Số vụ hoán đổi SIM trái phép do tổ chức phòng chống gian lận Cifas của Anh ghi nhận đã tăng vọt 1.055% trong năm 2024 lên gần 3.000 vụ, rồi tăng thêm 38% trong năm 2025, trong khi tại Mỹ, số đơn khiếu nại hoán đổi SIM gửi FBI giảm xuống 982 trong năm 2024 từ đỉnh 2.026 năm 2022. Hai con số đó chỉ về hai hướng ngược nhau, và cả hai đều đúng: hoán đổi SIM là một tội phạm cửa ngõ mà thiệt hại thường được ghi nhận dưới một nhãn khác. Bức tranh lớn hơn là chiếm đoạt tài khoản, vốn gây thiệt hại hơn 15 tỷ USD cho người tiêu dùng Mỹ trong năm 2025 theo Javelin Strategy and Research, và được Cifas đếm là hơn 78.000 vụ tại Anh trong cùng năm. Để xem bức tranh rộng hơn về tội phạm danh tính, hãy tham khảo thống kê trộm cắp danh tính của chúng tôi. Chúng tôi đã tổng hợp dữ liệu từ FBI Internet Crime Complaint Center, FTC, FCC, Cifas, Javelin Strategy and Research, NIST, các nhà nghiên cứu Đại học Princeton, các cơ quan quản lý viễn thông tại Ấn Độ, Úc, Tây Ban Nha và Bỉ, cùng hồ sơ tòa án do Commsrisk đưa tin.
Tóm tắt nhanh
- 982 đơn khiếu nại hoán đổi SIM và thiệt hại 25.983.946 USD được báo cáo cho FBI năm 2024, giảm từ 2.026 đơn và 72.652.571 USD năm 2022 (FBI IC3 Internet Crime Reports).
- 1.611 đơn khiếu nại hoán đổi SIM và hơn 68 triệu USD thiệt hại năm 2021, so với 320 đơn và khoảng 12 triệu USD cho cả giai đoạn 2018 đến 2020 gộp lại (FBI IC3 PSA, tháng 2 năm 2022).
- Số vụ hoán đổi SIM trái phép tại Anh tăng 1.055% năm 2024 lên gần 3.000 vụ (Cifas Fraudscape 2025).
- Số vụ hoán đổi SIM trái phép tăng thêm 38% trong năm 2025 (Cifas Fraudscape 2026).
- Hơn 78.000 vụ chiếm đoạt tài khoản tại Anh năm 2025, chiếm 18% tổng số hồ sơ (Cifas Fraudscape 2026).
- 48% số vụ chiếm đoạt tài khoản tại Anh năm 2024 liên quan đến tài khoản điện thoại di động (Cifas, tháng 5 năm 2025).
- Thiệt hại do chiếm đoạt tài khoản tại Mỹ vượt 15 tỷ USD năm 2025, ảnh hưởng đến 6 triệu người tiêu dùng (Javelin Strategy and Research, Identity Fraud Study 2026).
- 1.008.597 đơn khiếu nại và tổng thiệt hại 20,877 tỷ USD được báo cáo cho FBI năm 2025, tăng 26% (báo cáo FBI IC3 2025).
- Hơn 99% các yêu cầu đổi SIM và chuyển số ra mạng khác là hợp pháp (FCC Report and Order 23-95, tháng 11 năm 2023).
- Tìm thấy 17 trang web mà chỉ riêng việc hoán đổi SIM là đủ để chiếm đoạt tài khoản (Lee và cộng sự, Princeton, SOUPS 2020).
- 27.000 vụ hoán đổi SIM trái phép tại T-Mobile từ năm 2016 đến tháng 2 năm 2020, theo bằng chứng trong một vụ trọng tài trị giá 33 triệu USD (Commsrisk, tháng 9 năm 2025).
- Ấn Độ yêu cầu chờ 7 ngày trước khi chuyển số sau khi thay SIM, có hiệu lực từ ngày 1 tháng 7 năm 2024 (TRAI qua Commsrisk).
1. Thiệt hại Hoán đổi SIM Được Báo cáo tại Mỹ: Đỉnh Năm 2022, Rồi Giảm Dài
FBI là cơ quan duy nhất của Mỹ công bố một dòng riêng về hoán đổi SIM mỗi năm, và chuỗi số liệu của họ có hình dạng khác thường. Thông báo dịch vụ công tháng 2 năm 2022 của Internet Crime Complaint Center đếm được 320 đơn khiếu nại với khoảng 12 triệu USD thiệt hại trong giai đoạn 2018 đến 2020, rồi 1.611 đơn khiếu nại và hơn 68 triệu USD thiệt hại chỉ riêng năm 2021. Thiệt hại được báo cáo đạt đỉnh năm 2022 ở mức 72.652.571 USD với 2.026 đơn khiếu nại và giảm mỗi năm kể từ đó, xuống còn 25.983.946 USD năm 2024 (FBI IC3 2024 Internet Crime Report).
