Een Londenaar die meehielp met het runnen van een SIM-swapfraudeoperatie waarbij bijna £200.000 ($264.200) aan cryptocurrency van vier BT-klanten werd weggesluisd, is veroordeeld tot tweeënhalf jaar gevangenisstraf, aldus de City of London Police donderdag. De zaak begon met ongeautoriseerde activiteit die in 2021 op de systemen van BT werd gedetecteerd.

Gestolen geld besteed aan vakanties in Dubai, appartement in Canary Wharf en gouden grills

Ajay Shinjin, 25, ook bekend als AJ Marley Cruz, stak meer dan £44.000 ($58.124) van het gestolen geld op eigen zak, aldus onderzoekers. Volgens de politie gaf hij het geld uit aan vakanties in Dubai, een luxe appartement in Canary Wharf en vergulde tandgrills.

Shinjin, woonachtig Marsh Wall in Canary Wharf, bekende op 28 september schuld aan samenzwering tot fraude door vals voorwendsel en het overdragen van crimineel vermogen. De straf werd opgelegd door de Inner London Crown Court.

Een SIM-swap is een aanval waarbij het telefoonnummer van een slachtoffer wordt overgezet naar een SIM-kaart die door een crimineel wordt beheerd. Zodra criminelen het nummer in handen hebben, kunnen ze de eenmalige toegangscodes onderscheppen die banken en crypto-beurzen per sms versturen, en deze gebruiken om in te breken op slachtofferaccounts. Omdat die sms-codes een veelgebruikte beveiligingslaag zijn voor bank- en beurslogins, kan een geslaagde swap die bescherming tenietdoen, en cryptotransacties zijn eenmaal voltooid doorgaans onomkeerbaar. Amerikaanse wetshandhavers, waaronder de FBI, hebben consumenten geadviseerd waardevolle accounts te beveiligen met authenticatie via apps of hardware in plaats van sms-codes.

In begin november 2021 detecteerde BT ongeautoriseerde activiteit op zijn systemen, nadat criminelen telefoonnummers van klanten hadden overgezet naar SIM-kaarten in hun bezit. De telecomoperator herleidde de apparaten die die nummers ontvingen — eSIM-geschikte telefoons, elk met twee IMEI-nummers. De data van BT wees de politie op verschillende verdachten, en Shinjin werd gekoppeld aan vier van de apparaten.

Vier slachtoffers in november 2021 getroffen

De politie identificeerde in november 2021 vier slachtoffers van gestolen crypto:

• De eerste verloor ongeveer £40.000 ($52.840) op 2 november, waarvan ongeveer £27.000 werd herleid tot Shinjins persoonlijke crypto-account.
• Het volledige verlies van het tweede slachtoffer, ongeveer £17.000 ($22.457), genomen 5 en 7 november, werd later teruggevonden in Shinjins wallet.
• Bij een derde slachtoffer werd ongeveer £8.000 ($10.568) weggenomen van een Coinbase-account op 3 november. De politie zei dat Shinjin die diefstal faciliteerde voordat het geld werd doorgegeven.
• De zwaarste klap kwam voor een vierde slachtoffer, dat tussen 6 en 7 november ongeveer £130.000 ($171.730) aan crypto verloor. De politie zei dat Shinjin ook die diefstal faciliteerde.

Shinjin werd in 2021 voor het eerst gearresteerd in zijn appartement. Nadat nieuw bewijs naar boven kwam, werd hij in oktober 2023 opnieuw gearresteerd bij aankomst op Heathrow Airport op een vlucht vanuit Dubai. Hij deed tijdens verhoren geen uitlatingen.

"SIM-swapfraude is een geavanceerde en steeds zorgelijkere vorm van criminaliteit, en deze zaak toont de verwoestende gevolgen die het voor slachtoffers kan hebben", zei Detective Constable Simon Ardeman van de City of London Police. Ardeman voegde toe dat de veroordeling laat zien dat technologische fraude kan worden onderzocht en vervolgd.

De veroordeling kwam ruim vier jaar na de melding van de diefstallen, een periode die illustreert hoe lang zaken rond technologische fraude kunnen lopen van eerste detectie tot een rechtsuitspraak. In mei meldde Cryptopolitan dat tien mensen in Engeland waren aangeklaagd in verband met een telefoonoplichting waarin bellers zich zouden hebben voorgedaan als politieagenten en medewerkers van een cryptobedrijf om wallet-seed phrases te bemachtigen, waarbij ten minste één slachtoffer £300.000 verloor.

Apart daarvan hielpen de FBI en Homeland Security Investigations de cybercrimepolitie op 25 juni bij het arresteren van vier verdachten in Polen. Het viertal wordt ervan beschuldigd SIM-swapaanvallen te hebben uitgevoerd om accounts bij crypto-beurzen leeg te halen. Naast de veroordeling van Shinjin laten deze zaken zien dat SIM-swap- en telefoongerelateerde fraude tegen cryptobezitters in meerdere rechtsgebieden aandacht van handhavers trekt, waarbij de tien aangeklaagden in Engeland en de vier gearresteerden in Polen zich nog in eerdere fasen van het juridische proces bevinden.