Niebezpiecznik

Telekomy będą stosować rozwiązania wykrywające i ograniczające spoofing. Powstaną wykazy numerów banków i innych instytucji, które ułatwią blokowanie oszustów. CSIRT NASK będzie monitorował smishing. To wszystko w nowej ustawie, która powstała po roku prac i niekoniecznie łatwych dyskusji.

W Niebezpieczniku już kilka razy wspominaliśmy o tym, że politycy chcą rozwiązać problem spoofingu rozmów telefonicznych. Co prawda potrzeba rozwiązania problemu pojawiła się po tym, gdy spoofing uderzył bezpośrednio w polityków, ale mniejsza o to. Dyskutowano różne pomysły, lepsze i gorsze, aż wreszcie rząd zaproponował konkretną ustawę – o zwalczaniu nadużyć w komunikacji elektronicznej. Pisaliśmy o niej m.in. w kontekście interesującej wrzutki MON, która jednak została odrzucona i dziś nie wydaje się istotna.

Prace na etapie rządowym zaczęły się w czerwcu ubiegłego roku. Projekt trafił do Sejmu w marcu, a w lipcu zajął się nim Senat i wprowadził jeszcze swoje poprawki. Ustawa została uchwalona na ostatnim posiedzeniu Sejmu i na stronie tej instytucji dostępny jest tekst po uwzględnieniu poprawek Senatu.

Ustawa jest ciekawa bo zawiera np. definicję smishingu oraz CLI Spoofingu. W obu definicjach podkreślono, że chodzi o takie działania, które służą podszyciu się pod inny podmiot, “w szczególności w celu wywołania strachu, poczucia zagrożenia lub nakłonienia odbiorcy tego połączenia do określonego zachowania, zwłaszcza do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem lub instalacji oprogramowania”.

Monitorowanie smishingu i nowe wykazy

Na mocy ustawy CSIRT NASK będzie miał obowiązek monitorowania smishingu. Organizacja będzie wychwytywać spotykane “wzorce” smishingu i będzie prowadzić system umożliwiający przekazywanie dalej informacji na ich temat (m.in. służbom i telekomom). CSIRT NASK będzie również przyjmował zgłoszenia przejawów phishingu zauważone przez obywateli.

Kolejnym nowym obowiązkiem CSIRT NASK będzie prowadzenie wykazu nadpisów podmiotów publicznych czyli wykazu nazw, jakie w komunikacji będą mogły stosować podmioty publiczne, a także wykaz wariantów tych nazw, które mogą użyte do wprowadzenia w błąd. Ustawa definiuje jak będzie funkcjonował ten wykaz tzn. na jakiej zasadzie będą wpisywane do niego nazwy i jak będzie działać ewentualne zgłaszanie sprzeciwów.

Uwaga. Art. 12 Ustawy mówi jasno, że “podmiot inny niż podmiot publiczny nie może używać jako nadpisu nazwy lub skrótu kończących się wyrażeniem #RP“.

Po co ten wykaz nadpisów? Będzie on współpracował z innym wykazem tj. wykazem integratorów usług SMS, którym podmioty publiczne będą mogły zlecać usługę wysyłania SMS-ów. Ustawa przewiduje, że przedsiębiorcy telekomunikacyjni będą od razu blokować SMS-y zawierające nadpis ujęty w wykazie nadpisów, jeśli wiadomości nie zostaną wysłane przez integratora usług SMS z wykazu integratorów.

Anty-spoofingowe obowiązki telekomów

Przedsiębiorcy telekomunikacyjni będą mieli obowiązek blokować treści zgodne ze wzorcami smishingu wychwyconymi przez CSIRT NASK. Będą też mogli blokować wiadomości nieuwzględnione we wzorcach, o ile zostaną one zidentyfikowane przez nich jako smishing. To blokowanie będzie miało charakter zautomatyzowany.  Telekomy będą też zobowiązane zaprzestawać blokady, jeśli będą ku temu podstawy. Masowi nadawcy tego typu wiadomości będą mogli wnosić sprzeciw do UKE wobec zablokowania ich komunikacji. Ustawa definiuje procedurę sprzeciwu i jej rozpatrywania.

