Rozwiązania wprowadzone Ustawą o zwalczaniu nadużyć w komunikacji elektronicznej mają charakter pionierski w skali świata – jednym z nich jest walka z tak zwanym spoofingiem telefonicznym. To oszustwo polegające na podmianie wyświetlanego numeru na ekranie połączenia przychodzącego. Czyli widzisz, że dzwoni „Mama”, ale to nie twoja mama, tylko oszust, który się pod nią podszywa.
25 września 2024 r. zakończył się okres dostosowawczy dla przedsiębiorców telekomunikacyjnych na wdrożenie mechanizmów przeciwdziałających tak zwanemu spoofingowi telefonicznemu (CLI spoofing). Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (UZNKE) wprowadziła szereg rozwiązań, które przekładają się na cztery obszary: bezpieczniejsze SMS-y, bezpieczniejsze połączenia telefoniczne, bezpieczniejszą pocztę elektroniczną i bezpieczniejszy internet. Regulacje dotyczące spoofingu to już ostatni element, który wprowadzają nowe przepisy.
Czym jest spoofing telefoniczny? Jakie scenariusze mają przestępcy?
Spoofing telefoniczny to oszustwo, które polega na podmianie wyświetlanego numeru na ekranie połączenia przychodzącego. Oszuści podszywają się pod inny numer telefonu za pomocą internetowych bramek telefonicznych. Jest to o tyle niebezpieczne oszustwo, że jeżeli taki zmodyfikowany numer znajduje się w naszych zapisanych kontaktach, to zostanie wyświetlona jego nazwa, np.: Mama czy Brat.
– Najczęściej spoofing telefoniczny jest wykorzystany do wyłudzeń pieniędzy. Scenariuszy jest kilka: udział bliskiej nam osoby w wypadku, konsultant banku sprzedający produkt inwestycyjny, pracownik banku lub policjant informujący o podejrzanych przelewach na naszym koncie – wyjaśnia Szymon Sidoruk, ekspert NASK z Zespołu Analizy Bieżących Zagrożeń CERT Polska.
Niezależnie od opowiedzianej historii, cel jest jeden – nakłonienie odbiorcy do samodzielnego przesłania pieniędzy oszustom.
Jakie obowiązki mają dostawcy, by utrudnić oszustom spoofing
Od teraz firmy telekomunikacyjne mają za zadanie monitorować połączenia i wyszukiwać takie ich cechy, które mogą wskazywać na pochodzenie od oszusta:
- Telefon loguje się do polskiej sieci mimo, że połączenie pochodzi z zagranicy.
- Numer nie ma zgodności z planem numeracji krajowej (np. ma niewłaściwą liczbę cyfr).
- Nadawca poszywa się pod numer alarmowy.
W świetle nowych przepisów, które właśnie zaczęły obowiązywać, w takiej sytuacji firmy telekomunikacyjne mają obowiązek przerwać to połączenie lub – przy mniejszej pewności – usunąć zmienioną nazwę nadawcy. Wtedy połączenie wyświetli się jako „numer zastrzeżony” bądź „numer ukryty”, co powinno budzić czujność u odbiorcy połączenia.
Są już pierwsze efekty zmian. Udział w tym mają internauci
Skuteczność działania wielu mechanizmów, które wprowadziła Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, zależy od samych internautów. Liczy się ich aktywność i chęć do zgłaszania potencjalnych zagrożeń do zespołu CERT Polska w instytucie NASK.
Dzięki zmianom wprowadzonym w UZNKE, trwa walka nie tylko ze spoofingiem telefonicznym, ale także oszustwami z wykorzystaniem SMS-ów. Na podstawie zgłoszeń, które trafiają do CERT Polska, przygotowywany jest wzorzec, który pozwala na blokowanie oszukańczych wiadomości.
Natomiast strona wykorzystywana do oszustwa, trafia na Listę Ostrzeżeń, a dostęp do niej jest blokowany dla innych użytkowników. Dlatego warto przesyłać takie wiadomości SMS na nr 8080.
– Od początku roku zablokowaliśmy na podstawie wytworzonych wzorców ok. 700 tysięcy SMS-ów od oszustów, zanim dotarły do użytkowników. Na Listę Ostrzeżeń w tym czasie trafiło ponad 72 tysiące stron podszywających się m.in. pod serwisy do płatności online, banki czy media społecznościowe – podsumowuje Iwona Prószyńska, ekspertka NASK ds. komunikacji w obszarze cyberbezpieczeństwa.
Oszuści często wykorzystują w swoich działaniach scenariusze nawiązujące do aktualnej sytuacji, w ostatnim czasie to np. powódź. Obecnie CERT Polska ma narzędzia, by przecinać takie działania, również poprzez alerty wysłane za pośrednictwem mObywatela. Jednocześnie strony podszywające się czy to pod platformę społecznościową, czy inne serwisy, są przez CERT Polska wpisywane na Listę Ostrzeżeń.
Celem nowych rozwiązań jest ograniczenie negatywnych zjawisk w cyberprzestrzeni i w naszym przekonaniu ten cel udało się osiągnąć. Zależało nam na tym, by przeprowadzenie ataków przez oszustów było trudniejsze, bardziej kosztowne, a przez ograniczony efekt – mniej opłacalne – tłumaczy Iwona Prószyńska, ekspertka NASK ds. komunikacji w obszarze cyberbezpieczeństwa
Co prawda nie ma sposobu, który pozwala na wyeliminowanie wszelkich oszustw – tych w świecie realnym, a także tych w cyberprzestrzeni, ze względu na ciągły postęp technologii. Możemy natomiast dalej czynić je nieopłacalnymi poprzez szereg działań na poziomie technicznym i prawnym, a także poprzez edukację obywateli po to, by skuteczniej rozpoznawali zagrożenia.