мишинг (SMS-фишинг) — это мошенничество с использованием текстовых сообщений, в ходе которого отправитель выдает себя за доверенную организацию — банк, курьерскую службу или государственный орган — чтобы обманом заставить получателя перейти по вредоносной ссылке или передать учетные данные. Борьба с ним ведется на двух фронтах: операторы фильтруют его в сети с помощью SMS-брандмауэров, проверки репутации ссылок и защиты идентификатора отправителя, а бренды защищаются зарегистрированными, неизменными идентификаторами отправителя и фирменными ссылками.
Смишинг — это лишь одна из атак в более широкой картине мошенничества. О корпоративных атаках на биллинг (SMS-накрутка) и угрозах «серого маршрута» и сигнализации на стороне оператора, которые существуют параллельно, см. защита от мошенничества с A2P-SMS. Это руководство посвящено именно SMS-фишингу.
Почему SMS — любимый канал фишеров
Фишинг по электронной почте десятилетиями имеет многоуровневую защиту — спам-фильтры, переписывание ссылок, предварительный просмотр в изолированной среде и баннерные предупреждения. В SMS-сообщениях практически ничего подобного нет. SMS-сообщение попадает в тот же почтовый ящик, что и настоящий одноразовый пароль от банка получателя, открывается в течение нескольких минут подавляющим большинством получателей и пользуется доверием именно потому, что SMS исторически передавали транзакционные сообщения высокой ценности. На телефоне сокращенный URL-адрес невозможно проверить, наведя на него курсор, истинный адрес остается скрытым до момента нажатия, а небольшой экран скрывает характерные признаки, которые заметил бы пользователь настольного компьютера. Добавьте сюда подмену идентификатора отправителя — когда злоумышленник устанавливает буквенно-цифровой идентификатор отправителя так, чтобы он выглядел точно так же, как у легитимного бренда, — и сообщение приходит, выглядя подлинным. Именно это сочетание высокого доверия, высокой открываемости и низкой проверяемости объясняет успех SMS-фишинга там, где фишинг по электронной почте все чаще терпит неудачу.
Как работает фишинговая атака (смишинг)
В стратегии фишинга используется ряд хорошо зарекомендовавших себя приемов. Понимание этой цепочки позволяет определить, на каком этапе защиты следует использовать каждый из методов.
- Поддельные или похожие идентификаторы отправителя — буквенно-цифровой идентификатор отправителя, точно соответствующий названию банка, или почти идентичный вариант с замененным символом, добавленным пробелом или омоглифом, который читается как название бренда.
- Вредоносные короткие ссылки — это обычные сервисы сокращения URL-адресов или недавно зарегистрированные похожие домены, которые скрывают истинное место назначения и обходят статические списки блокировки.
- Срочность и социальная инженерия — замороженный счет, задержанная посылка, неоплаченная пошлина или штраф: давление, направленное на то, чтобы заставить получателя действовать, не подумав.
- Сбор учетных данных — ссылка открывает идеально точную копию страницы входа в систему или страницы ввода данных карты, чтобы получить имена пользователей, пароли, одноразовые пароли или данные карты.
- Вредоносные программы — на некоторых платформах ссылка или вложение устанавливают банковский троян или программу для кражи SMS-сообщений, которая перехватывает будущие одноразовые пароли жертвы.
- Масштабное подражание брендам — банки, курьерские и доставочные компании, налоговые и государственные электронные сервисы, а также телекоммуникационные операторы являются наиболее часто подражаемыми категориями, поскольку получатели уже ожидают от них сообщений.
В странах Персидского залива наиболее заметными являются мошеннические схемы, имитирующие банки и государственные электронные сервисы — поддельные уведомления о «блокировке аккаунта» или «подтверждении личности», а также заманчивые предложения курьерских служб о «таможенных сборах» в пиковые сезоны розничной торговли. Поскольку регистрация идентификатора отправителя является обязательной на большей части территории Ближнего Востока и Северной Африки, поддельный или незарегистрированный идентификатор сам по себе является сильным сигналом, на который может отреагировать межсетевой экран оператора, и именно здесь начинается защита на стороне сети.
