Co je to SMShing a jak funguje

smartphoneSMShing je v podstatě phishing přes SMS. Jinými slovy, přijde vám SMS, ve které se útočník vydává za někoho jiného a vybízí vás ke kliknutí na odkaz.

Ten vede na stránku se škodlivým kódem nebo podvodnou stránku, která po vás vyžaduje zadání citlivých údajů.

Se SMShingem jsme se mohli ve větší míře setkat již v roce 2014, ale tenkrát se jednalo o útoky, které probíhaly především v zahraničí. Doba však pokročila a s určitým zpožděním, jak už to obvykle bývá, tento typ útoku dorazil i do ČR a je veden na české uživatele resp. uživatele s českým mobilním číslem.

SMShing v zásadě funguje na stejném principu jako phishing. Útočník rozešle SMS na telefonní čísla, která našel v seznamu telefonu, který se mu již povedlo kompromitovat anebo na čísla náhodně vygenerovaná.

Vzhledem k tomu, že útočník ví, kolik cifer telefonní číslo obsahuje a jaké prefixy používají jednotlivé státy, není pro něj problém tento útok cílit na konkrétní zemi, resp. držitele SIM karet s daným prefixem.

Důvod, proč jsme se SMShingem nesetkali již mnohem dříve, byl především ten, že v té době používané hloupé telefony neobsahovaly plnohodnotný operační systém, prohlížeč internetu a především zranitelnosti, kterých by se dalo zneužít. Svou roli sehrálo také to, že datový tarif byl drahý a ne každý si ho mohl dovolit.

S nástupech chytrých telefonů s operačním systémem Google Android se však otevřel prostor i pro tento typ útoku. Útočník ale potřeboval, aby došlo k dostatečné penetraci těchto telefonů mezi obyvatelstvo, a proto ještě nějaký čas vyčkával.

Útočník si ověřil, že není problém doručit na libovolné telefonní číslo SMS s odkazem, prohnaným navíc ještě nějaký zkracovačem a docílit toho, aby uživatel na odkaz kliknul.

Aby se útočníkovi tento útok vyplatil, musel by uživatel na odkazované stránce zadat citlivé údaje nebo si nainstalovat škodlivou aplikaci. Útočník dobře věděl, z již realizovaných phishing kampaní, že konverzní poměr je velice nízký.

Rozuměj, že musí rozeslat obrovské množství e-mailů a jen pár příjemců mu na odkaz nebo přílohu klikne a stáhne si malwaru do počítače anebo mu na odkazované stránce zadá citlivé údaje.

A protože náklady na rozeslání SMS jsou obvykle o něco vyšší než u e-mailu, a stejně tak je větší i riziko odhalení, už jen třeba kvůli podvržení identifikace odesílatele, je z pohledu útočníka výhodnější hacknout nějakou SMS bránu nebo nakazit nespočet chytrých telefonů, a z těch pak SMS odesílat.

Útočník dále využívá skutečnosti, že Google Android umožňuje instalovat aplikace i z jiných zdrojů a že ani aplikace na Google Play nejsou nijak důkladně kontrolovány a tuto funkcionalitu zabudoval do nich.

Úspěšné realizaci dalšího útoku pak nahrávají i zranitelnosti, které byly v systému Google Android objeveny, a které nejspíš nebudou ani nikdy opraveny. Na takový telefon v zásadě stačí poslat SMS s odkazem a čekat, až na něj příjemce klikne.

Poté dojde ke stažení a instalaci škodlivého kódu, který může dělat cokoliv, od rozesílání SMS, příjem premium SMS nebo odchytávání SMS s autorizačními kódy do internetového bankovnictví.

Řešením je na odkazy v SMS neklikat, protože nevíte, kam vedou. Mnohdy jsou navíc použity i zkracovače adres a dochází k přesměrování na další server. A hlavně, k nakažení může dojít již pouhou návštěvou takové stránky, obzvlášť u telefonů s Google Android.


Pokud vás tento příspěvek zaujal, sdílejte ho!
Share on FacebookShare on LinkedInTweet about this on TwitterShare on Google+Email this to someonePrint this page

Štítky:


K článku “Co je to SMShing a jak funguje” se zde nenachází žádný komentář - buďte první.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.

Přihlášeným uživatelům se tento formulář nezobrazuje - zaregistrujte se.

Jméno:(požadováno)
E-mail:(požadováno - nebude zobrazen)
Web:

Text vaší reakce: