Atak SIM swap: jak działa i jak chronić kryptowaluty

Atak SIM swap polega na tym, że przestępca przekonuje Państwa operatora komórkowego do przeniesienia numeru telefonu na kartę SIM, którą sam kontroluje. Od tej chwili połączenia i SMS-y, w tym linki do resetowania haseł i kody logowania wysyłane SMS-em, trafiają do atakującego, który wykorzystuje je do włamania się na konta e-mail, giełdowe i bankowe.

Posiadacze kryptowalut są ulubionym celem, ponieważ skradzione monety szybko się przemieszczają i trudno je odzyskać. Ten przewodnik wyjaśnia, jak działają ataki SIM swap, jak często do nich dochodzi, przedstawia dwie sprawy sądowe ilustrujące ten schemat, opisuje działania amerykańskiej Federal Communications Commission (FCC) oraz kroki, które naprawdę chronią.

Czym jest SIM swap

FCC definiuje SIM swapping jako sytuację, w której sprawca przekonuje „operatora sieci bezprzewodowej ofiary do przeniesienia usługi ofiary z jej telefonu komórkowego na telefon komórkowy będący w posiadaniu sprawcy”. Bliską odmianą jest oszustwo port-out: atakujący zakłada konto u innego operatora na nazwisko ofiary i doprowadza do przeniesienia („przeportowania”) numeru do tej sieci (komunikat prasowy FCC, 15 listopada 2023 r.).

W obu przypadkach atakujący nie musi nawet dotykać Państwa telefonu. Wystarczy, że operator uzna go za Państwa albo że znajdzie się pracownik operatora gotowy pomóc.

Jak przebiega atak SIM swap

FBI opisuje trzy drogi dostępu do operatora (FBI IC3, luty 2022 r.):

• Socjotechnika. Przestępca podszywa się pod ofiarę i namawia operatora do przeniesienia numeru na nową kartę SIM. FCC zauważa, że oszuści zbierają potrzebne dane z mediów społecznościowych lub kupują je od hakerów: adres, datę urodzenia, kody PIN lub hasła do konta oraz cztery ostatnie cyfry amerykańskiego numeru ubezpieczenia społecznego (Social Security number).
• Pomoc osoby z wewnątrz. Przestępca płaci pracownikowi operatora za dokonanie zmiany.
• Phishing wymierzony w pracowników operatora. Pracownicy są nakłaniani do zainstalowania złośliwego oprogramowania, które pozwala atakującemu samodzielnie przeprowadzać zmiany.

Po przeniesieniu numeru atak zamienia się w wyścig z czasem. Przestępca wysyła prośby „Nie pamiętam hasła” do każdego konta powiązanego z numerem, odbiera SMS-em linki resetujące i kody jednorazowe, a następnie blokuje właścicielowi dostęp. FCC opisuje, że atakujący próbuje zresetować „jak najwięcej kont finansowych i społecznościowych ofiary, zanim ofiara zorientuje się, że straciła zasięg”.

FBI ostrzega też przed dwiema subtelniejszymi odmianami: przekierowaniem połączeń i jednoczesnym dzwonieniem, w których przestępca skłania operatora do przekierowania połączeń lub uruchomienia dzwonienia na drugim telefonie, co również może obejść weryfikację telefoniczną (FBI IC3, kwiecień 2024 r.).

Jak częste są ataki SIM swap

Najbardziej szczegółowe publiczne dane pochodzą ze zgłoszeń przyjmowanych przez FBI. Od stycznia 2018 r. do grudnia 2020 r. IC3 otrzymało 320 skarg dotyczących SIM swap, ze skorygowanymi stratami w wysokości około 12 mln USD. W samym 2021 r. otrzymało 1 611 skarg ze skorygowanymi stratami przekraczającymi 68 mln USD. Ówczesne ostrzeżenie FBI dotyczyło wprost przestępców wykorzystujących SIM swap do kradzieży z „rachunków w walutach fiducjarnych i wirtualnych”.

Dane ze skarg obejmują tylko to, co zgłaszają ofiary, więc należy traktować je jako dolną granicę, a nie pełny obraz.