Hãy đọc mức giảm này cẩn thận. Số đơn khiếu nại giảm 51,5% từ năm 2022 đến 2024 (từ 2.026 xuống 982), nhưng thiệt hại giảm nhanh hơn, 64,2% (từ 72,65 triệu USD xuống 25,98 triệu USD), nên thiệt hại trung bình được báo cáo trên mỗi đơn giảm từ khoảng 35.860 USD năm 2022 xuống khoảng 26.460 USD năm 2024 (do chúng tôi chia từ tổng số của IC3). Con số năm 2023, khoảng 45.394 USD mỗi đơn, là điểm cao nhất. Hoán đổi SIM thường là bước đầu tiên của một vụ trộm tiền mã hóa, chiếm đoạt tài khoản ngân hàng hoặc xâm nhập email, và nạn nhân thường báo cáo kết quả cuối cùng chứ không phải phương thức, vì vậy dòng số liệu của IC3 đo những gì được gắn nhãn hoán đổi SIM, chứ không phải mọi cuộc tấn công có sử dụng nó.
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Đơn khiếu nại và thiệt hại hoán đổi SIM, gộp 2018 đến 2020 | 320 đơn, khoảng 12 triệu USD | FBI IC3 PSA 220208, tháng 2 năm 2022 |
| Đơn khiếu nại và thiệt hại hoán đổi SIM, 2021 | 1.611 đơn, hơn 68 triệu USD | FBI IC3 PSA 220208, tháng 2 năm 2022 |
| Đơn khiếu nại và thiệt hại hoán đổi SIM, 2022 | 2.026 đơn, 72.652.571 USD | FBI IC3 Internet Crime Report |
| Đơn khiếu nại và thiệt hại hoán đổi SIM, 2023 | 1.075 đơn, 48.798.103 USD | FBI IC3 Internet Crime Report 2024 |
| Đơn khiếu nại và thiệt hại hoán đổi SIM, 2024 | 982 đơn, 25.983.946 USD | FBI IC3 Internet Crime Report 2024 |
| Thay đổi số đơn khiếu nại, 2022 đến 2024 | -51,5% (từ 2.026 xuống 982) | Tính toán từ dữ liệu FBI IC3 |
| Thiệt hại trung bình được báo cáo trên mỗi đơn, 2022 / 2023 / 2024 | Khoảng 35.860 USD / 45.394 USD / 26.460 USD | Tính toán từ dữ liệu FBI IC3 |
Ghi chú bối cảnh: báo cáo IC3 2025 cho thấy hoán đổi SIM chiếm khoảng 10% các mối đe dọa hàng đầu trong bảng phân tích mối đe dọa, sau các vụ rò rỉ dữ liệu (39%) và mã độc tống tiền (36%), ngang với phần mềm độc hại (9%) và botnet (7%), theo CyberScoop. Chúng tôi không thể đọc dòng đơn khiếu nại hoán đổi SIM năm 2025 trong bản sao báo cáo đã tải về, vì vậy chuỗi số liệu ở trên dừng ở năm 2024.
2. Chiếm Đoạt Tài Khoản: Loại Tội Phạm Mà Hoán Đổi SIM Tiếp Sức
Nếu thiệt hại do hoán đổi SIM trông nhỏ, đó là vì tiền di chuyển dưới một tiêu đề khác. Thiệt hại do chiếm đoạt tài khoản tại Mỹ vượt 15 tỷ USD năm 2025 và ảnh hưởng đến 6 triệu người tiêu dùng, số nạn nhân tăng 18% so với năm 2024 (Javelin Strategy and Research, Identity Fraud Study 2026). Con số đó tương đương khoảng 2.500 USD mỗi nạn nhân (15 tỷ USD chia cho 6 triệu), thấp hơn một bậc độ lớn so với một đơn khiếu nại hoán đổi SIM trung bình của IC3, phù hợp với quy luật rằng các vụ cướp số điện thoại tốn kém nhất cuối cùng được báo cáo cho FBI, còn các vụ chiếm đoạt thẻ và tài khoản ngân hàng thông thường được các tổ chức phát hành tự hấp thụ.
Tổng hóa đơn gian lận vẫn đang tăng tại FBI, dù khảo sát người tiêu dùng của Javelin cho thấy tổng thiệt hại đang dịu đi. IC3 nhận được 1.008.597 đơn khiếu nại năm 2025 với thiệt hại 20,877 tỷ USD, tăng 26% so với 16,6 tỷ USD năm 2024 (SecurityWeek). Ngược lại, Javelin đo được tổng thiệt hại do gian lận danh tính và lừa đảo giảm xuống 38 tỷ USD năm 2025, giảm 9 tỷ USD, trong đó gian lận danh tính đi ngang ở mức 27,3 tỷ USD và thiệt hại do lừa đảo giảm 45% xuống 10,7 tỷ USD. Các nạn nhân lớn tuổi chịu một phần không tương xứng trong tổng số của FBI, một chủ đề chúng tôi theo dõi trong thống kê gian lận nhắm vào người cao tuổi.
