Правительство устанавливает новые правила для борьбы с мошенничеством и фишингом через SMS
Подробнее
Olhar Digital
olhardigital.com.br

Правительство устанавливает новые правила для борьбы с мошенничеством и фишингом через SMS

Федеральное правительство опубликовало в среду (4-го числа) набор новых директив, направленных на пресечение мошенничества и афер, осуществляемых посредством SMS-сообщений. Эти меры обязывают операторов связи регистрировать компании, ответственные за отправку таких сообщений, и блокировать любые SMS, отправленные с коротких кодов, которые не были должным образом зарегистрированы.

Национальное агентство телекоммуникаций (Anatel) будет отвечать за контроль соблюдения этих норм, которые должны быть внедрены в течение 90 дней, с возможностью продления этого периода.

Одно из основных изменений, введенных в действие, — это создание публичного реестра, призванного идентифицировать компании, ответственные за рассылку сообщений с использованием коротких кодов. Эти коды — многозначные номера, которые функционируют как отправители, например, «29222», в отличие от традиционного телефонного номера.

По сути, это изменение устанавливает строгую систему контроля над тем, какие компании имеют право использовать такие номера для отправки сообщений на мобильные телефоны. Запрещая прием SMS от отправителей, не включенных в реестр, операторы будут вынуждены блокировать доставку этих сообщений.

Кроме того, каждый короткий код должен принадлежать только одной компании. Anatel может предоставить исключения из этого правила при наличии обоснования, представленного технически.

Новые правила также определяют ответственность корпораций, участвующих в перенаправлении сообщений. Такие компании должны внедрить механизмы автоматического мониторинга для обнаружения подозрительных кампаний и любых попыток подмены личности отправителя.

Растущая обеспокоенность этим типом мошенничества была подтверждена исследованием, проведенным в августе Региональным центром исследований развития информационного общества (Cetic.br). Исследование под названием «Конфиденциальность и защита персональных данных» показало, что 71% опрошенных сообщили о том, что стали жертвами мошеннических контактов через SMS.

Мессенджеры были упомянуты 84% участников, в то время как телефонные звонки появились в 79% сообщений. Другие средства связи также продемонстрировали высокую частоту, как было отмечено.

По данным Министерства коммуникаций, эти новые требования представляют собой прямой ответ на рост цифрового мошенничества — явления, обусловленного как расширением цифровых услуг, так и более широким принятием этих услуг населением. Правила были официально опубликованы в Официальном вестнике Союза (DOU).

Похожие сюжеты

Anatel предписывает операторам блокировать отправку незарегистрированных корпоративных SMS для борьбы с мошенничеством
Подробнее
tecnoblog.net

Anatel предписывает операторам блокировать отправку незарегистрированных корпоративных SMS для борьбы с мошенничеством

Национальное агентство телекоммуникаций (Anatel) издало новое предписание, требующее от операторов мобильной связи запретить отправку корпоративных SMS-сообщений, исходящих с незарегистрированных коротких кодов. Эта мера направлена на пресечение мошеннических схем, которые используют идентификаторы, выглядящие легитимными, имитируя финансовые учреждения, компании и государственные органы.

Это решение является частью нового набора норм, созданных для противодействия мошенничеству посредством поддельных сообщений, и было официально опубликовано в Официальном вестнике Союза в этот четверг, 04.11. Кроме того, правила требуют публичной регистрации отправителей и использования автоматизированных систем для обнаружения подозрительной активности. Операторам предоставлен срок до 90 дней для внедрения этих мер.

Основное внимание в этом решении уделяется так называемым SMS A2P (Application-to-Person), то есть сообщениям, отправляемым компаниями непосредственно потребителям. Этот формат широко используется для рассылки кодов подтверждения, уведомлений о покупках, банковских оповещений и других видов сообщений.

Многие из этих сообщений поступают с использованием коротких кодов, которые представляют собой многозначные номера, отображаемые вместо стандартного телефонного номера. Согласно новым директивам, эти идентификаторы должны быть обязательно привязаны к должным образом зарегистрированным компаниям. Следовательно, операторы должны блокировать доставку корпоративных SMS, поступающих с кодов, отсутствующих в официальном реестре.

Важно отметить, что это требование не подразумевает полной блокировки сообщений, которыми обмениваются частные лица. Основная цель состоит в обеспечении возможности идентификации ответственных за корпоративные отправления и ускорении отслеживания возможных случаев мошенничества.

