Semua yang perlu diketahui, tidak ada yang tidak perlu.
Cara penyerang melakukan spoofing
Tiga pola. Mereka mengirim melalui agregator dengan tata kelola lemah yang tidak menerapkan daftar putih sender ID terhadap pemilik terdaftar (hal ini seharusnya tidak terjadi, namun tetap terjadi). Mereka merutekan melalui jalur SS7 asing yang melewati pemeriksaan sender ID lokal (sebagian besar ditutup oleh firewall yang selaras dengan FS.07). Mereka menyalahgunakan infrastruktur SIM box SIM untuk mengirim dari MSISDN asli yang kemudian mereka tumpuk dengan string merek alfanumerik palsu (beberapa tumpukan agregator mengizinkan hal ini).
Cara operator melindungi diri
Registrasi sender ID (pertahanan mendasar). Penegakan outbound sender ID pada aggregator: gateway pengiriman BroadNet menolak submit_sm apa pun yang field sender ID alfanumeriknya tidak terdaftar dalam whitelist sender ID pelanggan yang telah disetujui untuk negara tujuan. Validasi inbound sender ID pada firewall operator: melakukan pengecekan silang antara sender ID yang diklaim pada trafik A2P yang masuk terhadap pemilik terdaftar per negara.
Apa yang harus diharapkan pembeli dari agregator mereka
Whitelisting yang ketat. Jika agregator Anda mengizinkan Anda mengatur sender ID ke string sembarang pada saat panggilan API tanpa persetujuan sebelumnya, agregator tersebut merupakan risiko smishing bagi ekosistem lainnya. Agregator bereputasi mewajibkan registrasi sender ID sebelumnya. Titik.
Status regulasi
Regulator MENA (TDRA, CST, NTRA, TRC) semakin agresif terhadap pemalsuan sender ID. Operator di pasar UE sedang menerapkan validasi SMS-Sender-ID di bawah kerangka kerja UE NIS2. RCS Business Messaging secara bertahah menggantikan SMS yang kritis terhadap kepercayaan justru karena pengirimnya terverifikasi secara kriptografis.