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Thiệt hại do chiếm đoạt tài khoản tại Mỹ, 2025 | Hơn 15 tỷ USD | Javelin Strategy and Research, Identity Fraud Study 2026 |
| Nạn nhân chiếm đoạt tài khoản, 2025 | 6 triệu (+18% so với 2024) | Javelin Strategy and Research, 2026 |
| Gian lận mở tài khoản mới, 2025 | 7 tỷ USD, 5,4 triệu nạn nhân (+31%) | Javelin Strategy and Research, 2026 |
| Tổng thiệt hại gian lận danh tính và lừa đảo, 2025 | 38 tỷ USD (giảm 9 tỷ USD), 36 triệu nạn nhân | Javelin Strategy and Research, 2026 |
| Đơn khiếu nại và thiệt hại FBI IC3, 2025 | 1.008.597 đơn, 20,877 tỷ USD (+26%) | Báo cáo FBI IC3 2025 qua SecurityWeek |
| Nạn nhân từ 60 tuổi trở lên, 2025 | Khoảng 201.000 đơn, 7,75 tỷ USD (37% thiệt hại) | Báo cáo FBI IC3 2025 qua CyberScoop |
| Báo cáo trộm cắp danh tính gửi FTC, 2024 | Hơn 1,1 triệu (tổng 6,5 triệu báo cáo Sentinel) | Dữ liệu FTC Consumer Sentinel, tháng 3 năm 2025 |
| Tỷ lệ người báo cáo gian lận bị mất tiền, 2024 | 38% (tăng từ 27% năm 2023) | Dữ liệu FTC Consumer Sentinel, tháng 3 năm 2025 |
Ghi chú bối cảnh: đợt công bố dữ liệu tháng 3 năm 2025 của FTC cho thấy tổng thiệt hại gian lận được báo cáo năm 2024 là 12,5 tỷ USD, tăng 25%. FTC không công bố hạng mục hoán đổi SIM; nhãn gần nhất của họ, ‘chuyển đổi nhà mạng điện thoại’ (Phone Carrier Switching), được đề cập ở mục 6.
3. Vương quốc Anh: Mức Tăng Vọt 1.055% và Vấn Đề Cách Đếm
Vương quốc Anh tạo ra con số hoán đổi SIM ấn tượng nhất của thập kỷ. Các thành viên của Cifas đã gửi gần 3.000 vụ hoán đổi SIM trái phép vào National Fraud Database năm 2024, tăng 1.055% so với 289 vụ của năm trước (Cifas, tháng 5 năm 2025). Đợt tăng vọt đi kèm sự dịch chuyển rộng hơn sang lĩnh vực viễn thông: gian lận danh tính liên quan đến sản phẩm di động tăng 87% lên hơn 16.000 vụ, nâng cấp gói di động trái phép tăng 96%, và 48% tổng số vụ chiếm đoạt tài khoản liên quan đến tài khoản điện thoại di động. Bản cập nhật Fraudscape 2026, công bố ngày 12 tháng 3 năm 2026, ghi nhận mức tăng thêm 38% số vụ hoán đổi SIM trái phép trong năm 2025, mà Cifas cho là do dữ liệu cá nhân bị đánh cắp và các phương thức tấn công ngày càng tự động hóa.
Vương quốc Anh cũng minh họa việc những con số đếm này mong manh đến mức nào. Action Fraud, trung tâm tiếp nhận báo cáo quốc gia, ghi nhận 558 báo cáo hoán đổi SIM năm 2022, 1.070 năm 2023 và 2.037 tính đến cuối tháng 11 năm 2024, tức là gần gấp đôi chứ không phải tăng gấp mười lần. Năm 2023, con số của Action Fraud gần gấp bốn lần con số của Cifas, trước khi tỷ lệ này đảo ngược vào năm 2024 (Commsrisk, tháng 7 năm 2025). Hai chuỗi số liệu thống nhất về chiều hướng; chúng khác nhau rõ rệt về tốc độ.