Смишинг против фишинга
Смишинг — это фишинг, перенесенный из электронной почты в SMS, и именно смена канала является основной целью: свойства, которые делают SMS отличным каналом для бизнеса, также делают его отличным каналом для атак.
| Атрибут | Фишинг по электронной почте | Смишинг (SMS-фишинг) |
|---|---|---|
| доверие канала | Умеренный уровень — пользователи с опаской относятся к электронной почте. | Высокий уровень — SMS-сообщения содержат одноразовые пароли и банковские уведомления. |
| Скорость открытия/чтения | Низкий до умеренного | Очень высокий уровень, обычно в течение нескольких минут. |
| Проверка ссылок | Наведите курсор для предварительного просмотра; инструменты для настольных компьютеров | Скрыто до нажатия; на мобильных устройствах не отображается при наведении курсора. |
| Защита поставщиков | Современные спам-фильтры, переписывание ссылок, песочницы. | Разреженный; зависит от брандмауэра оператора. |
| Подмена отправителя | На основе домена, смягчено с помощью SPF/DKIM/DMARC | Подмена буквенно-цифрового идентификатора отправителя, слабые встроенные средства контроля. |
| Первичная защита | Защищенный почтовый шлюз | SMS-брандмауэр + реестр идентификаторов отправителей + репутация ссылок |
Защита на стороне оператора: предотвращение фишинга через SMS в сети.
Сеть — это наиболее эффективное место для предотвращения SMS-фишинга: единый механизм контроля у оператора защищает каждого абонента одновременно, еще до того, как вредоносное сообщение достигнет мобильного телефона. Современная система защиты от SMS-фишинга использует несколько методов, большинство из которых работают внутри SMS-брандмауэра.
- Фильтрация контента — межсетевой экран проверяет тело сообщения, его структуру и метаданные, сопоставляя их с сигнатурами фишинга, правилами ключевых слов и шаблонов, а также известными отпечатками кампаний, после чего помещает совпадения в карантин или отбрасывает их.
- Репутация URL-адресов и ссылок — ссылки извлекаются и проверяются в режиме реального времени по базам данных репутации и черным спискам, поэтому блокируются известные вредоносные ресурсы, недавно зарегистрированные похожие домены и злоупотребляемые общие сокращатели. Информация о номерах телефонов и ссылках, такая как репутация телефонов, используется для принятия аналогичного решения.
- Защита идентификаторов отправителей и реестры — реестр легитимных, зарегистрированных буквенно-цифровых идентификаторов отправителей позволяет сети блокировать поддельные или незарегистрированные идентификаторы, которые выдают себя за бренд, что на рынках с обязательной регистрацией является решающим сигналом.
- Сигнализация и защита от подделки — проверка уровней SS7 и Diameter с использованием маршрутизации к домашнему серверу и проверок источника предотвращает проникновение или подделку сообщений через межсоединение до того, как они попадут в сеть.
- Обнаружение поведенческих аномалий — внезапные всплески активности, распространение сигнала от одного источника на множество подписчиков или всплески идентичных ссылок — активируют модели обнаружения аномалий, которые выявляют кампании, которые не были бы обнаружены статическими правилами.
Эти средства контроля взаимосвязаны: фильтрация контента и ссылок выявляет вредоносный код, проверка идентификатора отправителя выявляет подделку личности, а защита от сигналов выявляет внедрение вредоносного кода. Эта многоуровневая модель — защита на периферии сети, а не на каждом мобильном устройстве — более подробно описана в нашем обзоре безопасности.
Защита предприятия и бренда
Операторы не могут в одиночку бороться с фишингом через SMS. У брендов, которые становятся жертвами фишинга, есть свои рычаги воздействия, и их использование упрощает работу сети, одновременно защищая самый ценный актив бренда — доверие клиентов к его сообщениям. Меры защиты в порядке убывания эффективности:
- Зарегистрируйте свои идентификаторы отправителя на каждом рынке, куда вы отправляете сообщения, и используйте согласованные, зарегистрированные буквенно-цифровые идентификаторы, чтобы клиенты — и межсетевые экраны операторов — могли отличить подлинное сообщение от поддельного.
- Вместо постоянно меняющихся длинных числовых кодов следует стандартизировать небольшой набор фирменных идентификаторов отправителя; предсказуемый идентификатор проще внушать доверие клиентам, а межсетевым экранам легче вносить его в белый список.
- Используйте фирменные домены, на которые ведут ссылки от вашего имени, вместо общих сервисов сокращения URL-адресов, чтобы легитимная ссылка была явно вашей, а сокращенная ссылка стала предупреждающим знаком, который можно научить клиентов не доверять.
