Zjistěte, jak funguje spoofing telefonního čísla, proč je tak rozšířený a jak se bránit, když někdo zneužije nebo napodobí vaše číslo.
Určitě se vám to už stalo. Podíváte se na telefon a vidíte zmeškaný hovor – z čísla, které vypadá zcela běžně, někdy dokonce poznáte předčíslí, jindy je to číslo, které se až podezřele podobá známému. Zavoláte zpět a na druhém konci je člověk, který netuší, o čem mluvíte – nikdy vám nevolal. Tehdy vám dojde, že jste se právě setkali s spoofingem telefonního čísla a že si někdo „půjčil“ číslo někoho jiného, aby oklamal oběť na druhém konci.
Jak to technicky funguje, proč je to tak jednoduché a co s tím lze reálně dělat?
Co je to spoofing volajícího
Spoofing telefonního čísla (caller ID spoofing) je technika, při které útočník zmanipuluje údaj o volajícím čísle tak, aby se oběti na displeji zobrazilo jiné číslo, než ze kterého hovor ve skutečnosti přichází. Je důležité rozlišovat – nejde o napadení vašeho telefonu, SIM karty ani o odposlech. Nikdo se nedostal do vašeho zařízení. Někdo pouze zneužil telekomunikační systém tak, že jako „odesílatele“ nastavil vaše číslo.
Proč je to technicky vůbec možné
Telefonní síť – a to platí jak pro pevné linky, tak pro mobilní sítě využívající signalizaci SS7, i pro VoIP – byla navržena v době, kdy se počítalo s důvěrou mezi operátory, nikoli s podvodníky. Údaj o volajícím čísle (Calling Line Identification, CLI) se odesílá jako běžná metadata k hovoru, podobně jako pole „Od:“ v e-mailu.
V praxi to nejčastěji vypadá takto:
- VoIP / SIP trunking – podvodník si u některého z desítek poskytovatelů VoIP služeb (často mimo EU, s minimální nebo žádnou kontrolou) pronajme „SIP trunk“.
- Nastavení pole CLI – v konfiguraci této brány jednoduše zadá, jaké číslo se má zobrazovat jako volající.
- Hovor putuje sítí operátorů – jednotliví operátoři si mezi sebou hovory a jejich metadata v drtivé většině případů pouze přeposílají, aniž by ověřovali, zda odesílatel skutečně vlastní uvedené číslo.
- Oběti zazvoní telefon s cizím – ale „důvěryhodně“ vypadajícím – číslem na displeji.
Právě proto se někdy setkáte s tím, že se vám zobrazí přesně vaše vlastní číslo – útočník totiž nemá žádný reálný důvod vybírat si „náhodná“ čísla, zaměřuje se buď na čísla, která na danou oběť působí důvěryhodně (tzv. „neighbor spoofing“), nebo přímo na vaše číslo.
Proč je to levný a rozšířený byznys
Náklady na spuštění takového hovoru jsou zanedbatelné – pronájem SIP trunku a software pro automatické vytáčení stojí řádově jednotky eur měsíčně, přičemž jeden operátor dokáže tímto způsobem generovat tisíce hovorů denně. Slovenskí mobilní operátoři v posledních letech zaznamenávají nárůst bezpečnostních hrozeb namířených proti zákazníkům, přičemž spoofing je ve srovnání s jinými hrozbami náročnější na eliminaci.
Co proti tomu dělají operátoři
Mobilní operátoři postupně zavádějí systém pro ověřování pravosti hovorů mezi sebou, který má snížit počet podvodných hovorů. Jedná se o princip podobný mezinárodnímu standardu STIR/SHAKEN, který hovor digitálně podepisuje již u původního operátora. Problémem je, že takový systém funguje spolehlivě pouze tehdy, pokud jej implementují všichni operátoři v řetězci – včetně těch v zahraničí, odkud pochází většina podvodných hovorů.
Dá se zjistit, kdo za tím skutečně stojí?
Pro běžného člověka prakticky ne. Operátoři sice mají skutečné původní číslo v záznamech, ale běžnému uživateli je nesdělí – tyto údaje se poskytují pouze policii v rámci vyšetřování trestného činu.
Co dělat, když zjistíte, že někdo zneužívá vaše číslo
- Nezablokujte si číslo sami – zablokování čísla z vaší strany nic nevyřeší.
- Informujte svého operátora – nahláste situaci.
- Zaznamenejte si to – poznamenejte si datum, čas a to, co vám řekli.
- Nesdílejte číslo zbytečně veřejně.
Jak se bránit, když vám volají (z „falešného“ čísla)
- Nevěřte displeji – displej zobrazuje pouze to, co mu sdělil volající.
- Při podezřelém hovoru zavěste a zavolejte zpět sami, a to na číslo, které jste si sami vyhledali, nikoli přes tlačítko zpět na telefonu.
- Neposkytujte citlivé údaje – žádná banka ani úřad po telefonu nepožaduje PIN, OTP kód ani přihlašovací údaje.
- Ověřte si druhou osobu jiným způsobem – u firemních podvodů pomáhá pravidlo čtyř očí – transakci nad určitou částku musí vždy schválit i druhá osoba jiným kanálem.
- Nahláste podezřelé číslo operátorovi nebo pomocí aplikací na rozpoznávání spamu.
Podvodné hovory nejsou problémem pouze jednotlivců. Často se zaměřují i na firmy, účetní, recepční nebo zaměstnance s přístupem k platbám a citlivým údajům. Pomůžeme vám otestovat připravenost zaměstnanců na phishing, vishing a další formy sociálního inženýrství. Součástí může být i praktické školení, které lidem ukáže, jak podobný podvod rozpoznat dříve, než způsobí škodu. Více o této službě najdete zde.