Głośne przypadki SIM swap

Dwie niedawne sprawy karne w USA pokazują, jak atak jest wykorzystywany w praktyce:

• Konto SEC na X (styczeń 2024 r.). Atakujący przejęli konto amerykańskiej Securities and Exchange Commission na platformie X i fałszywie ogłosili zatwierdzenie funduszów ETF na Bitcoina. Według Departamentu Sprawiedliwości Eric Council Jr. przeprowadził SIM swap, drukując fałszywy dowód tożsamości z danymi osobowymi ofiary i wykorzystując go do przejęcia jej numeru telefonu. Bitcoin wzrósł o ponad 1 000 USD po fałszywym wpisie, a po sprostowaniu spadł o ponad 2 000 USD. 16 maja 2025 r. Council został skazany na 14 miesięcy więzienia (US Department of Justice).
• Kradzieże kryptowalut powiązane ze Scattered Spider. Noah Michael Urban z Palm Coast na Florydzie został 21 sierpnia 2025 r. skazany na 10 lat więzienia federalnego. Według prokuratury od sierpnia 2022 r. do marca 2023 r. ukradł kryptowaluty co najmniej 59 ofiarom za pomocą ataków SIM swap, a łączne straty przekroczyły 13 mln USD. Nakazano mu zapłatę 13 mln USD tytułem naprawienia szkody (US Attorney's Office, Middle District of Florida).

Sprawa SEC przypomina, że nawet duża organizacja z dużymi zasobami nie jest bezpieczna, jeśli numer telefonu jest najsłabszym ogniwem.

Czego wymagają przepisy FCC

15 listopada 2023 r. FCC przyjęła przepisy wymierzone w SIM swap i oszustwa port-out. Zobowiązują one operatorów sieci bezprzewodowych do stosowania bezpiecznych metod uwierzytelniania klientów przed przeniesieniem numeru na nowe urządzenie lub do innego operatora, do natychmiastowego powiadamiania klientów o złożeniu wniosku o zmianę karty SIM lub przeniesienie numeru oraz do podejmowania dalszych działań przeciwko takim oszustwom.

Sytuacja prawna jest bardziej złożona, niż sugeruje wiele artykułów. Przepisy opublikowano w Federal Register 8 grudnia 2023 r., ale postanowienia dotyczące zbierania informacji, w tym wymogi powiadamiania klientów, odroczono do czasu ogłoszenia przez FCC daty wejścia w życie (Federal Register). Na dzień 7 października 2026 r. sekcja przepisów dotycząca zmiany karty SIM, 47 CFR 64.2010(h), nadal oznacza ustępy o powiadomieniach jako „reserved” i stanowi, że ich przestrzeganie „nie będzie wymagane, dopóki ten ustęp nie zostanie usunięty lub nie będzie zawierał daty zapewnienia zgodności” (eCFR). Tekst ten zakazuje też operatorom uwierzytelniania zmian karty SIM na podstawie łatwo dostępnych danych biograficznych lub danych konta.

W praktyce operatorzy już oferują kody PIN do konta oraz blokady zmiany SIM lub przeniesienia numeru. Nie warto czekać na regulacje, aby je włączyć.

Jak chronić się przed SIM swap

Nie da się powstrzymać przestępców przed obraniem Państwa za cel, ale można sprawić, by przejęty numer telefonu był dla nich bezużyteczny:

1. Zablokuj konto u operatora. Ustaw kod PIN lub hasło do konta u operatora i poproś o blokadę zmian karty SIM oraz przeniesienia numeru, dopóki samodzielnie jej nie zdejmiesz. FBI zaleca również poproszenie operatora o wyłączenie przekierowania połączeń i jednoczesnego dzwonienia.
2. Usuń SMS jako metodę logowania lub odzyskiwania konta na giełdach, w poczcie e-mail i menedżerach haseł. Wytyczne NIST, agencji rządu USA, klasyfikują kody SMS i głosowe jako „ograniczony” (restricted) środek uwierzytelniania (NIST SP 800-63B-4).
3. Używaj passkeys lub sprzętowego klucza bezpieczeństwa. CISA zauważa, że ataki SIM swap nie mają zastosowania do uwierzytelniania FIDO/WebAuthn, które nazywa złotym standardem (CISA). Kolejną najlepszą opcją jest aplikacja uwierzytelniająca.
4. Najpierw zabezpiecz pocztę e-mail. Przez konto e-mail można zresetować wszystko inne, więc zapewnij mu najsilniejszą ochronę.
5. Nie ujawniaj swoich zasobów. Pierwsza rada FBI to nie chwalić się posiadaniem kryptowalut w mediach społecznościowych ani na forach. Atakujący wybierają cele, które wydają się warte wysiłku.
6. Ustaw unikalne hasło do poczty głosowej i ograniczaj dane osobowe publikowane w sieci.

