การโจมตีด้วยการสลับซิม (เรียกอีกอย่างว่าการหลอกลวงพอร์ตเอาต์การแยกซิม [ ^{1 ]}การขโมยซิม^และ การสลับซิม ) ^{[ 2 ]}เป็นการฉ้อโกงประเภทการเข้ายึดบัญชีที่โดยทั่วไปมุ่งเป้าไปที่จุดอ่อนในการตรวจสอบสิทธิ์แบบสองปัจจัยและการยืนยันแบบสองขั้นตอนโดยที่ปัจจัยหรือขั้นตอนที่สองคือข้อความ (SMS)หรือการโทรไปยังโทรศัพท์มือถือ

การฉ้อโกงนี้ใช้ประโยชน์จากความสามารถของผู้ให้บริการโทรศัพท์มือถือในการโอนย้ายหมายเลขโทรศัพท์ไปยังอุปกรณ์ที่มีซิ มการ์ด ( Subscriber Identity Module หรือ SIM) ที่แตกต่างกันได้อย่างราบรื่น คุณสมบัติ การโอนย้ายหมายเลขโทรศัพท์มือถือนี้มักใช้เมื่อโทรศัพท์สูญหายหรือถูกขโมย หรือลูกค้าเปลี่ยนผู้ให้บริการไปใช้โทรศัพท์เครื่องใหม่

การหลอกลวงเริ่มต้นด้วยผู้ฉ้อโกงรวบรวมรายละเอียดส่วนบุคคลเกี่ยวกับเหยื่อ ไม่ว่าจะโดยการใช้ อีเมล ฟิชชิ่งโดยการซื้อจากอาชญากรที่จัดตั้งขึ้น^{[ 3 ]} โดย การใช้เทคนิคทางสังคมกับเหยื่อโดยตรง^{[ 4 ]}หรือโดยการดึงข้อมูลจากการรั่วไหลของข้อมูลออนไลน์^{[ 5 ]}

เมื่อได้รายละเอียดเหล่านี้แล้ว ผู้ฉ้อโกงจะติดต่อผู้ให้บริการโทรศัพท์มือถือของเหยื่อ ผู้ฉ้อโกงจะใช้เทคนิคทางสังคมเพื่อโน้มน้าวให้พนักงานของบริษัทโทรศัพท์โอนหมายเลขโทรศัพท์ของเหยื่อไปยังซิมของผู้ฉ้อโกง ตัวอย่างเช่น โดยการปลอมตัวเป็นเหยื่อโดยใช้รายละเอียดส่วนตัวเพื่อให้ดูเหมือนจริงและอ้างว่าทำโทรศัพท์หาย หรืออีกทางหนึ่ง ผู้ฉ้อโกงจะติดสินบนพนักงานโทรคมนาคมเพื่อโอนหมายเลขโทรศัพท์ของเหยื่อไปยังซิมใหม่^{[ 6 ]} ในบางประเทศ โดยเฉพาะอินเดียและไนจีเรีย ผู้ฉ้อโกงจะต้องโน้มน้าวให้เหยื่ออนุมัติการเปลี่ยนซิมโดยการกด 1 ^{[ 7 ] [ 8 ] [ 4 ]}

เมื่อได้ข้อมูลส่วนบุคคลของเหยื่อแล้ว ผู้โจมตีมักจะปลอมตัวเป็นเหยื่อขณะติดต่อ ฝ่ายบริการ สนับสนุนทางเทคนิคของ ผู้ให้บริการ โทรคมนาคมและพยายามโน้มน้าวให้พนักงานเปลี่ยนหมายเลขโทรศัพท์ ของเหยื่อ ไปยังซิมการ์ดของตน^{[ 9 ] [ 10 ]}ในบางกรณี พนักงาน ของบริษัทโทรศัพท์ถูกผู้โจมตีติดสินบนให้เปลี่ยนหมายเลขซิมการ์ดโดยตรง^{[ 11 ] [ 5 ]}ผู้โจมตีได้ค้นหาพนักงานของบริษัทต่างๆ รวมถึงT-MobileและVerizonผ่านโซเชียลมีเดียหรือสมุดรายชื่อพนักงานเพื่อพยายามติดสินบนพวกเขา บางครั้งสัญญาว่าจะให้เงินในสกุลเงินดิจิทัลสำหรับแต่ละหมายเลขโทรศัพท์ที่พวกเขาโอน^{[ 12 ] [ 13 ]}

เมื่อเหตุการณ์นี้เกิดขึ้น โทรศัพท์ของเหยื่อจะขาดการเชื่อมต่อกับเครือข่าย และมิจฉาชีพจะได้รับข้อความ SMS และสายเรียกเข้าทั้งหมด ซึ่งทำให้มิจฉาชีพสามารถดักจับรหัสผ่านแบบใช้ครั้งเดียวที่ส่งผ่านข้อความหรือการโทรไปยังหมายเลขของเหยื่อ และทำลายวิธีการยืนยันตัวตนสองขั้นตอนที่ใช้รหัสผ่านเหล่านั้นได้ เนื่องจากบริการจำนวนมากอนุญาตให้รีเซ็ตรหัสผ่านได้โดยใช้เพียงหมายเลขโทรศัพท์สำหรับกู้คืนเท่านั้น การหลอกลวงนี้จึงทำให้มิจฉาชีพสามารถเข้าถึงบัญชีเกือบทุกบัญชีที่เชื่อมโยงกับหมายเลขที่ถูกแฮ็กได้ ซึ่งอาจทำให้พวกเขาสามารถโอนเงินจากบัญชีธนาคารโดยตรง ข่มขู่เจ้าของที่แท้จริง หรือขายบัญชีในตลาดมืดเพื่อการขโมยข้อมูลส่วนบุคคลและการฉ้อโกงต่อไปได้

