SMS Spoofing: Skutečně jen vtip?

Problém SMS spoofingu, tedy tzv. „SMS vtipu“, existuje zhruba od roku 2004, kdy většina mobilních operátorů propojila svoje služby s internetem. Díky těmto službám může kdokoli poslat SMS za použití formuláře na webových stránkách mobilních operátorů nebo přímo skrze e-mail. Tato služba je pro nás, běžné uživatele, velice výhodná, a dokonce ji někteří operátoři poskytují zadarmo. Avšak nedlouho poté, co bylo užívání systému zavedeno, se objevily první případy, kdy se rozesílání textů stalo další technickou zbraní internetových zločinců.

Jak k tomu mohlo dojít?
    Ke zneužití došlo kvůli nedostatkům v internetových formulářích, kterým byly upraveny kódy na hromadné odesílání zpráv. V roce 2004 byla například podána žaloba na Jacoba Browna a jeho další spolupracovníky za to, že pronikly do databáze telefonních čísel předplatitelů jisté firmy a odeslali těmto lidem dohromady 4.7 milionů SMS zpráv s reklamními texty propagujícími hypotéky, pilulky atp.

    Podle zprávy bývalého Ministerstva informatiky a tehdejších operátorů jsou SMS centra v České republice dostatečně zabezpečena a nelze je zneužít k odesílání falešných SMS zpráv. To ale neznamená, že se podobný případ menšího rozsahu nemůže vyskytnout. Vzhledem k této skutečnosti ministerstvo upozorňuje:

1.    Věrohodnost SMS zprávy je srovnatelná s elektronickou poštou nebo dopisem a není neomezená. Pokud někdo zfalšuje hlavičkový papír, razítko firmy a něčí podpis, je za svoji činnost trestně odpovědný. Stejně je tomu v případě elektronické komunikace s tím rozdílem, že v případě zneužití mobilních sítí je pachatel snáze dohledatelný.
2.    Přijde-li někomu jakákoliv podezřelá SMS zpráva, potom by si měl vždy ověřit její obsah. Ověřit zprávu lze přímo v mobilním telefonu v záložce detaily doručené SMS zprávy. Pokud je zpráva zaslána prostřednictvím zahraničního SMS centra, potom je vždy dobré obsah SMS zprávy ještě ověřit přímo s odesilatelem.
3.    V případě, že došlo k zaslání falešné SMS zprávy, potom by měla být tato skutečnost oznámena na operátorskou linku péče o zákazníky daného mobilního operátora a poškozenými může být zváženo i případné podání trestního oznámení na neznámého pachatele.
4.    Žádné akutní riziko při používání SMS zpráv přesto nehrozí.

A jak se k tomuto problému staví čeští mobilní operátoři?
    V článku na mobil.dnes všichni poskytovatelé souhlasí se spoluprácí při pátrání po pachateli toho trestného činu, ale zároveň nepřímo naznačují, že není v jejich silách případnému útoku zabránit. Prevencí tedy může být opatrnost při zadávání SMS čísel svých blízkých do webových formulářů neznámých provozovatelů, protože nelze vyloučit jejich pozdější zneužití. Také dodávají že: „Při posílání SMS zprávy z pouhého „žertu“ by měli všichni mít vždy na paměti, že příjemce zprávy ji za žert považovat nemusí a případné následky si potom ponese pouze odesilatel sám.“

A jak může vypadat takový SMS útok?

    Autor článku o SMS útocích, Dmitri Kramarenko, uvádí případ svého známého, kterému někdo poslal SMSku se zněním: „Tvůj mobilní telefon byl napaden hackerem“, „Toto je Trojský kůň!“ atp. Zpočátku zprávy ignoroval s tím, že se jedná o hloupý vtip, avšak když se číslo příchozích vzkazů blížilo k padesátce, obrátil se na svého operátora. Ten byl však v koncích. Nevěděl, jak reagovat. V té době mu nepomohla ani policie. Příchozí zprávy byly z internetového čísla 101 a tak jednoduše nechal zablokovat všechny zprávy z tohoto čísla. To ale znamenalo, že od té doby nemohl přijímat žádné zprávy z internetu, tedy ani od svých blízkých a známých. Ale problém byl vyřešený.

Z mobil.dnes se dále dovídáme, jakou možnost máme u nás v případě SMS útoku. Tak tedy:
1.    V první řadě se doporučuje zákazníkovi ověřit si pravdivost SMS zprávy (například zavoláním na číslo, ze kterého Vám zpráva přišla).
2.    Pokud se podezření zákazníka o nepravosti SMSky potvrdí, doporučuje se kontaktovat zákaznické centrum operátora zákazníka s uvedením podrobností - času doručení SMS zprávy a čísla SMS centra operátora, přes kterého byla SMS zpráva doručena (uvedeno v detailech zprávy).
3.    Dále je vše v režii operátora zákazníka. Pokud se informace o detailech zprávy potvrdí, operátor zákazníka by měl kontaktovat majitele SMS centra s upozorněním na možné zneužití SMS centra jeho partnery.
4.    Pokud ze strany partnera nedojde k nápravě, měl by se operátor zákazníka obrátit s žádostí o pomoc na celosvětovou asociaci GSM Association (sekce Sanction Group), jejímž členem jsou všichni významní světoví operátoři.
5.    Sanction Group pak kontaktuje dotčeného operátora s žádostí o vysvětlení a odstranění problému. V krajním případě může dojít až k podání návrhu na vyloučení operátora z asociace.
Jedná se o ucelený postup, který by většině lidí měl pomoci. Jiný úhel pohledu však musíme volit v případě, že je touto formou napadeno nějaké dítě, protože zastáváme názor, že i leckterému dospělému by dělalo potíže postupovat dle uvedených kroků. Navíc jsme si zvykli přijímat denně i desítky SMS zpráv a ne pokaždé nás napadne si jejich pravost ověřit.

