SIM-swapper die crypto stal krijgt 2,5 jaar cel in Londen

Een Londenaar die meedeed aan een SIM-swapping-operatie waarbij vier slachtoffers samen bijna 260.000 dollar aan cryptovaluta kwijtraakten, is veroordeeld tot tweeënhalf jaar gevangenisstraf.

De 25-jarige Ajay Shinjin uit Canary Wharf, een zakenwijk in het oosten van Londen, kreeg donderdag zijn straf van de Inner London Crown Court. In Engeland en Wales behandelt de Crown Court zware strafzaken. Shinjin, die ook de naam AJ Marley Cruz gebruikt, bekende in september schuld aan samenzwering tot fraude door misleiding en aan het overmaken van crimineel geld.

Volgens de City of London Police gaf hij de buit uit aan luxevakanties in Dubai en vergulde tandgrills.

Zo werkte de fraude

De fraude vond plaats in november 2021. De criminelen zetten de telefoonnummers van slachtoffers over naar simkaarten die zij zelf in handen hadden, waardoor ze de nummers in hun macht kregen.

Met die nummers konden ze de eenmalige beveiligingscodes ontvangen die banken en cryptoplatforms per sms versturen. Zo omzeilden ze de beveiliging van accounts en kwamen ze binnen bij de bankrekeningen en cryptowallets van de slachtoffers.

De activiteit werd als eerste opgemerkt door BT, het Britse telecombedrijf. Dat stuitte op ongeautoriseerde activiteit in zijn systemen en ontdekte dat telefoonnummers van klanten waren overgezet naar simkaarten van criminelen.

Rechercheurs volgden het spoor naar meerdere apparaten die elektronische simkaarten, oftewel eSIM's, ondersteunen. Met de gegevens van BT kon de politie een groep verdachten in beeld brengen. Shinjin werd in verband gebracht met vier van de apparaten die bij de fraude werden gebruikt.

Vier slachtoffers, één week

De politie identificeerde vier slachtoffers van wie de cryptoaccounts in de eerste week van november 2021 werden gekraakt:

• Eén slachtoffer verloor ongeveer 40.000 pond (58.000 dollar) aan cryptovaluta, waarvan zo'n 27.000 pond (35.000 dollar) op Shinjins persoonlijke cryptoaccount belandde.
• Een tweede raakte ongeveer 17.000 pond (22.000 dollar) kwijt. Rechercheurs traceerden het volledige bedrag naar de wallet van Shinjin.
• Bij een derde werd ongeveer 8.000 pond (10.000 dollar) weggehaald van een Coinbase-account.
• Een vierde verloor cryptovaluta ter waarde van ongeveer 130.000 pond (172.000 dollar).

Volgens de politie hielp Shinjin bij de derde en vierde diefstal, al ging het geld in die gevallen naar andere rekeningen.

Twee keer opgepakt

Shinjin werd in 2021 voor het eerst gearresteerd in zijn appartement in Londen. Nadat er extra bewijs was gevonden, werd hij in oktober 2023 opnieuw opgepakt op Heathrow Airport, toen hij terugkwam uit Dubai. Tijdens de politieverhoren weigerde hij vragen te beantwoorden.

Detective Constable Simon Ardeman van de City of London Police sprak van "een complexe en berekende fraude die een aantal slachtoffers aanzienlijke financiële schade heeft berokkend." Hij voegde eraan toe dat "SIM-swapfraude een geavanceerde en steeds zorgwekkendere vorm van criminaliteit is."

Volgens het politiekorps laat de uitkomst zien dat wie technologie misbruikt voor financiële fraude, daarvoor ter verantwoording wordt geroepen. "Deze veroordeling is een duidelijk signaal dat wie technologie gebruikt om fraude te plegen, voor de rechter wordt gebracht," aldus de politie.

Onze analyse

De zaak herinnert eraan dat een telefoonnummer een zwak fundament is voor accountbeveiliging. Zodra aanvallers het nummer in handen hebben, beschermen sms-codes helemaal niets meer. Dat wijst erop dat vooral cryptobezitters moeten stoppen met codes per sms zodra een platform sterkere opties biedt. Onze recente berichtgeving over het gebruik van passkeys laat zien dat zelfs securityprofessionals die overstap maar traag maken.

Opvallend is ook dat de provider het misbruik ontdekte en niet de slachtoffers, en dat de gegevens van BT doorslaggevend waren om verdachten op te sporen. Ook de rol van eSIM's verdient aandacht: die laat zien hoe nummers kunnen worden overgezet zonder dat er ook maar één fysieke kaart van eigenaar wisselt.

De doorlooptijden blijven lang. De diefstallen dateren uit 2021 en de straf volgde pas jaren later. Vergelijkbare vertragingen zien we bij andere vervolgingen voor cryptodiefstal. Het is de moeite waard om in de gaten te houden of de andere verdachten die dankzij de gegevens van BT in beeld kwamen, ook worden vervolgd, en of Britse providers de controles op het overzetten van nummers aanscherpen.