มีการแฮ็กที่มีชื่อเสียงหลายครั้งโดยใช้การสลับซิม รวมถึงบางครั้งบนเว็บไซต์โซเชียลมีเดียอย่างInstagramและTwitterในปี 2019 บัญชี Twitter ของJack Dorsey ซีอีโอของ Twitter ถูกแฮ็กด้วยวิธีนี้ ^{[ 14 ] [ 15 ]}

ในเดือนธันวาคม 2018 ไมเคิล เทอร์พิ นนักลงทุนสกุลเงินดิจิทัลผู้ก่อตั้งและประธานเจ้าหน้าที่บริหารของ Transform Group ได้ยื่นฟ้องร้องนิโคลัส ทรูเกลีย และในเดือนพฤษภาคม 2020 ได้ยื่นฟ้องร้องครั้งที่สองต่อเอลลิส พินสกี นักเรียนมัธยมปลายอายุ 18 ปีจาก โรงเรียน Irvington High Schoolใน เมือง เออร์วิงตัน รัฐนิวยอร์กโดยกล่าวหาว่าพวกเขาและผู้สมรู้ร่วมคิดอีก 20 คน ฉ้อโกงเงิน 23.8 ล้านดอลลาร์ในปี 2018 โดยใช้ข้อมูลบัญชีที่ถูกขโมยจากสมาร์ทโฟนด้วยการสลับซิม ในขณะนั้น ทรูเกลียอายุ 18 ปี และเอลลิสอายุ 15 ปี ทรูเกลียถูกตัดสินจำคุก 18 เดือนและถูกสั่งให้คืนเงิน 20 ล้านดอลลาร์ ส่วนพินสกีถูกสั่งให้คืนเงิน 22 ล้านดอลลาร์ แต่เนื่องจากเป็นผู้เยาว์จึงไม่ต้องรับโทษจำคุก^{[ 16 ] [ 17 ] [ 18 ] [ 19 ]}  

รายงาน Microsoft Digital Defense Report 2024 ระบุว่าการโจมตีข้อมูลประจำตัวน้อยกว่าหนึ่งในสามของหนึ่งเปอร์เซ็นต์ใช้การสลับซิม (เมื่อเทียบกับ 99 เปอร์เซ็นต์สำหรับการโจมตีแบบเล่นซ้ำการละเมิด การสุ่มรหัสผ่าน และการฟิชชิ่ง ) ^{[ 20 ]}

FBI ของสหรัฐฯ ได้รับเรื่องร้องเรียนเกี่ยวกับการสลับซิมการ์ด 1,600 เรื่องในปี 2021 ซึ่งเพิ่มขึ้นมากกว่า 400 เปอร์เซ็นต์จากปี 2018 ^{[ 21 ] [ 22 ]} "FBI ระบุว่าเหยื่อสูญเสียเงิน 68 ล้านดอลลาร์จากการหลอกลวงโดยใช้ซิมการ์ดนี้ในปี 2021 เมื่อเทียบกับเพียง 12 ล้านดอลลาร์รวมกันตั้งแต่ปี 2018 ถึง 2020" ^{[ 21 ]}เรื่องร้องเรียนเกี่ยวกับการสลับซิมการ์ดต่อ FBI ในปี 2022 เพิ่มขึ้น 26 เปอร์เซ็นต์ เป็น 2,026 เรื่อง จากนั้นลดลง 47 เปอร์เซ็นต์ เหลือ 1,075 เรื่องในปี 2023 และลดลง 9 เปอร์เซ็นต์ เหลือ 982 เรื่องในปี 2024 จุดสูงสุดในปี 2022 คิดเป็นน้อยกว่า 0.3 เปอร์เซ็นต์ของอาชญากรรมทางอินเทอร์เน็ตทั้งหมดที่รายงาน รวมถึงการฟิชชิ่ง/การปลอมแปลง (44 เปอร์เซ็นต์) การละเมิดข้อมูล (8 เปอร์เซ็นต์) และการขโมยข้อมูลส่วนบุคคล (4 เปอร์เซ็นต์) ^{[ 23 ]}

รายงานการสลับซิมไปยังฐานข้อมูลการฉ้อโกงแห่งชาติของสหราชอาณาจักรเพิ่มขึ้นกว่า 1,000 เปอร์เซ็นต์ตั้งแต่ปี 2023 ถึง 2024 แต่รายงาน 2,760 กรณีคิดเป็นน้อยกว่าหนึ่งเปอร์เซ็นต์ของรายงานการฉ้อโกงทั้งหมด^{[ 24 ]}

Safaricom ของเคนยา ซึ่งให้บริการโทรศัพท์ประมาณสองในสามของโทรศัพท์ 70 ล้านเครื่องในเคนยา ประสบกับการสลับซิมเพิ่มขึ้น 327 เปอร์เซ็นต์ตั้งแต่ปี 2024 ถึง 2025 โดยเพิ่มขึ้นจาก 11 กรณีเป็น 47 กรณี^{[ 25 ]}

ในเกาหลีใต้มีการบันทึกเหตุการณ์โจมตีด้วยการสลับซิมต่างๆ ที่ถูกกล่าวหาไว้ตั้งแต่ต้นปี 2022 รูปแบบทั่วไปคือเหยื่อจะพบกับการหยุดชะงักของบริการมือถืออย่างกะทันหัน พร้อมกับการแจ้งเตือนที่บ่งบอกถึงการเปลี่ยนแปลง ส่งผลให้ผู้ที่ได้รับผลกระทบพบว่าบัญชีธนาคารและ บัญชี คริปโตเคอร์เรนซี ของตน ถูกบุกรุก^{[ 26 ]}