Rozwój Internetu i spadek kosztów transferu umożliwił przenoszenie połączeń telefonicznych przez sieci komputerowe, co przyczyniło się do upowszechnienia systemów VoIP (Voice over Internet Protocol). SIP (Session Initiation Protocol), stosowany w VoIP, pozwala na manipulowanie nagłówkiem FROM, co oznacza, że można wpisać dowolny numer, rozpoczynając połączenie z fałszywego numeru.

Otóż nie! Logicznie mogłoby się wydawać, że numer z fałszywego nagłówka będzie zawierał nieodpowiedni prefiks kraju, który można by łatwo wykryć.  Prefiks kraju nie jest automatycznie dodawany przez polskiego operatora, ale przez operatora, od którego wychodzi połączenie.

Więc jeżeli operator VoIP dopuszcza fałszywy CID, to może puścić też fałszywy prefix.

STIR/SHAKEN – odpowiedź na spoofing

• A oznacza pełne zaufanie – numer jest faktycznym numerem klienta operatora,
• B oznacza częściowe zaufanie – połączenie przychodzi od klienta operatora ale nie może zostać zweryfikowany,
• C oznacza że połączenie dotarło z innego węzła (gateway).

Najbliższym rozwiązaniem mogącym ograniczyć spoofing w SMS-ach jest rozwijany system RCS (Rich Communication Services). RCS to bardziej zaawansowana wersja SMS, która oferuje funkcje znane z komunikatorów internetowych.  Umożliwia czynności takie jak przesyłanie zdjęć wysokiej jakości, filmów, lokalizacji, a także lokalizacji nadawcy. RCS został wdrożony w około 60 krajach i jedną z jego kluczowych funkcji jest wymóg obowiązkowej identyfikacji podmiotu wysyłającego wiadomość. Dzięki temu system ten jest mniej podatny na spoofing, ponieważ tożsamość nadawcy musi być zweryfikowana.

Problem z RCS

Mimo że RCS jest obiecującą technologią, która może ograniczyć spoofing, ma jedną poważną wadę. Ogranicza ona jego skuteczność w walce ze smishingiem (phishingiem za pomocą SMS-ów). RCS działa w oparciu o dane komórkowe, co oznacza, że jeśli użytkownik wyłączy dane mobilne lub znajdzie się w miejscu o słabym zasięgu, system automatycznie przełączy się na tradycyjny SMS.

W takiej sytuacji wszystkie wprowadzone zabezpieczenia związane z identyfikacją nadawcy przestają działać, a komunikacja wraca do mniej bezpiecznego formatu SMS, co ponownie otwiera drzwi dla spoofingu.

Choć system RCS oferuje pewne nadzieje na ograniczenie spoofingu i smishingu, jego zależność od połączenia z Internetem sprawia, że nie jest w pełni skutecznym rozwiązaniem. Dopóki SMS-y będą funkcjonować na obecnych zasadach, spoofing i smishing pozostaną poważnym zagrożeniem dla użytkowników na całym świecie.