Управление этим реестром может быть делегировано ABR Telecom, организации, которая в настоящее время управляет системами роуминга и переносимости номеров. Сама ABR Telecom готовилась к централизации контрактов на использование номеров, применяемых в услугах обмена сообщениями на территории Бразилии, начиная с января, как сообщалось тогда Teletime.

Новые правила Anatel предусматривают создание централизованного справочника, доступного общественности. С его помощью потребители смогут узнать, какая компания связана с каждым коротким кодом, используемым для отправки SMS. Каждый идентификатор должен использоваться юридическим лицом, хотя совместное использование может быть разрешено в исключительных обстоятельствах при условии предоставления технического обоснования в Anatel, после чего все вовлеченные компании должны быть включены в реестр.

По данным TeleSíntese, использование одного кода несколькими отправителями усложняет определение источника сообщений и снижает эффективность механизмов блокировки. Поставщики услуг также будут обязаны внедрить автоматизированные системы, способные выявлять необычные объемы отправки, подделку отправителей и потенциальные мошеннические кампании.

Обязательства распространяются также на компании, генерирующие или посредничающие в сообщениях. Такие компании должны подтверждать личность заказчика услуги, вести учет, позволяющий отследить отправления, и сотрудничать в расследовании мошенничества.

Сроки выполнения начинают отсчитываться с даты публикации постановления. Установлен конкретный график, который включает проведение операторами образовательных кампаний до открытия реестра с целью информирования пользователей о том, как осуществить запрос. Хотя меры могут затруднить атаки на корпоративные системы обмена сообщениями, они не устраняют всех форм угроз. Smishing, являющийся вариантом фишинга через SMS, позволяет преступникам побуждать жертв заходить на поддельные страницы для предоставления личных или банковских данных. Кроме того, существуют мошенничества, использующие подпольные антенны для имитации телефонных сетей, из-за чего сообщения доходят до устройств, минуя обычные каналы операторов. По этой причине простое включение короткого кода в реестр не гарантирует безопасности каждого отправленного им сообщения.

Anatel будет контролировать внедрение этих мер и должна получить подробный отчет о результатах плана по борьбе с мошенничеством в течение максимум 180 дней.

Уязвимость в Telegram для Android позволяла злоумышленникам выполнять код при ответе на звонок
Подробнее
olhardigital.com.br

Уязвимость в Telegram для Android позволяла злоумышленникам выполнять код при ответе на звонок

Обнаружена уязвимость в приложении Telegram для операционной системы Android, которая позволяла злоумышленникам выполнять произвольный код на устройстве жертвы после того, как та отвечала на голосовой вызов. Эта проблема была выявлена компанией по обеспечению безопасности NebuSec и устранена в версии приложения 12.10.4.

Уязвимость затрагивала версии приложения в диапазоне от 8.6.2 до 12.10.3 и была актуальна в период с марта 2022 года по сентябрь 2026 года. Чтобы обеспечить защиту, пользователям рекомендуется убедиться, что они используют исправленную версию или более новую.

Причина ошибки заключалась в процессе обработки сообщений, которые использовались для настройки и отображения статуса вызовов. Когда такое сообщение не содержало всех ожидаемых полей, код некорректно обращался к определенной области памяти устройства.

NebuSec продемонстрировала возможность выполнения кода во время частного вызова, принятого на телефоне с процессором ARM64. В видеоматериале, опубликованном компанией, наблюдалось закрытие Telegram, появление главного экрана устройства с сообщением «HACKED BY NEBUSEC» (что переводится как «взломано NebuSec»).

Среди характеристик и ограничений, определенных компанией, было отмечено, что для проверки установленной версии пользователь должен зайти в настройки Telegram и посмотреть номер в нижней части страницы. Версия 12.10.4 устраняет данный недостаток.

Несмотря на то, что приложения используют общую библиотеку для голосовых и видеозвонков, исправление уже было интегрировано в коды версий для iPhone и компьютера еще до того, как оно попало в Android.

29 октября уязвимость еще не имела идентификатора CVE, который используется для каталогизации уязвимостей безопасности. Издание The Hacker News сообщило, что оно обратилось к Telegram и NebuSec с вопросами о применении этой уязвимости в реальных атаках и о масштабе исполняемого кода на устройстве.

Первоначально публикация о данной уязвимости появилась на ресурсе Olhar Digital.

Популярное