Pomaga też przechowywanie długoterminowych zasobów w portfelu niecustodialnym, ponieważ portfel self-custody jest kontrolowany kluczem prywatnym, a nie numerem telefonu. Ryzyko przesuwa się wtedy na ochronę frazy seed (seed phrase), której nigdy nie należy przechowywać w notatkach, zdjęciach ani kopii zapasowej telefonu w chmurze.

Sygnały ostrzegawcze i co robić

Według FCC pierwszym sygnałem jest zwykle utrata zasięgu lub możliwość wykonywania wyłącznie połączeń alarmowych. Inne wskazówki to SMS-y o zmianie karty SIM, o którą Państwo nie prosili, lub alerty logowania przychodzące, gdy telefon nie ma sieci.

W razie podejrzenia ataku SIM swap FBI i FCC radzą:

1. Natychmiast skontaktować się z operatorem z innego telefonu, aby odzyskać kontrolę nad numerem.
2. Zmienić hasła do poczty e-mail i kont finansowych, zaczynając od poczty.
3. Skontaktować się z giełdami i bankami z prośbą o zamrożenie wypłat i oznaczenie podejrzanych logowań.
4. Zgłosić sprawę lokalnej policji, a w USA również FBI pod adresem ic3.gov. Można też złożyć skargę do FCC, która sugeruje ustanowienie alertu o oszustwie w raportach kredytowych.

SIM swap jest zwykle pierwszym krokiem szerszego przejęcia konta, dlatego należy sprawdzić każde konto, które korzystało z numeru telefonu, a nie tylko to, na którym zauważono problem.

Najczęściej zadawane pytania

Czym jest atak SIM swap?

To oszustwo, w którym przestępca przekonuje operatora komórkowego do przeniesienia Państwa numeru telefonu na kartę SIM, którą sam kontroluje. Następnie odbiera połączenia i SMS-y, w tym kody logowania SMS i linki do resetowania haseł, i wykorzystuje je do przejęcia kont.

Jak rozpoznać, że padło się ofiarą SIM swap?

Najczęstszym sygnałem jest nagła utrata zasięgu lub możliwość wykonywania wyłącznie połączeń alarmowych. Może też przyjść powiadomienie o zmianie karty SIM, o którą Państwo nie prosili, albo alerty logowania i resetowania hasła, których Państwo nie wywołali.

Czy SIM swap pozwala ukraść kryptowaluty z portfela sprzętowego?

Nie bezpośrednio. Portfel sprzętowy ani inny portfel self-custody nie jest kontrolowany numerem telefonu, tylko kluczem prywatnym. Zagrożone są konta giełdowe i poczta e-mail korzystające z kodów SMS, a także każda fraza seed zapisana w telefonie lub w kopiach zapasowych w chmurze.

Czy aplikacja uwierzytelniająca chroni przed SIM swap?

Tak, przed samym SIM swap, ponieważ kody z aplikacji nie są przesyłane przez sieć telefoniczną. Passkeys i sprzętowe klucze bezpieczeństwa idą dalej, bo są też odporne na phishing.

Czy operatorzy są prawnie zobowiązani do zapobiegania SIM swap?

FCC przyjęła w listopadzie 2023 r. przepisy wymagające bezpiecznego uwierzytelniania przed zmianą karty SIM i natychmiastowego powiadamiania klientów. Na dzień 7 października 2026 r. tekst przepisów federalnych stanowi, że przestrzeganie sekcji dotyczącej zmiany karty SIM nie jest jeszcze wymagane do czasu ustalenia daty zapewnienia zgodności, dlatego warto sprawdzić, jakie zabezpieczenia oferuje Państwa operator.

Czytaj dalej

• Oszustwa polegające na przejęciu konta w kryptowalutach
• Przewodnik po samodzielnym przechowywaniu kryptowalut
• Czym jest fraza seed?
• Oszustwa kryptowalutowe w 2026 r.
• Hot wallet a cold wallet

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej, w zakresie bezpieczeństwa ani finansowej. Dane o skargach pochodzą z komunikatu FBI IC3 I-020822-PSA (luty 2022 r.); szczegóły spraw pochodzą z komunikatów Departamentu Sprawiedliwości USA z 16 maja 2025 r. i 21 sierpnia 2025 r.; status 47 CFR 64.2010(h) sprawdzono na podstawie tekstu eCFR obowiązującego 7 października 2026 r. Źródła sprawdzono 9 października 2026 r.