必要な情報はすべて、不要な情報は一切なし
攻撃者によるなりすましの仕組み
3つのパターンがあります。1つ目は、登録オーナーに対する送信元IDのホワイトリスト化を強制しない、ガバナンスの弱いアグリゲーターを通じて送信されるケースです（本来あってはならないことですが、実際に発生しています）。2つ目は、現地の送信元IDチェックを回避する海外のSS7ルートを経由するケースです（多くの場合、FS.07に準拠したファイアウォールによって遮断されます）。3つ目は、SIMボックスのインフラを悪用し、実際のMSISDNから送信した上で、偽のブランド文字列を英数字でオーバーレイさせるケースです（一部のアグリゲーターのスタックではこれが可能です）。
通信事業者の防御策
送信元IDの登録（基礎となる防御策）。アグリゲーターによるアウトバウンド送信元IDの強制：BroadNetの送信ゲートウェイは、宛先国に対して顧客が承認済みの送信元IDホワイトリストに含まれていないアルファベット形式の送信元フィールドを持つsubmit_smをすべて拒否します。通信事業者ファイアウォールによるインバウンド送信元IDの検証：受信したA2Pトラフィックの主張する送信元を、国ごとの登録済み所有者と照合します。
バイヤーがアグリゲーターに期待すべきこと
厳格なホワイトリスト方式。もしご利用のアグリゲーターが、事前の承認なしにAPIのコール時に送信元IDを任意の文字列に設定できるのであれば、そのアグリゲーターはエコシステム全体に対するスミッシングのリスクとなります。信頼できるアグリゲーターは、送信元IDの事前登録を必須としています。以上です。
規制状況
中東・北アフリカ（MENA）の規制当局（TDRA、CST、NTRA、TRC）は、送信元IDのなりすましに対してますます厳格な対応をとっています。EU市場の通信事業者は、EU NIS2フレームワークの下でSMS送信元IDの検証を導入しています。送信者が暗号学的に検証されるため、RCS Business Messagingは信頼性が不可欠なSMSに代わり、徐々に普及が進んでいます。