Alles Wissenswerte, nichts Unwissendes.
Wie Angreifer Spoofing
Drei Vorgehensweisen. Sie übermitteln ihre Nachrichten über einen schwach regulierten Aggregator, der die Absender-ID-Whitelist für registrierte Inhaber nicht durchsetzt (dies sollte niemals vorkommen, geschieht aber). Sie leiten ihre Nachrichten über einen externen SS7-Pfad, der lokale Absender-ID-Prüfungen umgeht (die meist durch FS.07-konforme Firewalls blockiert werden). Sie missbrauchen die SIM-Box-Infrastruktur, um von einer echten MSISDN zu senden, die sie anschließend mit einer gefälschten Markenzeichenfolge alphanumerisch überlagern (einige Aggregator-Stacks erlauben dies).
Wie sich Betreiber verteidigen
Registrierung der Absender-ID (die grundlegende Verteidigung). Durchsetzung der Absender-ID beim Aggregator: Das Submission-Gateway von BroadNet weist alle Submit-Anfragen ab, deren alphanumerisches Absenderfeld nicht auf der vom Kunden für das Zielland genehmigten Absender-ID-Whitelist steht. Validierung der Absender-ID beim Betreiber: Abgleich des angegebenen Absenders eingehenden A2P-Datenverkehrs mit dem registrierten Inhaber pro Land.
Was Käufer von ihrem Aggregator erwarten sollten
Strenge Whitelist-Regelung. Wenn Ihr Aggregator es Ihnen erlaubt, die Absender-ID bei API-Aufrufen ohne vorherige Genehmigung auf eine beliebige Zeichenkette festzulegen, stellt dieser Aggregator ein Smishing-Risiko für das gesamte Ökosystem dar. Seriöse Aggregatoren verlangen eine Vorregistrierung der Absender-ID. Punkt.
Regulierungsstatus
Die Regulierungsbehörden im Nahen Osten und Nordafrika (TDRA, CST, NTRA, TRC) gehen verstärkt gegen das Spoofing von Absender-IDs vor. Betreiber in der EU setzen die SMS-Absender-ID-Validierung im Rahmen des EU-NIS2-Rahmenwerks ein. RCS Business Messaging ersetzt zunehmend vertrauenswürdige SMS, da der Absender kryptografisch verifiziert wird.