Tutto ciò che vale la pena sapere, niente di superfluo.
Come gli aggressori simulano
Tre schemi ricorrenti. Inviano messaggi tramite un aggregatore con controlli deboli che non impone la whitelist dell'ID mittente ai proprietari registrati (questo non dovrebbe mai accadere, ma accade). Instradano i messaggi attraverso un percorso SS7 esterno che aggira i controlli locali dell'ID mittente (per lo più bloccati da firewall conformi allo standard FS.07). Abusano dell'infrastruttura delle SIM box per inviare messaggi da un MSISDN reale a cui sovrappongono, tramite codifica alfanumerica, una stringa di marca falsa (alcuni stack di aggregatori lo consentono).
Come gli operatori si difendono
Registrazione dell'ID mittente (la difesa fondamentale). Applicazione dell'ID mittente in uscita presso l'aggregatore: il gateway di invio di BroadNet rifiuta qualsiasi submit_sm il cui campo mittente alfanumerico non sia presente nella whitelist dell'ID mittente approvato dal cliente per il paese di destinazione. Validazione dell'ID mittente in entrata presso il firewall dell'operatore: verifica incrociata del mittente dichiarato del traffico A2P in entrata rispetto al proprietario registrato per paese.
Cosa dovrebbero aspettarsi gli acquirenti dal loro aggregatore
Rigoroso sistema di whitelisting. Se il tuo aggregatore ti permette di impostare l'ID mittente su una stringa arbitraria al momento della chiamata API senza previa approvazione, quell'aggregatore rappresenta un rischio di smishing per il resto dell'ecosistema. Gli aggregatori affidabili richiedono la pre-registrazione dell'ID mittente. Punto.
Stato regolatore
Le autorità di regolamentazione del Medio Oriente e del Nord Africa (TDRA, CST, NTRA, TRC) sono diventate sempre più aggressive nei confronti dello spoofing dell'ID mittente. Gli operatori nei mercati dell'UE stanno implementando la convalida dell'ID mittente tramite SMS nell'ambito del quadro normativo NIS2 dell'UE. RCS Business Messaging sta gradualmente sostituendo gli SMS, che sono fondamentali per la fiducia, proprio perché il mittente viene verificato crittograficamente.