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Hoán đổi SIM trái phép, 2024 | Gần 3.000 vụ (+1.055%, từ 289 vụ năm 2023) | Cifas Fraudscape 2025 |
| Hoán đổi SIM trái phép, 2025 | +38% so với cùng kỳ năm trước | Cifas Fraudscape 2026 |
| Báo cáo hoán đổi SIM gửi Action Fraud | 558 (2022), 1.070 (2023), 2.037 (đến cuối tháng 11 năm 2024) | Action Fraud qua Commsrisk, tháng 7 năm 2025 |
| Số vụ chiếm đoạt tài khoản, 2024 | Hơn 74.000 (+76%) | Cifas Fraudscape 2025 |
| Số vụ chiếm đoạt tài khoản liên quan đến tài khoản điện thoại di động, 2024 | 48% | Cifas, tháng 5 năm 2025 |
| Gian lận danh tính liên quan đến sản phẩm di động, 2024 | Hơn 16.000 vụ (+87%) | Cifas, tháng 5 năm 2025 |
| Hồ sơ nâng cấp gói di động trái phép, 2024 | +96% | Cifas, tháng 5 năm 2025 |
| Tỷ trọng người từ 61 tuổi trở lên trong các vụ chiếm đoạt tài khoản, 2024 | 29% (hồ sơ +90% so với cùng kỳ năm trước) | Cifas, tháng 5 năm 2025 |
Ghi chú bối cảnh: dữ liệu của Cifas phản ánh các vụ việc do các tổ chức thành viên gửi lên, nên việc có thành viên mới tham gia hoặc thay đổi cách nộp hồ sơ có thể làm các con số dao động mạnh. Hãy coi con số 1.055% là tín hiệu thay đổi trên một nền nhỏ, chứ không phải thước đo tổng số vụ xảy ra tại Anh.
4. National Fraud Database Năm 2025: Chiếm Đoạt Trở Thành Chiêu Chủ Đạo
Số liệu Cifas năm 2025 cho thấy tội phạm đang chuyển từ mở tài khoản giả sang chiếm đoạt tài khoản thật. Hơn 78.000 vụ chiếm đoạt cơ sở (tài khoản) đã được gửi trong năm 2025, chiếm 18% tổng số hồ sơ và nhiều hơn 6% so với năm 2024, trong khi hồ sơ gian lận danh tính giảm 3% xuống 242.000 (Cifas Fraudscape 2026). Các vụ liên quan đến sản phẩm điện thoại di động tiếp tục chiếm ưu thế, và cùng với bán lẻ trực tuyến và thẻ tín dụng cá nhân, chúng chiếm khoảng 90% tổng số vụ chiếm đoạt.
Thủ đoạn ngày càng kín đáo hơn. Cifas báo cáo rằng tội phạm đang tắt cảnh báo và thay đổi dần thông tin tài khoản để tránh bị phát hiện, đồng thời dùng AI để cải thiện các tin nhắn độc hại và tự động hóa các cuộc tấn công thông tin xác thực, cũng là bộ công cụ đứng sau các cuộc gọi mạo danh trong thống kê lừa đảo bằng AI giọng nói của chúng tôi. Tổng số hồ sơ lập kỷ lục: hơn 444.000 vụ, trên 1.200 vụ mỗi ngày, sau 421.000 vụ năm 2024 (Cifas Fraudscape 2025).
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Tổng số vụ trong National Fraud Database, 2025 | Hơn 444.000 (+6%), trên 1.200 mỗi ngày | Cifas Fraudscape 2026 |
| Tổng số vụ trong National Fraud Database, 2024 | 421.000 (+13%) | Cifas Fraudscape 2025 |
| Số vụ chiếm đoạt tài khoản, 2025 | Hơn 78.000 (18% hồ sơ, +6%) | Cifas Fraudscape 2026 |
| Tỷ trọng di động, bán lẻ trực tuyến và thẻ tín dụng trong các vụ chiếm đoạt, 2025 | Khoảng 90% | Cifas Fraudscape 2026 |
| Tỷ trọng gian lận danh tính và chiếm đoạt tài khoản trong tổng số vụ, 2025 | 72% | Cifas Fraudscape 2026 |
| Hồ sơ gian lận danh tính, 2025 | 242.000 (54% số vụ, -3%) | Cifas Fraudscape 2026 |
| Thiệt hại gian lận được các thành viên Cifas ngăn chặn | 2,1 tỷ GBP (2024), 2,4 tỷ GBP (2025) | Cifas Fraudscape 2025 và 2026 |
5. Bên Trong Nhà Mạng: Người Trong Cuộc, Kỹ Thuật Xã Hội và Bằng Chứng Tòa Án
Hầu hết các vụ hoán đổi SIM thành công tại quầy cửa hàng hoặc bàn hỗ trợ, và các vụ kiện gần đây đã đưa ra những con số hiếm có về điều này. Trong một vụ trọng tài chống T-Mobile US kết thúc bằng khoản bồi thường 33 triệu USD, bằng chứng mô tả 27.000 vụ hoán đổi SIM trái phép tại nhà mạng này từ năm 2016 đến tháng 2 năm 2020, và một báo cáo nội bộ phát hiện 478 tài khoản khách hàng bị truy cập thông qua một thông tin xác thực nhân viên bị xâm phạm duy nhất (Commsrisk, tháng 9 năm 2025). Một đối tượng được trích dẫn trong vụ án tuyên bố tỷ lệ thành công từ 90 đến 100% trong việc lấy thông tin xác thực của nhân viên. Đây là số liệu từ vụ kiện của một nhà mạng, không phải tỷ lệ của cả ngành, nhưng chúng cho thấy vì sao các cơ quan quản lý nay nhắm vào quyền truy cập của nhân viên.
