Spoofing telefonu: dlaczego na ekranie widzisz numer banku

Telefon wyświetla numer banku, a rozmówca przedstawia się jako jego pracownik. Nawet jeśli znajdziesz ten sam numer przy infolinii w internecie, nie masz jeszcze potwierdzenia tożsamości dzwoniącego. CERT Polska opisuje taki sposób podszywania się pod bank: połączenie pochodzi z innego numeru, lecz na ekranie pojawia się identyfikacja dobrana tak, aby wzbudzić zaufanie.

Co naprawdę sprawdzasz, porównując numer

Spoofing telefonu, określany jako CLI spoofing, polega na zmianie informacji o numerze prezentowanym odbiorcy połączenia. Wyświetlone cyfry mogą więc wskazywać infolinię, choć rozmowy nie rozpoczął bank. CERT porównuje tę informację do nazwy kontaktu widocznej w telefonie: jest etykietą przedstawiającą rozmówcę. Sama jej treść nie stanowi dowodu, że po drugiej stronie znajduje się osoba uprawniona do reprezentowania instytucji.

Przy sprawdzaniu takiego telefonu oddziel pytanie, czy numer należy do banku, od pytania, czy właśnie bank do ciebie dzwoni. Odnalezienie zgodnych cyfr w internecie odpowiada tylko na pierwsze z nich. Nie wykonuj poleceń rozmówcy wyłącznie dlatego, że rozpoznajesz numer. W opisanym przez CERT oszustwie właśnie łatwość powiązania infolinii z instytucją uwiarygodnia osobę podszywającą się pod jej pracownika.

Dlaczego nie wystarczy liczyć na operatora

Opisane przez CERT rozwiązanie ustawowe obejmuje wykaz numerów przeznaczonych wyłącznie do odbierania telefonów. Chodzi o infolinie, które łatwo przypisać do konkretnej instytucji. Instytucje mają zgłaszać takie numery Prezesowi UKE, a operatorzy blokować połączenia przedstawiane jako wychodzące z numerów umieszczonych w wykazie. Mechanizm dotyczy zatem określonej listy, a nie automatycznego uznawania wszystkich numerów bankowych za chronione.

W omówieniu ustawy CERT podaje odrębne terminy: 6 miesięcy dla blokowania połączeń z numerów objętych wykazem oraz 12 miesięcy dla obowiązku reagowania na rozpoznany spoofing przez blokowanie lub ukrywanie fałszywego identyfikatora. Oba okresy liczy od ogłoszenia ustawy, czyli od 25 sierpnia. Są to terminy wdrożenia zabezpieczeń, więc samego opisania tych obowiązków nie należy traktować jako potwierdzenia, że każde odbierane połączenie zostało już zweryfikowane.

Źródło

CERT Polska, 12.09.2023: https://cert.pl/posts/2023/09/uznke/

Zdjęcie: Raimond Spekking, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0), Wikimedia Commons, https://commons.wikimedia.org/wiki/File:FeAp_92-1a_-_handset-4975.jpg