16 kwietnia 2024 roku to dzień kluczowy dla bezpieczeństwa polskiej cyberprzestrzeni. Wchodzą przepisy, które pozwolą walczyć z SMS-ami rozsyłanymi przez oszustów. Tego samego dnia zacznie się też SECURE 2024, największa i najważniejsza konferencja w Polsce nt. cyberbezpieczeństwa. Jedna z debat dotyczyć będzie właśnie szkodliwych wiadomości SMS.
Od 16 kwietnia każdy nowy cyberatak z wykorzystaniem SMS-ów, który zostanie zgłoszony (czyli przekierowany przez odbiorcę na numer 8080) do CERT Polska, będzie błyskawicznie zablokowany poprzez specjalny wzorzec SMS. Jak to będzie działać w praktyce? O tym poniżej oraz na SECURE 2024.
Remedium na phishing? Wzorce SMS-ów. Już od 16 kwietnia
Przełomowe rozwiązanie, które ma ograniczyć wyłudzanie danych i pieniędzy (phishing) poprzez fałszywe SMS-y, musi zostać wdrożone do 16 kwietnia – po tej dacie operatorzy telekomunikacyjni, którzy tego nie zrobią, będą płacić kary. Dlaczego to rozwiązanie przełomowe? Bo z ponad 80 tysięcy incydentów obsłużonych przez analityków CERT Polska w 2023 r. ponad połowę stanowiły wiadomości phishingowe.
To proste oszustwo, bazujące na wykorzystaniu wizerunku znanego podmiotu oraz socjotechnice, wciąż zbiera największe żniwo. Cyberprzestępcy stawiają na SMS-y, bo to pozwala im na masowe cyberataki w krótkim czasie. Dlatego tak istotne są rozwiązania prawne i systemowe, które eliminują to zagrożenie.
– Przestępcy często sięgają po nisko wiszące owoce, czyli metody pozwalające dotrzeć z oszustwem do wielu osób. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej ma sprawić, by te owoce były dużo trudniej osiągalne – tłumaczy Szymon Sidoruk z CERT Polska. Dodaje, że zaletą ustawy są konkretne, praktyczne rozwiązania, takie jak blokowanie SMS-ów przez operatorów, na podstawie wzorców tworzonych w NASK przez CERT Polska.
– Wzorce tworzymy na podstawie tego, co trafia do nas w zgłoszeniach, m.in. tych na numer 8080. Każda szkodliwa kampania to nowy wzorzec –wyjaśnia Sidoruk.
Wykazy, nadpisy i blokowanie
Ustawa wprowadza jeszcze dwa narzędzia przygotowane i na bieżąco aktualizowane przez CERT Polska, których będą zobowiązani używać operatorzy:
• wykaz nadpisów (informacji o nadawcy, które wyświetlają się po otrzymaniu wiadomości SMS) podmiotów publicznych, prowadzony przez CERT Polska.
Dzięki temu operatorzy telekomunikacyjni zyskają możliwość blokowania SMS-ów, jeśli ktoś będzie chciał się podszyć pod daną instytucję publiczną;
• wykaz numerów, które pozwalają wyłącznie na odbieranie połączeń (po to, żeby nikt nie mógł podszyć się np. pod infolinię banku).
Walka z pishingiem w praktyce. Jak to będzie działać?
Gdy CERT Polska odnotuje nową kampanię ataków wykorzystujących SMS-y, przygotowuje wzorzec fałszywego SMS-a i przekaże go do operatorów telekomunikacyjnych. Dzięki temu oszukańcze SMS-y z konkretniej kampanii phishingowej zostaną zablokowane i nie dotrą do potencjalnych odbiorców. Od momentu dodania wzorca do systemu wszystko odbędzie się automatycznie.
Czy operatorzy będą czytać nasze SMS-y?
Jak tworzy się wzorzec SMS? Ile wzorców przygotował już zespół CERT Polska? Czy korzystanie z wzorców do blokowania niebezpiecznych wiadomości SMS oznacza, że CERT Polska lub operatorzy telekomunikacyjni sprawdzają treść i czytają wszystkie przesyłane wiadomości SMS? Czy próbne wdrożenie tego narzędzia wykazało, że stosowanie tych wzorców to skuteczna metoda?
Te i inne kwestie będą dyskutowane na konferencji SECURE 2024, podczas debaty „Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej – rozwiązania, które czynią cyberprzestrzeń bezpieczniejszą”. 16 kwietnia o godz. 13:35. Wezmą w niej udział:
• Tomasz Bukowski (Kancelaria Prawna Media),
• Piotr Ciotucha (Orange),
• Emil Kędzierski (Polkomtel),
• Tomasz Kędziora (Play),
• Szymon Sidoruk (CERT Polska).