacağınızı bildiğinizde erken sinyal kesinlikle fark edilir. Telefonunuz size numaranızın çalındığını haber vermez. Sadece hizmet almayı bırakır.

• Ev hattınızda aniden beliren “Hizmet Yok” ya da SOS yazısı, hep çalıştığı bir yerde, içeride, başka hiçbir yerde bir kesinti olmadan.
• Aramalar ve mesajlar ulaşmayı keserken Wi-Fi uygulamalarının normal şekilde çalışmaya devam etmesi — kaybolanın internet değil hat olduğunun işareti.
• Talep etmediğiniz bir SIM değişikliği ya da numara transferi mesajı. Bazı operatörler bunu gönderir; görmezden gelmek yerine okumaya değer.
• İstemediğiniz şifre sıfırlama e-postaları, özellikle birkaç dakika içinde art arda gelen birkaç tanesi.
• Bir saat önce sorunsuz çalışan bir cihazda hesaplardan atılmak.

1. 01
   Operatörünüzü başka bir telefondan arayın

   “Sanırım numaram SIM takasına uğradı” deyin ve hattı dondurmalarını isteyin. Burada hız kibarlıktan daha önemlidir — her dakika, başka birine ulaşan bir sıfırlama kodu daha demektir.

2. 02
   Önce paranızı kilitleyin

   Banka, ardından saklama tabanlı girişi olan herhangi bir borsa ya da cüzdan. E-postayı toparlamaya başlamadan önce kartları dondurun ve transferleri durdurun.

3. 03
   Parolaları temiz bir cihazdan değiştirin

   Her şeyden önce e-posta, sonra SMS kodu kullanan her şey. Az önce hattını kaybeden telefonu değil, bir dizüstü bilgisayar ya da ikinci bir telefon kullanın.

4. 04
   İki faktörlü doğrulamayı düzgünce yeniden kurun

   Numaranızı geri aldığınızda, aynı saldırının gelecek ay tekrarlanamaması için o hesapları bir kimlik doğrulayıcı uygulamaya ya da bir anahtara geçirin.

Gerçekten var olan eSIM’e özgü dolandırıcılıklar, çipe yapılan saldırılar değildir. Bunlar, uyarlanmış sıradan internet dolandırıcılıklarıdır: ödemeyi alıp hiçbir şey teslim etmeyen bir mağaza, seçmediğiniz birinden bir profil kuran bir QR kod, yardım teklif ederek yanıtlarınızda beliren bir destek hesabı.

• Yalnızca kendi istediğiniz kodları tarayın. Bir mesajdan, bir forum yanıtından ya da bir hostelde bir çıkartmadan gelen QR kod, bir yabancının kontrolündeki bir profili kurmaya davettir. Diğer profillerinizi okuyamaz, ama trafiğinizi taşıyabilir.
• Kullanılmamış bir kodu nakit gibi görün. Kurulumdan önce o bir hamiline yazılı kupondur — onu fotoğraflayan herkes paketi sizin yerinize kurabilir. Vakit kaybetmeden kurun, önemi kalmasın.
• Gerçek mağazadan satın alın. Yeniden satış küçük bir sektör hâline geldi: aynı paket, üzerine fiyat konmuş, sonrasında destek alma imkânı olmayan taklit bir sayfadan satılıyor.
• Meşru hiç kimsenin token’ınıza ihtiyacı yoktur. Hesabınızın ta kendisi olan kodu isteyen destek, destek değildir. Bizimkinde bu, kayıt sırasında kaydettiğiniz XXXX-XXXX-XXXX-XXXX dizesidir ve giriş kutusu dışında hiçbir yere yazılmamalıdır.
• Ödeme yapmadan önce alan adını kontrol edin, özellikle adres çubuğunun yarı gizli olduğu bir telefonda. Ödeme sayfaları, bir sebepten dolayı internetteki en çok kopyalanan sayfalardır.

Gizlilik konusunda uyguladığımız aynı dürüstlük burada da geçerlidir. Telefon numarasını ortadan kaldırmak, bir saldırı kategorisini tamamen ortadan kaldırır ve diğerlerini tam olarak oldukları yerde bırakır.

• Ele geçirilmiş bir cihaz, ele geçirilmiş kalır. Ekranınızı gören bir kötü amaçlı yazılım, kimlik doğrulayıcı kodlarını da metin mesajları kadar kolay okur. Hiçbir SIM teknolojisi buna yardımcı olmaz.
• Kimlik avı hâlâ işe yarar. En yaygın hesap ele geçirme yöntemi, hâlâ birinin gerçek bir parolayı ikna edici sahte bir sayfaya yazmasıdır. Geçiş anahtarları ve donanım anahtarları bunu engeller; veri eSIM’i engellemez.
• Ağ, trafiğinizin şeklini hâlâ görür. Anonim satın alma, şifreli taşıma değildir — bu argüman anonim bir eSIM’in neyi gizleyip neyi gizleyemediği rehberinde tam olarak ele alınır.
• Donanımınız hâlâ tanımlanabilir. Telefonlar, hangi profil kurulu olursa olsun kendilerini baz istasyonlarına bildirir; takip rehberinin ortaya koyduğu gibi.
• Güvenilmeyen ağlar hâlâ güvenilmezdir. Güçlendirilmiş bir hat, sonrasında bağlandığınız otel Wi-Fi’si için hiçbir şey yapmaz — bu risk kendi başına ayrı bir rehberin konusudur.

Basitçe söylemek gerekirse: sadece veri sunan bir eSIM, SIM takası saldırganlarının peşinde olduğu varlığı ortadan kaldırır; bir numara taşıma kilidi ise elinizde kalan numarayı korur. İkisi birlikte, insanlara gerçek para kaybettiren açığı kapatır. Bunun bağlantı tarafını bugün istiyorsanız, ülkeye özel paketler destinasyonlar sayfasında yer alır ve satın alma işlemi isim, e-posta ya da kart olmadan yaklaşık beş dakika sürer.