كل ما يستحق المعرفة، ولا شيء مما لا يستحقها.
كيف يقوم المهاجمون بانتحال الشخصية
ثلاثة أنماط. يرسلون البيانات عبر مُجمِّع ضعيف الإدارة لا يُطبِّق قائمة بيضاء لمعرّفات المُرسِلين المُسجَّلين (هذا لا ينبغي أن يحدث أبدًا، ولكنه يحدث). يُوجِّهون البيانات عبر مسار SS7 خارجي يتجاوز عمليات التحقق المحلية من معرّفات المُرسِلين (والتي تُغلقها في الغالب جدران الحماية المتوافقة مع معيار FS.07). يستغلون بنية SIM-box التحتية للإرسال من رقم MSISDN حقيقي، ثم يُضيفون إليه سلسلة علامة تجارية وهمية (تسمح بعض بنى المُجمِّعات بذلك).
كيف يدافع المشغّلون
تسجيل معرّف المُرسِل (الخط الدفاعي الأساسي). تطبيق معرّف المُرسِل الصادر عند المُجمِّع: ترفض بوابة إرسال BroadNet أي رسالة SMS (submit_sm) لا يحتوي حقل مُرسِلها الأبجدي الرقمي على قائمة معرّفات المُرسِلين المُعتمدة لدى العميل للبلد المُستهدف. التحقق من صحة معرّف المُرسِل الوارد عند جدار حماية المُشغِّل: مُقارنة مُرسِل حركة رسائل A2P الواردة مع المُستخدِم المُسجَّل لكل بلد.
ما الذي يجب أن يتوقعه المشترون من منصة تجميع البيانات الخاصة بهم؟
قائمة بيضاء صارمة. إذا سمح لك مُجمِّع البيانات بتعيين معرّف المُرسِل إلى أي سلسلة نصية عشوائية عند استدعاء واجهة برمجة التطبيقات دون موافقة مسبقة، فإن هذا المُجمِّع يُشكِّل خطرًا على النظام البيئي من خلال هجمات التصيّد الاحتيالي عبر الرسائل النصية. تتطلب مُجمِّعات البيانات الموثوقة التسجيل المُسبق لمعرّف المُرسِل. هذا أمرٌ لا جدال فيه.
الدولة التنظيمية
تُشدد هيئات تنظيم الاتصالات في منطقة الشرق الأوسط وشمال أفريقيا (هيئة تنظيم الاتصالات والحكومة الرقمية، وهيئة الاتصالات والفضاء والتقنية، والجهاز القومي لتنظيم الاتصالات، وهيئة تنظيم قطاع الاتصالات) إجراءاتها ضد انتحال معرّف المُرسِل. وتقوم شركات الاتصالات في أسواق الاتحاد الأوروبي بتطبيق التحقق من معرّف مُرسِل الرسائل النصية القصيرة (SMS) ضمن إطار عمل توجيه أمن المعلومات الوطني (NIS2) التابع للاتحاد الأوروبي. وتحل خدمة الرسائل التجارية RCS تدريجياً محل رسائل SMS التقليدية التي تتطلب ثقة عالية، وذلك تحديداً لأن معرّف المُرسِل يتم التحقق منها تشفيرياً.