Ponadto Prezes Urzędu Komunikacji Elektronicznej będzie prowadził wykaz numerów służących wyłącznie do odbierania połączeń głosowych. Wpisy do tego wykazu będą dokonywane na wniosek instytucji takich jak banki, SKOKi, fundusze inwestycyjne albo firmy ubezpieczeniowe. Przedsiębiorcy telekomunikacyjni będą mieli obowiązek blokowania połączeń przychodzących z tych numerów, nie później niż 3 dni po umieszczeniu numeru w wykazie.

Ustawa przewiduje jeszcze jedną istotną rzecz. Przedsiębiorcy telekomunikacyjni mają blokować połączenia, albo ukrywać identyfikację dzwoniącego aby aktywnie blokować CLI Spoofing. Art. 19 ustawy wspomina, że w tym celu mają być stosowane “środki organizacyjne i techniczne służące monitorowaniu, wykrywaniu oraz wymianie informacji o CLI spoofing”. Jakie dokładnie środki? Tego ustawa nie definiuje i w sumie dobrze, bo szczegóły techniczne wpisane w ustawie to z reguły proszenie się o problem. Szczegółowe środki będą określone w porozumieniu z UKE, a ustawa zagwarantuje, że operatorzy nie poniosą odpowiedzialności za nienależyte wykonywanie usług w związku z realizacją porozumienia. Obowiązek będzie dotyczył firm mających ponad 50 tys. klientów, ale dla mniejszych operatorów UKE może wydać rekomendacje w tym zakresie.

Art. 26 Ustawy mówi, że przedsiębiorcy telekomunikacyjni będą mogli przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą telekomunikacyjną, o ile będzie to służyć zapobieganiu nadużyciom. Co ważne, przetwarzane w ten sposób informacje nie będą obejmować samych komunikatów (chyba, że będzie to przetwarzanie treści komunikatów, które zostały zablokowane, a samo ich przechowanie będzie służyć obronie przed ewentualnymi roszczeniami ze strony nadawcy).

Niestety nowe przepisy nie ograniczają możliwości zakładania kominiarki do rozmowy telefonicznej. To poważne uchybienie gdyż – jak wiadomo – przestępca zawsze zakłada kominiarkę. Może uda się to naprawić w nowelizacji. Fotka wzięta z depositphotos.com

Lista ostrzeżeń, obowiązki dla dostawców e-poczty

Inne rozwiązania przewidziane w ustawie to zawieranie porozumień miedzy dostawcami internetu, NASK oraz Prezesem UKE, których celem będzie prowadzenie listy ostrzeżeń przed stronami służącymi do oszustw. Lista będzie prowadzona przez CSIRT NASK i każdy będzie mógł zgłaszać domeny, które powinny być dopisane do tej listy. Przewidziano możliwość złożenia sprzeciwu wobec wpisania domeny na listę.

Prezes UKE będzie mógł nakazać przedsiębiorcy telekomunikacyjnemu zablokowanie dostępu do numeru lub usługi (w terminie do 6 godzin od momentu ogłoszenia decyzji) oraz nałożyć obowiązek wstrzymania pobierania opłat za połączenia lub usługi zrealizowane po upływie tego terminu.

Dostawcy poczty elektronicznej (dla podmiotów publicznych, oraz mający ponad 500 tys. klientów) będą zobowiązani do stosowania mechanizmów anty-spoofingowych tzn.

• SPF (Sender Policy Framework),
• DMARC (Domain-based Message Authentication Reporting and Conformance) oraz
• DKIM (DomainKeys Identified Mail).

Przezes UKE będzie mógł monitorować realizowanie tego obowiązku.

