Национальное агентство телекоммуникаций (Anatel) издало новое предписание, требующее от операторов мобильной связи запретить отправку корпоративных SMS-сообщений, исходящих с незарегистрированных коротких кодов. Эта мера направлена на пресечение мошеннических схем, которые используют идентификаторы, выглядящие легитимными, имитируя финансовые учреждения, компании и государственные органы.
Это решение является частью нового набора норм, созданных для противодействия мошенничеству посредством поддельных сообщений, и было официально опубликовано в Официальном вестнике Союза в этот четверг, 04.11. Кроме того, правила требуют публичной регистрации отправителей и использования автоматизированных систем для обнаружения подозрительной активности. Операторам предоставлен срок до 90 дней для внедрения этих мер.
Основное внимание в этом решении уделяется так называемым SMS A2P (Application-to-Person), то есть сообщениям, отправляемым компаниями непосредственно потребителям. Этот формат широко используется для рассылки кодов подтверждения, уведомлений о покупках, банковских оповещений и других видов сообщений.
Многие из этих сообщений поступают с использованием коротких кодов, которые представляют собой многозначные номера, отображаемые вместо стандартного телефонного номера. Согласно новым директивам, эти идентификаторы должны быть обязательно привязаны к должным образом зарегистрированным компаниям. Следовательно, операторы должны блокировать доставку корпоративных SMS, поступающих с кодов, отсутствующих в официальном реестре.
Важно отметить, что это требование не подразумевает полной блокировки сообщений, которыми обмениваются частные лица. Основная цель состоит в обеспечении возможности идентификации ответственных за корпоративные отправления и ускорении отслеживания возможных случаев мошенничества.
Управление этим реестром может быть делегировано ABR Telecom, организации, которая в настоящее время управляет системами роуминга и переносимости номеров. Сама ABR Telecom готовилась к централизации контрактов на использование номеров, применяемых в услугах обмена сообщениями на территории Бразилии, начиная с января, как сообщалось тогда Teletime.
Новые правила Anatel предусматривают создание централизованного справочника, доступного общественности. С его помощью потребители смогут узнать, какая компания связана с каждым коротким кодом, используемым для отправки SMS. Каждый идентификатор должен использоваться юридическим лицом, хотя совместное использование может быть разрешено в исключительных обстоятельствах при условии предоставления технического обоснования в Anatel, после чего все вовлеченные компании должны быть включены в реестр.
По данным TeleSíntese, использование одного кода несколькими отправителями усложняет определение источника сообщений и снижает эффективность механизмов блокировки. Поставщики услуг также будут обязаны внедрить автоматизированные системы, способные выявлять необычные объемы отправки, подделку отправителей и потенциальные мошеннические кампании.
Обязательства распространяются также на компании, генерирующие или посредничающие в сообщениях. Такие компании должны подтверждать личность заказчика услуги, вести учет, позволяющий отследить отправления, и сотрудничать в расследовании мошенничества.
Сроки выполнения начинают отсчитываться с даты публикации постановления. Установлен конкретный график, который включает проведение операторами образовательных кампаний до открытия реестра с целью информирования пользователей о том, как осуществить запрос. Хотя меры могут затруднить атаки на корпоративные системы обмена сообщениями, они не устраняют всех форм угроз. Smishing, являющийся вариантом фишинга через SMS, позволяет преступникам побуждать жертв заходить на поддельные страницы для предоставления личных или банковских данных. Кроме того, существуют мошенничества, использующие подпольные антенны для имитации телефонных сетей, из-за чего сообщения доходят до устройств, минуя обычные каналы операторов. По этой причине простое включение короткого кода в реестр не гарантирует безопасности каждого отправленного им сообщения.
Anatel будет контролировать внедрение этих мер и должна получить подробный отчет о результатах плана по борьбе с мошенничеством в течение максимум 180 дней.
