O que é SMS Spoofing?
Spoofing de SMS é a prática de alterar as informações do remetente em uma mensagem de texto para que pareça ter se originado de um número de telefone ou ID de remetente diferente. Ao contrário do SMS tradicional, em que o número do remetente é verificado pela operadora, as mensagens falsificadas manipulam o campo do remetente, permitindo que invasores ou profissionais de marketing se façam passar por entidades legítimas, como bancos, agências governamentais ou empresas confiáveis. Embora alguns spoofings tenham usos legítimos (por exemplo, empresas exibindo o nome de uma empresa em vez de um número), o spoofing malicioso é uma tática comum em campanhas de phishing (smishing), fraude e spam.
Por que a falsificação de SMS é uma preocupação?
A falsificação de SMS representa riscos significativos à segurança e à privacidade porque explora a confiança inerente que as pessoas depositam nos identificadores de chamadas e nos nomes dos remetentes.
Os cibercriminosos usam mensagens falsas para:
- Enganar os destinatários para que revelem informações confidenciais (por exemplo, alertas bancários falsos que levam ao roubo de credenciais).
- Espalhe malware por meio de links maliciosos disfarçados de notificações legítimas.
- Ignore os filtros de spam, pois mensagens falsas geralmente imitam remetentes confiáveis.
- Praticar fraudes financeiras, como notificações falsas de entrega ou golpes com prêmios.
Para as empresas, a falsificação pode prejudicar a reputação da marca se os clientes receberem mensagens fraudulentas que parecem vir de seus números oficiais.
Como funciona o spoofing de SMS?
A falsificação explora vulnerabilidades no protocolo de sinalização SS7 (usado em redes de telecomunicações) ou abusa de serviços legítimos de gateway de SMS.
Os métodos comuns incluem:
- Falsificação de ID de remetente alfanumérico – Uso do nome de uma empresa (por exemplo, “SeuBanco”) em vez de um número de telefone, o que alguns gateways permitem sem verificação.
- Explorações do protocolo SS7 – Manipulação de sinalização de telecomunicações para falsificar o número do remetente.
- Abuso de gateway – Alguns provedores de SMS oferecem spoofing como um recurso (por exemplo, para atendimento ao cliente), mas os invasores o utilizam indevidamente.
- Fraude de caixa SIM – Uso de hardware para mascarar a verdadeira origem das mensagens.
Uma vez falsificadas, as mensagens parecem genuínas para os destinatários, tornando-os mais propensos a interagir com conteúdo malicioso.
Quem usa falsificação de SMS?
- Cibercriminosos – Para phishing, golpes e ataques de engenharia social.
- Fraudadores – Para se passar por bancos, agências governamentais ou serviços de entrega.
- Empresas legítimas – Algumas usam spoofing para mensagens de marca (por exemplo, “Amazon” em vez de um número aleatório).
- Pesquisadores e hackers éticos – Para demonstrar vulnerabilidades em telecomunicações.
Quando a falsificação de SMS se tornou comum?
O spoofing existe desde o início dos anos 2000, mas ganhou notoriedade na década de 2010 com o surgimento do smishing (phishing por SMS). Ataques de alto perfil, como alertas falsos da Receita Federal ou de bancos, evidenciaram os riscos. Desde então, os reguladores de telecomunicações impuseram regras mais rígidas de verificação de identidade do remetente, mas o spoofing continua sendo uma ameaça devido a falhas herdadas do SS7 e à aplicação inconsistente de suas normas globais.
Spoofing de SMS vs. Spoofing de Identificação de Chamadas: Uma Comparação
Embora ambos manipulem informações do remetente, existem diferenças importantes:
| Aspecto | Falsificação de SMS | Falsificação de identificador de chamadas |
| Forma | Altera o ID do remetente do SMS/número de telefone | Falsifica o número exibido pelo chamador |
| Usos comuns | Phishing, spam, representação | Robocalls, ligações fraudulentas, personificação |
| Protocolo Explorado | Vulnerabilidades de gateway SS7 ou SMS | Vulnerabilidades de VoIP/SIP |
| Dificuldade de detecção | Mais difícil de rastrear (sem pistas de voz) | Mais fácil de sinalizar (chame ferramentas de análise) |
| Resposta regulatória | STIR/SHAKEN para SMS está surgindo | STIR/SHAKEN obrigatório para chamadas VoIP |
Como se proteger contra falsificação de SMS
- Para usuários:
- Verifique mensagens inesperadas entrando em contato diretamente com o remetente.
- Evite clicar em links em textos não solicitados.
- Use ferramentas de denúncia de spam (por exemplo, o recurso de denúncia do Android Messages).
- Para empresas:
- Implemente firewalls de SMS para bloquear mensagens falsas.
- Registre IDs oficiais de remetentes com transportadoras.
- Eduque os clientes sobre a aparência de suas mensagens legítimas.
- Para operadoras:
- Implante filtros de spam baseados em IA.
- Adote estruturas de autenticação de SMS (por exemplo, RCS Business Messaging).
Concluindo!
O spoofing de SMS continua sendo uma ameaça potente devido à falta de autenticação universal do remetente. Embora regulamentações como a STIR/SHAKEN para SMS estejam em desenvolvimento, vigilância e tecnologia (como a verificação baseada em blockchain) podem ser necessárias para combatê-lo completamente. Por enquanto, ceticismo e verificação são as melhores defesas contra mensagens falsificadas.
