SMS-спуфинг

SMS-спуфинг происходит, когда отправитель подменяет адресную информацию сообщения. Часто это делается с целью выдачи себя за пользователя, находящегося в роуминге в другой стране и отправляющего сообщения в свою домашнюю сеть. Такие сообщения зачастую адресуются и за пределы домашней сети — в результате чего домашний SMSC фактически используется для отправки сообщений в другие сети. В более сложных случаях злоумышленники могут даже подменять существующие контакты в телефоне, и их сообщения будут выглядеть так, будто пришли с любого выбранного номера.

Последствия подобных действий могут быть следующими:

1. Домашний оператор может нести расходы за доставку таких сообщений своим партнёрам по межсетевому взаимодействию.
2. Подобные сообщения вызывают опасения у операторов-партнёров: абоненты могут жаловаться на спам или оскорбительный/чувствительный контент; операторы-партнёры могут пригрозить разорвать отношения с домашней сетью до устранения проблемы. В результате абоненты домашней сети не смогут отправлять сообщения в эти сети.
3. Поскольку злоумышленники обычно используют поддельные идентификаторы отправителя, существует риск совпадения этих идентификаторов с номерами реальных абонентов. В таком случае настоящим абонентам может быть выставлен счёт за сообщения, которых они не отправляли. Это может поставить под угрозу корректность биллинга оператора и нанести ущерб его репутации.

Законные способы использования SMS-спуфинга включают:

1. Отправитель рассылает SMS с онлайн-компьютерной сети для получения более низкой стоимости и удобства набора, подменяя свой номер телефона для правильной идентификации.
2. У отправителя нет мобильного телефона, но нужно отправить SMS с номера, который он заранее сообщил получателю (например, для активации аккаунта).
3. Отправитель использует дефолтный идентификатор сетевого шлюза, предоставляемого онлайн-сервисом, чтобы послать анонимное SMS без указания собственного номера.
4. Третья сторона отправляет сообщение на виртуальный номер — далее оно пересылается одному или нескольким получателям так, что в качестве ID отправителя отображается настоящий адрес инициатора, и получатель может ответить, позвонить, отсортировать или сохранить сообщение ожидаемым образом.

О начале атаки посредством SMS-спуфинга часто свидетельствует рост числа ошибок при обработке SMS в ходе биллинга — вследствие поддельных идентификаторов абонентов. Операторы могут реагировать, блокируя разные исходные адреса на своих шлюзах или в MSC, однако злоумышленники легко обходят это, меняя адреса. Если мошенники используют адреса крупного партнёра по обмену трафиком, блокировка становится невозможной из-за риска нарушения обычных сервисов.

В 2007 году британский регулятор премиальных услуг PhonepayPlus (бывший ICSTIS) провёл общественные консультации по вопросу анонимных SMS, по итогам которых заявил, что не планирует запрещать подобные сервисы. Однако в 2008 году PhonepayPlus ввёл новые нормы, требующие от поставщиков анонимных SMS-сервисов рассылки дополнительного сообщения получателю с уведомлением о получении спуфированного SMS и обеспечения работы горячей линии для жалоб.

Если пользователь может доказать, что сессии SMS подменялись (спуфились), ему следует обратиться в правоохранительные органы и к своему оператору, который сможет отследить источник отправки сообщений. Также возможно изменить настройки телефона так, чтобы принимать сообщения только с авторизованных номеров, однако это не всегда эффективно, поскольку мошенники могут подделывать контакты из списка друзей абонента.