Bilmeniz gereken her şey, gereksiz hiçbir şey yok.
Saldırganlar nasıl sahtecilik yapar?
Üç model mevcuttur. Kayıtlı sahiplere karşı gönderici adı beyaz listesi uygulamayan, denetimi zayıf bir toplayıcı (aggregator) üzerinden gönderim yaparlar (bu asla olmamalıdır ancak gerçekleşmektedir). Yerel gönderici adı kontrollerini baypas eden yabancı bir SS7 rotası üzerinden yönlendirme yaparlar (bunlar çoğunlukla FS.07 uyumlu güvenlik duvarları tarafından engellenir). Gerçek bir MSISDN üzerinden gönderim yapmak için SIM-box altyapısını kötüye kullanırlar ve ardından bu numarayı sahte bir marka metni ile alfanümerik olarak maskelerler (bazı toplayıcı yazılım yığınları buna izin vermektedir).
Operatörler nasıl savunma yapar?
Gönderici adı kaydı (temel savunma). Toplayıcı (aggregator) düzeyinde giden gönderici adı uygulaması: BroadNet'in gönderim ağ geçidi, alfanümerik gönderici alanı hedef ülke için müşterinin onaylı gönderici adı beyaz listesinde bulunmayan tüm submit_sm'ları reddeder. Operatör güvenlik duvarı düzeyinde gelen gönderici adı doğrulaması: gelen A2P trafiğinin beyan edilen göndericisini, ülkeye göre kayıtlı sahibiyle çapraz kontrol eder.
Alıcıların agregatörlerinden beklemeleri gerekenler
Sıkı beyaz liste uygulaması. Eğer agregatörünüz, ön onay olmaksızın API arama anında gönderici adını herhangi bir metin olarak ayarlamanıza izin veriyorsa, o agregatör ekosistemin geri kalanı için bir smishing riskidir. Saygın agregatörler gönderici adı ön kaydı gerektirir. Bu kadar.
Yasal düzenlemeler
MENA düzenleyicileri (TDRA, CST, NTRA, TRC), gönderici adı sahtekarlığı konusunda giderek daha agresif bir tutum sergilemektedir. AB pazarlarındaki operatörler, AB NIS2 çerçevesi kapsamında SMS Gönderici Adı doğrulaması uygulamaktadır. RCS Business Messaging'nin güven açısından kritik olan SMS'in yerini kademeli olarak almasının nedeni, göndericinin kriptografik olarak doğrulanıyor olmasıdır.