Zistite, ako funguje spoofing telefónneho čísla, prečo je taký rozšírený a ako sa brániť, keď niekto zneužije alebo napodobní vaše číslo.
Iste sa vám to už stalo. Pozriete na telefón a vidíte zmeškaný hovor – z čísla, ktoré vyzerá úplne bežne, niekedy dokonca poznáte prefix, inokedy je to číslo, ktoré sa až podozrivo podobá na známe. Zavoláte späť a na druhej strane je človek, ktorý netuší, o čom hovoríte – nikdy vám nevolal. Vtedy vám dôjde, že ste sa práve stretli so spoofingom telefónneho čísla a niekoho iného číslo si niekto „požičal", aby oklamal obeť na druhom konci.
Ako to technicky funguje, prečo je to tak jednoduché a čo sa s tým dá reálne robiť?
Čo je caller ID spoofing
Spoofing telefónneho čísla (caller ID spoofing) je technika, pri ktorej útočník zmanipuluje údaj o volajúcom čísle tak, aby sa obeti na displeji zobrazilo iné číslo, než z ktorého hovor v skutočnosti prichádza. Dôležité je rozlišovať – nejde o napadnutie vášho telefónu, SIM karty ani o odpočúvanie. Nikto sa nedostal do vášho zariadenia. Niekto len zneužil telekomunikačný systém tak, že ako „odosielateľa" nastavil vaše číslo.
Prečo je to technicky vôbec možné
Telefónna sieť – a to platí aj pre pevné linky, aj pre mobilné siete cez SS7 signalizáciu, aj pre VoIP – bola navrhnutá v čase, keď sa počítalo s dôverou medzi operátormi, nie s podvodníkmi. Údaj o volajúcom čísle (Calling Line Identification, CLI) sa posiela ako obyčajné metadáta k hovoru, podobne ako „Od:" pole v emaile.
V praxi to najčastejšie vyzerá takto:
- VoIP / SIP trunking – podvodník si u niektorého z desiatok poskytovateľov VoIP služieb (často mimo EÚ, s minimálnou alebo žiadnou kontrolou) prenajme „SIP trunk".
- Nastavenie CLI poľa – v konfigurácii tejto brány si jednoducho zapíše, aké číslo sa má zobrazovať ako volajúci.
- Hovor putuje sieťou operátorov – jednotliví operátori si medzi sebou hovory a ich metadáta v drvivej väčšine prípadov len prepošlú ďalej, bez toho, aby overovali, či odosielateľ skutočne vlastní uvedené číslo.
- Obeti zazvoní telefón s cudzím – ale „dôveryhodne" vyzerajúcim – číslom na displeji.
Práve preto sa niekedy stretnete s tým, že sa vám zobrazí presne vaše vlastné číslo – útočník totiž nemá reálny dôvod si vyberať „náhodné" čísla, cieli buď na čísla, ktoré pôsobia dôveryhodne pre danú obeť (tzv. „neighbor spoofing"), alebo priamo na vaše číslo.
Prečo je to lacný a rozšírený biznis
Náklady na spustenie takéhoto hovoru sú mizivé – prenájom SIP trunku a softvér na automatizované vytáčanie stoja rádovo jednotky eur mesačne, pričom jeden operátor dokáže takto generovať tisíce hovorov denne. Slovenskí mobilní operátori v posledných rokoch pozorujú nárast bezpečnostných hrozieb smerovaných na zákazníkov, pričom spoofing je v porovnaní s inými hrozbami náročnejší na elimináciu.
Čo proti tomu robia operátori
Mobilní operátori postupne zavádzajú systém na overovanie pravosti volaní medzi sebou, ktorý má znížiť množstvo podvodných hovorov. Ide o princíp podobný medzinárodnému štandardu STIR/SHAKEN, ktorý digitálne podpisuje hovor už u pôvodného operátora. Problém je, že takýto systém funguje spoľahlivo len vtedy, keď ho implementujú všetci operátori v reťazci – vrátane tých v zahraničí, odkiaľ prichádza väčšina podvodných hovorov.
Dá sa zistiť, kto za tým skutočne je?
Pre bežného človeka prakticky nie. Skutočné pôvodné číslo síce operátori v logoch majú, ale bežnému užívateľovi ich nevydajú – tieto dáta sa uvoľňujú len polícii v rámci vyšetrovania trestného činu.
Čo robiť, keď zistíte, že niekto zneužíva vaše číslo
- Neblokujte sám seba – blokovanie čísla na vašej strane nič nerieši.
- Informujte svojho operátora – nahláste situáciu.
- Zdokumentujte to – uložte si dátum, čas a čo vám povedali.
- Nezdieľajte číslo zbytočne verejne.
Ako sa brániť, keď volajú vám (zo „spoofnutého" čísla)
- Nedôverujte displeju – displej ukazuje len to, čo mu povedal odosielateľ hovoru.
- Pri podozrivom hovore zaveste a zavolajte späť sami, cez číslo, ktoré ste si sami dohľadali, nie cez spätné tlačidlo v telefóne.
- Neposkytujte citlivé údaje – žiadna banka ani úrad si telefonicky nepýta PIN, OTP kód ani prihlasovacie údaje.
- Overte si druhú osobu inak – pri firemných podvodoch pomáha pravidlo štyroch očí – transakciu nad určitú sumu musí vždy schváliť aj druhá osoba iným kanálom.
- Nahláste podozrivé číslo operátorovi alebo cez appky na rozpoznávanie spamu.
Podvodné hovory nie sú problémom len jednotlivcov. Často cielia aj na firmy, účtovníkov, recepcie či zamestnancov s prístupom k platbám a citlivým údajom. Pomôžeme vám otestovať pripravenosť zamestnancov na phishing, vishing a ďalšie formy sociálneho inžinierstva. Súčasťou môže byť aj praktické školenie, ktoré ľuďom ukáže, ako podobný podvod rozpoznať skôr, než spôsobí škodu. Viac o tejto službe nájdete tu.