Rủi ro từ người trong cuộc không chỉ giới hạn ở các công ty viễn thông. Tại Société Générale ở Pháp, một thực tập sinh đã chuyển dữ liệu khách hàng cho một đường dây hoán đổi SIM, đường dây này đã đánh cắp hơn 1 triệu EUR của 50 khách hàng, tất cả đều đã được hoàn tiền (Commsrisk, tháng 6 năm 2025). Các vụ rò rỉ dữ liệu tại nhà mạng càng làm tăng rủi ro: vụ rò rỉ của Orange Belgium đã làm lộ 850.000 tài khoản khách hàng, bao gồm số thẻ SIM và mã PUK, khiến cơ quan quản lý BIPT yêu cầu gửi cảnh báo SMS khi có yêu cầu chuyển số ra mạng khác, với thời hạn 8 ngày để trả lời STOP (Commsrisk, tháng 9 năm 2025).
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Hoán đổi SIM trái phép tại T-Mobile US, 2016 đến tháng 2 năm 2020 | 27.000 | Bằng chứng trọng tài Jones v. T-Mobile qua Commsrisk, tháng 9 năm 2025 |
| Khoản bồi thường trọng tài cho một nạn nhân hoán đổi SIM | 33 triệu USD | Jones v. T-Mobile qua Commsrisk, tháng 9 năm 2025 |
| Số tài khoản bị truy cập qua một thông tin xác thực nhân viên bị xâm phạm | 478 | Báo cáo nội bộ T-Mobile qua Commsrisk, tháng 9 năm 2025 |
| Đường dây hoán đổi SIM có người trong cuộc tại Société Générale | 50 khách hàng, hơn 1 triệu EUR bị đánh cắp | Le Parisien qua Commsrisk, tháng 6 năm 2025 |
| Vụ rò rỉ dữ liệu Orange Belgium | 850.000 tài khoản khách hàng bị lộ | BIPT và Orange Belgium qua Commsrisk, tháng 9 năm 2025 |
| Bitcoin bị đánh cắp trong một vụ hoán đổi SIM tại Rogers năm 2021 | 534.000 CAD vào thời điểm đó, khoảng 1,3 triệu USD hiện nay | Tòa án Tối cao British Columbia qua Commsrisk, tháng 7 năm 2025 |
| Các vụ kiện trộm tiền mã hóa tại Mỹ đổ lỗi cho an ninh lỏng lẻo | 11 vụ năm 2023 so với 20 vụ năm 2022; hơn 50% nêu hoán đổi SIM | Bloomberg Law qua Commsrisk, tháng 4 năm 2024 |
Ghi chú bối cảnh: nhân viên nhà mạng vẫn là mục tiêu của kỹ thuật xã hội giống như nhân viên tổng đài; báo cáo rà soát các cuộc tấn công Lapsus$ của Cyber Safety Review Board Mỹ (ngày 10 tháng 8 năm 2023) đã xem xét cách nhóm này sử dụng hoán đổi SIM nhằm vào các tổ chức lớn.
6. Quy Định và Thực Thi: Từ FCC Đến TRAI
Lệnh của FCC về gian lận hoán đổi SIM và chuyển số ra mạng khác là phản ứng chính sách chủ yếu của Mỹ. Được thông qua ngày 15 tháng 11 năm 2023, lệnh này yêu cầu các nhà cung cấp dịch vụ không dây phải dùng xác thực an toàn trước khi đổi SIM, thông báo ngay cho khách hàng về các yêu cầu đổi SIM và chuyển số ra mạng khác, cung cấp tính năng khóa tài khoản, không cho nhân viên tiếp cận dữ liệu khách hàng cho đến khi khách hàng được xác thực, và lưu giữ hồ sơ (FCC Report and Order 23-95). Lệnh này cũng cho thấy mức nền của các khiếu nại: FCC nhận được khoảng 300 khiếu nại hoán đổi SIM hoặc chuyển số ra mạng khác năm 2020, 400 năm 2021 và 500 năm 2022, trong khi FTC ghi nhận 966 báo cáo ‘chuyển đổi nhà mạng điện thoại’ (Phone Carrier Switching) năm 2020, 157 năm 2021 và 188 năm 2022.