Zkuste si představit situaci: Dítěti přijde na mobil, který mu rodiče pořídili kvůli většímu pocitu bezpečí, zpráva: “CEKEJ PO SKOLE V PARKU, VYZVEDNU TE TAM, MAMA.“ V tu chvíli dítě nenapadne podívat se na číslo SMS centra nebo snad pochybovat o pravosti SMS. A proto může být takto jednoduše zmanipulováno prakticky kýmkoli, kdo si zjistí číslo jeho mobilního telefonu, což dnes není skoro žádný problém.

I když dopady nemusí být natolik vážné, k zneužití této služby se váže také forma kyberšikany. Době anonymních psaníček v lavici odzvonilo a výhružky si dnes děti posílají přímo na mobil. A takové bombardování zprávami není pro dítě rozhodně nic, čemu by se dalo říkat „vtip“. Podle průzkumu, který provedla společnost Tesco Mobile ve Velké Británii, byl ze 770 lidí ve věku mezi 11 a 19 lety napaden prostřednictvím e-mailu, chatu nebo SMS zpráv jeden z pěti dotazovaných (20%). A z toho 14% těchto útoků bylo realizováno prostřednictvím SMS. Někteří byli touto formou šikanováni opakovaně. Jedná se o průzkum z roku 2005, kdy nebyl vliv moderních technologií na takové úrovni jako dnes. Z počtu 770 dětí to tedy bylo 22 žáků. Zkuste si tento počet převést na jednu školu. I když se tehdy naše ministerstvo vyjádřilo, že žádné akutní riziko při používání SMS zpráv nehrozí, jistá ostražitost je, dle našeho názoru, stále na místě.

S otázkou na obranu proti SMS spoofingem jsme se obrátili na všechny tři současné mobilní operátory. Odpověď jsme obdrželi pouze od jednoho z nich, společnosti Vodafone, která se vyjádřila k tématu následovně:

Jaké varianty SMS spoofingu existují?

Existuje řada variant SMS spoofingu, např.:
1. SMS spoofing z internetu: nejznámější případy jsou takové, kdy zákazník si nevšimne, že SMS přišla z internetu (řešení: např. u Vodafone SMS začíná písmeny www). V horším případě operátor žádným způsobem nezajišťuje rozlišení "normální" SMSky od SMSky poslané z webu.

2. SMS spoofing - push SMS: po přečtení SMS je zákazník přesměrován na Audiotex, tj. linky zpoplatněné speciálním tarifem (řešení: zákazníci Vodafone si mohou zdarma zablokovat Premium SMS/Audiotex).

3. Legrácky: SMS z/na čísla politiků nebo známých;
Konkrétně je možné ilustrovat situaci ze srpna roku 2005, kdy během osmi dní prošlo přes síť Vodafone Czech Republic několik desítek tisíc spoofingových SMS do sítí zahraničních operátorů (například v Rakousku, Španělsku, Itálii nebo Velké Británii).

Vodafone přijal na základě situace v roce 2005 řadu technických opatření (automatická křížová identifikace telefonního čísla, ze kterého je sms posílána), které zamezují zasílat SMS spoofing přes naše SMS centrum. Tyto spoofingové SMS také nemají vliv na vyúčtování zákazníků. Není ale v silách Vodafone úplně zabránit SMS spoofingu jdoucímu do ČR např. přes SMS centra v jiných zemích (např. Afgánistan, Itálie apod.).

Jak lze rozeznat falešnou SMS v síti Vodafone?

Podezřelé zprávy si ověřte přímo u jejího údajného odesílatele nebo ve vlastnostech SMSky zjistěte číslo SMS centra, ze kterého byla poslána. Pokud nejde o číslo SMS centra Vodafonu CZ +420608005681, je zde podezření na SMS spoofing.

Vodafone samozřejmě spolupracuje při odhalování SMS spoofingu a jeho autorů se státními orgány (Policie ČR, ČTÚ), je aktivní v rámci sdružení Asociace provozovatelů mobilních sítí (APMS) a GSM Asociace, kam jsou případy spoofingových SMS nahlašovány.

Na závěr

Mezi lidmi panuje nesprávné očekávání, že SMSka zajišťuje naprosto bezpečnou komunikaci. Takto ovšem SMS standard není postavený a na SMS je potřeba se dívat tak, že je obdobou pohledu, který posíláme prostřednictvím České pošty. Stejně tak si lze vytvořit např. fiktivní emailovou adresu, ze které může někdo vašim jménem posílat třeba poplašné zprávy (hoaxy, spamy). Firma Vodafone se ale v každém případě snaží zajistit maximální důvěryhodnost SMS služby a podniká řadu výše popsaných kroků k minimalizaci výše uvedených rizik.