Kary pieniężne i przepisy karne

Ustawa przewiduje kary pieniężne dla przedsiębiorców, którzy dopuszczają się generowania sztucznego ruchu, smishingu, CLI spoofingu albo nieuprawnionej zmiany informacji adresowej. Kary będą mogli dostać także dostawcy poczty nie wypełniający swoich obowiązków. W większości przypadków kary wyniosą do 3% przychodu w poprzednim roku kalendarzowym i oczywiście  pomyślano o sposobie wyliczania kar w przypadkach, gdyby przychodu nie było lub gdyby dokumenty finansowe nagle się pogubiły :).

Co ciekawe…

Prezes UKE może, w drodze decyzji, nałożyć na kierującego przedsiębiorstwem telekomunikacyjnym, w szczególności osobę pełniącą funkcję kierowniczą lub wchodzącą w skład organu zarządzającego przedsiębiorcy telekomunikacyjnego lub związku takich przedsiębiorców, karę pieniężną w wysokości do 300% jego miesięcznego wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop wypoczynkowy.

Ustawę kończą przepisy karne. Za generowanie sztucznego ruchu będzie można dostać od 3 miesięcy do 5 lat pozbawienia wolności. Tyle samo przewidziano za podszywanie się pod inny podmiot w celu oszukiwania ludzi choć tu dodano, że w wypadku spraw “mniejszej wagi” można dostać grzywnę, a jeśli czyn popełniono na szkodę osoby najbliższej to ściganie będzie się odbywać na wniosek pokrzywdzonego.

Ustawa wejdzie w życie generalnie 30 dni po ogłoszeniu, choć dla niektórych przepisów przewidziano inne terminy np. blokowanie usług telekomunikacyjnych przez prezesa UKE będzie możliwe po 1 listopada, a niektóre przepisy dotyczące kar wejdą w życie dopiero po upływie 12 miesięcy od dnia wejścia ustawy w życie (jakkolwiek dziwnie to brzmi). Poza tym ustawę musi podpisać Prezydent i trzeba ją opublikować w Dzienniku Ustaw. Walka ze spoofingiem na poziomie państwa nie zacznie się od jutra.

Czy przepisy zakończą smishing?

O rozwiązaniach przyjętych w tej ustawie wiele dyskutowano i często podnoszono te same argumenty – to będzie kosztować, ale nie będzie w 100% skuteczne. Trudno się z tym nie zgodzić, ale mimo wszystko tę ustawę możemy pochwalić. To dobrze, że komuś chciało się pomyśleć nad przepisami, które mają utrudnić oszustwa powtarzane od kilkunastu lat. Oczywiście można było usiąść i płakać, że smishing był i będzie, ale to nie zawsze jest dobre podejście.

Owszem, żadne przepisy nie ochronią nas całkowicie przed socjotechniką. Można robić skuteczne oszustwa telefoniczne bez spoofingu. Można zrobić kreatywny phishing, który będzie wycelowany w specyficzne ofiary i nie zostanie wychwycony od razu. Generalnie problem z socjotechniką jest taki, że celuje ona w słabości człowieka, a nie w słabości technologii czy prawa. Mimo to zablokowanie wysyłki smishingu, choćby spóźnione, zawsze będzie lepsze niż jego beztroskie rozprzestrzenianie się. Da się też zauważyć, że osoby z Polski już teraz mają trudniejszy dostęp do usług telefonii internetowej oferujących podmiankę numeru dzwoniącego (niektórzy dostawcy takich usług wprost informują, że nie będą już robić tego dla numerów polskich). Zastosowane w ustawie rozwiązania mogą mieć duży potencjał, jeśli zostaną połączone z odpowiednimi akcjami informacyjnymi czy edukacyjnymi.

Niedawno informowaliśmy w Niebezpieczniku o opublikowaniu innej ustawy, która wprowadza państwowy rejestr PESEL przeciwko wyłudzeniom kredytów i SIM swaps. Z legislacyjnego punktu widzenia to nie jest dobry rok dla oszustów.