Việc tuân thủ đến muộn. Thời hạn ban đầu là ngày 8 tháng 7 năm 2024 bị lùi lại bởi quyết định miễn trừ của FCC ngày 5 tháng 7 năm 2024 cho đến khi Office of Management and Budget hoàn tất việc rà soát hồ sơ; OMB phê duyệt vào ngày 15 tháng 1 năm 2025 (Nelson Mullins). Các cơ quan quản lý khác dùng những công cụ thẳng tay hơn: TRAI của Ấn Độ áp đặt thời gian chờ 7 ngày trước khi chuyển số sau khi thay SIM từ ngày 1 tháng 7 năm 2024 (Commsrisk), ACMA của Úc phạt Medion Australia 259.440 AUD sau chín vụ hoán đổi trái phép (Commsrisk), và cơ quan bảo vệ dữ liệu Tây Ban Nha AEPD đã nhiều lần phạt các công ty viễn thông (Commsrisk).
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Khiếu nại hoán đổi SIM và chuyển số ra mạng khác gửi FCC | Khoảng 300 (2020), 400 (2021), 500 (2022) | FCC Report and Order 23-95, tháng 11 năm 2023 |
| Báo cáo ‘chuyển đổi nhà mạng điện thoại’ (Phone Carrier Switching) gửi FTC | 966 (2020), 157 (2021), 188 (2022) | Dữ liệu FTC Consumer Sentinel được trích trong FCC 23-95 |
| Tỷ lệ yêu cầu đổi SIM và chuyển số ra mạng khác là hợp pháp | Hơn 99% | FCC Report and Order 23-95 |
| Quy tắc FCC: ngày tuân thủ ban đầu / ngày OMB phê duyệt | Ngày 8 tháng 7 năm 2024 (được miễn trừ) / ngày 15 tháng 1 năm 2025 | FCC DA 24-649; Nelson Mullins, 2025 |
| Thời gian chờ tại Ấn Độ trước khi chuyển số sau khi thay SIM | 7 ngày, từ ngày 1 tháng 7 năm 2024 | TRAI qua Commsrisk, tháng 6 năm 2024 |
| Khoản phạt của ACMA đối với Medion Australia | 259.440 AUD; thiệt hại khách hàng 160.000 AUD; 1.697 lần thay SIM không kiểm tra giấy tờ tùy thân | ACMA qua Commsrisk, tháng 1 năm 2024 |
| Các khoản phạt của AEPD đối với nhà mạng Tây Ban Nha | Digi 970.000 EUR qua 12 khoản phạt; Movistar 900.000 EUR qua 3 khoản | AEPD qua Commsrisk, tháng 4 năm 2024 |
Ghi chú bối cảnh: Commsrisk lưu ý rằng hơn 1 trong 20 khoản phạt GDPR đã biết tại châu Âu là do AEPD phạt các công ty viễn thông Tây Ban Nha, phần lớn vì SIM trùng lặp được cấp cho kẻ mạo danh.
7. Xác Thực: Vì Sao Số Điện Thoại Là Mắt Xích Yếu
Câu chuyện phòng thủ là sự dịch chuyển chậm rãi khỏi việc dùng số điện thoại làm bằng chứng danh tính. Một nghiên cứu của Princeton trên năm nhà mạng trả trước của Mỹ phát hiện các thử thách xác thực của họ có thể bị vượt qua, và sau khi dịch ngược chính sách của hơn 140 trang web dùng xác thực qua điện thoại, các tác giả tìm thấy 17 trang web mà chỉ riêng một vụ hoán đổi SIM, không cần mật khẩu, là đủ để chiếm đoạt tài khoản; chín trong 17 công ty vẫn chưa sửa lỗi sau khi được thông báo (Lee và cộng sự, SOUPS 2020). Nghiên cứu này có từ năm 2020 (phép đo học thuật mới nhất hiện có), nhưng đó là cơ sở bằng chứng mà lệnh của FCC viện dẫn.
Các tổ chức tiêu chuẩn kể từ đó đã bắt kịp. SP 800-63B-4 của NIST, hoàn tất ngày 26 tháng 8 năm 2025, giữ các mã ngoài băng tần gửi qua mạng điện thoại công cộng trong nhóm ‘bị hạn chế’ và nêu rằng bên xác minh nên kiểm tra các chỉ báo rủi ro như đổi SIM hoặc chuyển số trước khi gửi mã. Các nhà mạng hiện cung cấp trực tiếp tín hiệu đó: SIM Swap API mã nguồn mở của CAMARA, ở phiên bản 2.1.0 từ tháng 9 năm 2025, cho phép ngân hàng hỏi xem SIM của một số có bị đổi gần đây không trước khi tin vào mã SMS (CAMARA Project). Thống kê xác thực hai yếu tố của chúng tôi đề cập đến mức độ áp dụng các lựa chọn thay thế dựa trên ứng dụng và khóa truy cập (passkey).
