Niebezpiecznik

Już niebawem połączenia przychodzące z numerów banków i SKOK-ów będą od razu blokowane. Nie będzie też już można dowolnie definiować nadpisu wiadomości SMS wysyłanych na polskie numery telefonów. To elementy wdrażania ustawy anty-spoofingowej, która ma utrudnić życie oszustom podszywającym się pod firmy i instytucje. Na jej pełne wdrożenie jednak jeszcze trochę poczekamy.

Powstała za późno, ale dobrze, że powstała

W Niebezpieczniku już kilka razy pisaliśmy o ustawie, która ma powstrzymać oszustwa bazujące na spoofingu telefonicznym i SMS-owym. Jest to Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, która powstawała dość długo (od czerwca 2022) i nie bez problemów po drodze. Przyjęcie jej przez Sejm nastąpiło latem ubiegłego roku, ale dopiero wczoraj nastąpiło wejście ustawy w życie.

Jak to ma działać?

Przypomnijmy krótko w jaki sposób nowe przepisy mają zwalczyć spoofing.

1. Ustawa wprowadza definicję smishingu oraz CLI Spoofingu. Przewiduje kary pieniężne dla przedsiębiorców, którzy dopuszczają się generowania sztucznego ruchu, smishingu, CLI spoofingu albo nieuprawnionej zmiany informacji adresowej.
2. Telekomy mają aktywnie blokować CLI Spoofing.
3. Na CSIRT NASK nałożono obowiązek monitorowania smishingu.
4. CSIRT NASK ma prowadzić wykaz nadpisów podmiotów publicznych, czyli wykaz nazw, jakie w komunikacji będą mogły stosować podmioty publiczne (a także wykaz wariantów tych nazw).
5. Wykaz nadpisów będzie współpracował z wykazem integratorów usług SMS, którym podmioty publiczne mogą zlecać wysyłanie SMS-ów. Telekomy mają blokować SMS-y zawierające nadpis ujęty w wykazie nadpisów, jeśli wiadomości nie zostaną wysłane przez odpowiedniego integratora.
6. Podmiot inny publiczny nie może używać nazw kończących się wyrażeniem #RP.
7. Przedsiębiorcy telekomunikacyjni będą mieli obowiązek blokować treści zgodne ze wzorcami smishingu wychwyconymi przez CSIRT NASK.
8. Ustawa wprowadza wykaz numerów służących wyłącznie do odbierania połączeń głosowych. Telekomy będą miały obowiązek blokowania połączeń przychodzących z tych numerów, nie później niż 3 dni po umieszczeniu numeru w wykazie.

Rusza wykaz DNO

Od wczoraj telekomy mają obowiązek blokować wiadomości SMS zawierające fałszywe nadpisy (identyfikatory wiadomości SMS, czyli te nazwy “na górze”, oznaczające nadawcę wiadomości). Przykładem nadpisu, który będzie blokowany może być np. “e-US” używany przez Krajową Administrację Skarbową. Z niego korzystać będzie mógł tylko KAS.

Ruszył też wykaz numerów służących wyłącznie do odbierania połączeń głosowych. Bywa on także określany jako “wykaz DNO” od angielskiego Do Not Originate. Na numery w tym wykazie będzie można zadzwonić, ale nie będzie można z nich wykonać połączenia wychodzącego. Ma to ograniczyć możliwość podszywania się oszustów pod numery np. infolinii banków czy urzędów. Od dawna korzystali z tego przestępcy do okradania Polaków — poniżej przykład spoofowanej rozmowy z oszustem:

Jak poinformował UKE, od dziś (26 marca) można składać wnioski o wpis numeru do wykazu DNO. Wnioski mogą składać wyłącznie uprawnione instytucje, to których zaliczane są:

1. banki,
2. oddziały banków zagranicznych i instytucji kredytowych
3. Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa oraz spółdzielcza kasa oszczędnościowo-kredytowa,
4. firmy inwestycyjne (w rozumieniu ustawy o obrocie instrumentami finansowymi),
5. fundusze inwestycyjne oraz towarzystwa funduszy inwestycyjnych,
6. instytucje płatnicze,
7. zakłady ubezpieczeń i reasekuracji,
8. jednostki sektora finansów publicznych,
9. telekomy w zakresie numerów wykorzystywanych przy obsłudze klietnów.

Wnioski o wpis do rejestru składa się elektronicznie. Gdyby ktoś koniecznie musiał wiedzieć jak to zrobić, może zdobyć niezbędne informacje na stronie BIP UKE. Sam wykaz DNO możecie znaleźć pod adresem numeracja.uke.gov.pl/pl/orvc_tables. Niestety dziś rano nie prezentuje się imponująco. Mamy nadzieję, że to się szybko zmieni.

Wykaz numerów w Rejestrze DNO. Stan na 26 marca 2024 

Numery wpisane do wykazu będzie można z niego usunąć. Prezes UKE zrobi to “niezwłocznie” po otrzymaniu stosownego wniosku, ale nie później niż w ciągu 5 dni. Co dalej? Dopiero we wrześniu wejdą w życie obowiązki dotyczące zwalczania fałszywych połączeń głosowych przez przedsiębiorców telekomunikacyjnych. Do tego czasu trzeba wdrożyć rozwiązania służące identyfikacji fałszywego ruchu. Wcześniej powinien być wdrożony system Telegraf, który będzie służył przekazywaniu wzorców oszukańczych SMS-ów. Telekomy powinny podłączyć się do tego systemu do 16 kwietnia. Doceniamy postępy we wdrażaniu ustawy, ale o jednej rzeczy musimy przypomnieć.

Oszuści nie odpuszczą

Żadne przepisy nie ochronią nas całkowicie przed socjotechniką. Oszustwa SMS-owe i telefoniczne często dokonywane są bez spoofingu (coraz częściej przestępcy dzwonią ze zwykłych numerów telefonów komórkowych, ale wiarygodna “gadka” przekonuje ofiary, że są urzędnikami, policjantami lub pracownikami banków, którzy mieli ważny powód aby dzwonić z prywatnego numeru).

Dopasowanie scenariusza do sytuacji ofiary i wywołanie silnej reakcji emocjonalnej może być ważniejsze przy atakowaniu mniej technicznych obywateli, którzy nie zawsze przywiązują wagę do “jakichś nadpisów”. Socjotechnika z zasady nie celuje w słabości technologii czy prawa. Jej istotą jest wykorzystanie błędów człowieka, a tych niestety żadna ustawa nie zmieni. Zmienić może tylko edukacja, znajomość scenariuszy ataku i przygotowanie. Dlatego warto zapoznać się z listą aktualnych technik, jakimi cyberprzestępcy oszukują Polaków, a te pokazujemy tutaj.

Czas pokaże czy i w jaki sposób oszuści dostosują się do tej sytuacji, natomiast absolutnie konieczne jest utrzymanie czujności i edukowanie bo prawo wszystkiego za nas nie zrobi.