- Строго соблюдайте правила безопасного использования ссылок — HTTPS, единый известный домен, никаких запутанных запросов, специфичных для пользователя, и никогда не запрашивайте пароли, полные номера карт или одноразовые пароли по SMS.
- Четко и неоднократно разъясняйте клиентам, что вы никогда не запрашиваете учетные данные или одноразовые пароли по SMS, и публикуйте точные идентификаторы отправителей и домены, которые вы фактически используете.
- Предоставьте клиентам и сотрудникам быстрый и хорошо известный способ сообщать о предполагаемом фишинге через SMS и передавайте эти сообщения вашему оператору и поставщику услуг обмена сообщениями, чтобы списки заблокированных пользователей быстро обновлялись.
- Отслеживайте похожие домены и поддельные идентификаторы отправителей, нацеленные на ваш бренд, и принимайте меры по их удалению — обнаружение фишинга с помощью SMS-сообщений является не только фильтрацией входящих сообщений, но и инструментом защиты бренда.
Обе стороны взаимно усиливают друг друга. Бренд, который регистрирует и стандартизирует свои идентификаторы отправителей, предоставляет межсетевому экрану оператора чистый белый список для применения мер; оператор, который использует защиту репутации ссылок и идентификаторов отправителей, делает зарегистрированную идентификацию бренда действительно значимой для мобильного устройства. Ни одна из сторон не является достаточной в одиночку — защита от SMS-фишинга — это общая стратегия, так же как и более широкая защита от мошенничества в A2P-сетях.
BroadNet использует SMS-брандмауэры внутри сетей операторов связи с фильтрацией контента, обеспечением идентификации отправителя и анализом ссылок и номеров в режиме реального времени — см. возможности SMS Firewall и phone reputation. Та же инфраструктура, которая защищает абонентов от SMS-фишинга, обеспечивает доставку легитимного брендированного трафика.
Часто задаваемые вопросы
Что такое смишинг?
Смишинг — это фишинг, осуществляемый через SMS-сообщения; название образовано от слов «SMS» и «фишинг». Злоумышленник отправляет текстовое сообщение, выдавая себя за доверенную организацию, обычно банк, курьерскую службу или государственный орган, с призывом к действию и вредоносной ссылкой. Переход по ссылке ведет на поддельную страницу входа или оплаты, которая собирает учетные данные, одноразовые пароли или данные карты, либо устанавливает вредоносное ПО на устройство.
Чем отличается смишинг от фишинга?
Фишинг обычно осуществляется по электронной почте; смишинг — это его форма в виде SMS-сообщений. Разница заключается в свойствах канала: у SMS гораздо более высокий процент открытия и доверия, ссылки нельзя навести курсором или просмотреть на телефоне, а у провайдеров отсутствует развитая система фильтрации спама, которой обладает электронная почта. Идентификация отправителя также слабее — буквенно-цифровые идентификаторы отправителя легче подделать, чем домены электронной почты, защищенные SPF, DKIM и DMARC, поэтому большая часть нагрузки ложится на операторов связи.
Как операторы обнаруживают и блокируют фишинговые сообщения с помощью смминга?
Операторы используют SMS-брандмауэр, который проверяет содержимое сообщений и ссылки, сопоставляет известные сигнатуры фишинга и проверяет URL-адреса на соответствие данным о репутации в реальном времени и черным спискам. Он обеспечивает ведение реестра легитимных идентификаторов отправителей для блокировки поддельных или незарегистрированных, проверяет сигнальный уровень SS7 и Diameter на наличие внедренных сообщений и применяет обнаружение поведенческих аномалий для выявления всплесков активности и закономерностей распространения, указывающих на ведущуюся кампанию.
Ссылки
- GSMA — Руководство по борьбе с мошенничеством и обеспечению безопасности (серия FS) и мошенничеству в сфере обмена сообщениями: gsma.com
- CISA (Агентство США по кибербезопасности и защите инфраструктуры) — рекомендации по фишингу через SMS и мошенничеству с помощью SMS: cisa.gov
- BroadNet — защита от SMS-фишинга на стороне оператора: SMS Firewall и репутация телефона.
- BroadNet — защита от мошенничества с A2P SMS: более широкая картина мошенничества, связанного с SMS-фишингом.