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Nhà mạng trả trước Mỹ được kiểm tra | 5, tất cả dùng các thử thách có thể bị vượt qua | Lee và cộng sự, Princeton, SOUPS 2020 |
| Trang web có xác thực qua điện thoại được phân tích | Hơn 140 | Lee và cộng sự, SOUPS 2020 |
| Trang web dễ bị chiếm đoạt chỉ bằng hoán đổi SIM | 17 | Lee và cộng sự, SOUPS 2020 |
| Công ty chưa sửa lỗi sau khi được thông báo | 9 trên 17 | Lee và cộng sự, SOUPS 2020 |
| Trạng thái NIST của mã dùng một lần qua mạng điện thoại | ’Bị hạn chế’ (SP 800-63B-4, ngày 26 tháng 8 năm 2025) | NIST SP 800-63B-4 |
| Nhà mạng bắt buộc rà soát các phương thức xác thực | Ít nhất mỗi năm một lần | FCC Report and Order 23-95 |
| CAMARA SIM Swap API | v2.1.0 ổn định, tháng 9 năm 2025 | CAMARA Project (Linux Foundation) |
Tổng kết: Gian Lận Hoán Đổi SIM Qua Các Con Số
| Chỉ số | Giá trị | Nguồn |
|---|---|---|
| Đơn khiếu nại và thiệt hại hoán đổi SIM tại Mỹ, 2024 | 982 đơn, 25.983.946 USD | FBI IC3 Internet Crime Report 2024 |
| Đỉnh hoán đổi SIM tại Mỹ, 2022 | 2.026 đơn, 72.652.571 USD | FBI IC3 Internet Crime Report |
| Đơn khiếu nại và thiệt hại hoán đổi SIM tại Mỹ, 2021 | 1.611, hơn 68 triệu USD | FBI IC3 PSA, tháng 2 năm 2022 |
| Thiệt hại trung bình được báo cáo trên mỗi đơn hoán đổi SIM, 2024 | Khoảng 26.460 USD | Tính toán từ dữ liệu FBI IC3 |
| Tỷ trọng hoán đổi SIM trong các mối đe dọa hàng đầu, 2025 | Khoảng 10% | Báo cáo FBI IC3 2025 qua CyberScoop |
| Tổng thiệt hại FBI IC3, 2025 | 20,877 tỷ USD (+26%) | Báo cáo FBI IC3 2025 |
| Thiệt hại do chiếm đoạt tài khoản tại Mỹ, 2025 | Hơn 15 tỷ USD, 6 triệu nạn nhân | Javelin Strategy and Research, 2026 |
| Hoán đổi SIM trái phép tại Anh, 2024 | Gần 3.000 (+1.055%) | Cifas Fraudscape 2025 |
| Hoán đổi SIM trái phép tại Anh, 2025 | +38% | Cifas Fraudscape 2026 |
| Báo cáo hoán đổi SIM gửi Action Fraud tại Anh, 2023 | 1.070 | Action Fraud qua Commsrisk |
| Số vụ chiếm đoạt tài khoản tại Anh, 2025 | Hơn 78.000 (18% hồ sơ) | Cifas Fraudscape 2026 |
| Tỷ trọng điện thoại di động trong các vụ chiếm đoạt tài khoản tại Anh, 2024 | 48% | Cifas, tháng 5 năm 2025 |
| Tỷ trọng người từ 61 tuổi trở lên trong các vụ chiếm đoạt tài khoản (Anh, 2024) | 29% | Cifas, tháng 5 năm 2025 |
| Thiệt hại của nạn nhân Mỹ từ 60 tuổi trở lên, 2025 | 7,75 tỷ USD (37% tổng số) | Báo cáo FBI IC3 2025 |
| Hoán đổi SIM trái phép tại T-Mobile, 2016 đến 2020 | 27.000 | Bằng chứng trọng tài qua Commsrisk |
| Tỷ lệ hợp pháp của các yêu cầu đổi SIM và chuyển số ra mạng khác | Hơn 99% | FCC 23-95 |
| Khiếu nại hoán đổi SIM và chuyển số ra mạng khác gửi FCC, 2022 | Khoảng 500 | FCC 23-95 |
| Trang web dễ bị chiếm đoạt chỉ bằng hoán đổi SIM | 17 trong hơn 140 trang được nghiên cứu | Princeton, SOUPS 2020 |
| Thời gian chờ chuyển số tại Ấn Độ sau khi thay SIM | 7 ngày | TRAI, tháng 7 năm 2024 |
Phương pháp luận và Nguồn
Mọi con số ở trên đều đã được đọc trong quá trình nghiên cứu cho bài viết này. Khi không thể đọc trực tiếp một tài liệu gốc (các tệp PDF báo cáo thường niên của FBI IC3 không hiển thị dưới dạng văn bản, còn các trang fcc.gov, GSMA và IDCARE chặn truy cập tự động), chúng tôi dùng các trung gian có tên cụ thể trích dẫn tài liệu gốc và ghi rõ điều đó trong từng bảng. Các thống kê hoán đổi SIM lưu hành trên blog của nhà cung cấp mà không có nguồn gốc, bao gồm các con số tròn ‘trên mỗi nạn nhân’ và ‘số phút để rút sạch tài khoản’, đã bị loại trừ.
- FBI Internet Crime Complaint Center: PSA 220208, tháng 2 năm 2022, Internet Crime Report 2024 (các dòng hoán đổi SIM 2022 đến 2024 đọc qua MessageCentral và các bản tóm tắt báo cáo của Efani), Internet Crime Report 2025 qua SecurityWeek và CyberScoop
- Federal Trade Commission: đợt công bố dữ liệu Consumer Sentinel 2024, tháng 3 năm 2025
- Javelin Strategy and Research: thông cáo báo chí Identity Fraud Study 2026, ngày 21 tháng 4 năm 2026
- Cifas: Fraudscape 2026, Fraudscape 2025, thông cáo về hoán đổi SIM và viễn thông, tháng 5 năm 2025
- Federal Communications Commission: Report and Order FCC 23-95, Order DA 24-649, ngày OMB phê duyệt qua Nelson Mullins và việc trì hoãn tuân thủ qua Commsrisk
- NIST: SP 800-63B-4, tháng 8 năm 2025
- Đại học Princeton: Lee, Kaiser, Mayer và Narayanan, An Empirical Study of Wireless Carrier Authentication for SIM Swaps, SOUPS 2020
- CAMARA Project: SIM Swap API
- Cyber Safety Review Board của Mỹ: Review of the Attacks Associated with Lapsus$, tháng 8 năm 2023
- Commsrisk (đưa tin về hồ sơ tòa án, cơ quan quản lý và Action Fraud): thống kê hoán đổi SIM của Anh, trọng tài T-Mobile, Orange Belgium và BIPT, Société Générale, vụ việc Rogers, các vụ kiện tiền mã hóa của Bloomberg Law, quy tắc 7 ngày của TRAI, khoản phạt của ACMA, các khoản phạt của AEPD
- Lưu ý về dữ liệu: dòng đơn khiếu nại và thiệt hại hoán đổi SIM năm 2025 của FBI IC3 không thể xác nhận trong bản sao báo cáo đã tải về, nên chuỗi số liệu của Mỹ kết thúc ở năm 2024; dòng năm 2025 được kỳ vọng sẽ tiếp tục xu hướng giảm của thiệt hại được báo cáo. Số liệu IC3 giai đoạn 2022 đến 2024 được đọc qua các bản tóm tắt thứ cấp của báo cáo chính thức và thống nhất với nhau. Các nguồn của Anh mâu thuẫn: Cifas báo cáo mức tăng 1.055% năm 2024 (từ 289 lên gần 3.000) trong khi Action Fraud cho thấy gần gấp đôi (từ 1.070 lên 2.037 đến cuối tháng 11 năm 2024), và 289 x 11,55 không khớp chính xác với ‘gần 3.000’, vì vậy hãy coi tỷ lệ phần trăm này là gần đúng. Khảo sát của Javelin cho thấy tổng thiệt hại do gian lận giảm trong năm 2025 trong khi thiệt hại theo đơn khiếu nại FBI IC3 tăng 26%; hai chỉ số đo các nhóm đối tượng khác nhau (khảo sát người tiêu dùng so với khiếu nại tự nguyện). Số lượng khiếu nại của FCC và FTC cùng nghiên cứu của Princeton có từ giai đoạn 2020 đến 2022 (dữ liệu mới nhất hiện có). Số liệu T-Mobile đến từ một vụ trọng tài và không phải tỷ lệ của cả ngành. Ngày tuân thủ chính xác của FCC sau khi OMB phê duyệt không thể xác nhận từ trang của FCC trong quá trình nghiên cứu; một nguồn thương mại đã nêu ngày 10 tháng 3 năm 2025 trước khi có lệnh miễn trừ, trong khi lệnh này lại gắn việc tuân thủ với việc rà soát của OMB. Số liệu triển khai GSMA Open Gateway và dữ liệu IDCARE của Úc không thể truy cập và bị loại trừ. Sổ dữ liệu FTC Consumer Sentinel cho năm 2025 chưa được liệt kê trên trang dữ liệu mở của FTC.
Cập nhật lần cuối: ngày 3 tháng 10 năm 2026. Chúng tôi cập nhật bài tổng hợp này hàng quý, và lần làm mới tiếp theo dự kiến sẽ diễn ra khi FTC công bố Consumer Sentinel Network Data Book 2025 và Cifas phát hành bản cập nhật Fraudscape tiếp theo.