Spoofing, phishing, smishing e AIT: o que significa para a segurança dos SMS?

O SMS é um canal poderoso porque é direto, rápido e amplamente acessível. Mas é exatamente por isso que os SMS também são interessantes para os burlões. Quando uma mensagem parece vir de um banco, de uma empresa de transportes, de uma autoridade pública ou de uma organização conhecida, é mais provável que o destinatário reaja sem pensar.

É por isso que é importante compreender as formas mais comuns de fraude digital: spoofing, phishing e smishing. E para as empresas que enviam SMS através de gateway ou API, é também importante compreender o AIT - tráfego artificialmente inflacionado.

O que é spoofing?

A falsificação é quando um remetente ou identidade é mascarado para que a comunicação pareça vir de uma fonte credível. Isto pode acontecer através de correio eletrónico, sítios Web, chamadas telefónicas, redes sociais e SMS.

O objetivo é fazer com que o destinatário confie na mensagem. Se o remetente se parecer com um banco, uma empresa conhecida ou uma autoridade pública, é mais provável que o destinatário clique, responda ou partilhe informações.

O que é o phishing?

O phishing é normalmente constituído por mensagens de correio eletrónico fraudulentas que tentam levar o destinatário a fornecer informações sensíveis. Pode tratar-se de dados de início de sessão, dados de cartões de crédito, informações relacionadas com o MitID ou acesso a sistemas internos.

As mensagens de phishing recorrem frequentemente à urgência ou ao medo: “A sua conta vai ser encerrada”, “Há atividade suspeita” ou “Tem de verificar os seus dados agora”. A ligação conduz frequentemente a uma página falsa que se parece com a verdadeira.

As caraterísticas típicas são:

• Mensagens inesperadas que exigem uma ação urgente
• ligações para sítios falsos de início de sessão ou de pagamento
• anexos de malware
• Nomes de remetente que se parecem com empresas reais
• Linguagem, conceção ou domínios que quase - mas não totalmente - funcionam bem

O que é smishing?

Smishing é phishing através de SMS. Isto significa que o burlão utiliza o SMS para levar o destinatário a clicar numa hiperligação, ligar para um número falso ou fornecer informações pessoais.

O smishing pode ser particularmente eficaz porque o SMS é mais personalizado do que o correio eletrónico. Muitas pessoas respondem rapidamente a mensagens sobre encomendas, pagamentos, contas, reservas, serviços bancários ou serviços públicos.

Exemplos de smishing podem ser:

• “A sua encomenda não pode ser entregue - pague a taxa aqui”
• “A sua conta está bloqueada - confirme o início de sessão”
• “Existe uma atividade suspeita - clique para proteger a sua conta”
• “Tem uma conta por pagar - pague imediatamente”

O que é o AIT - tráfego artificialmente inflacionado?

AIT significa tráfego artificialmente inflacionado. Isto significa um tráfego artificialmente inflacionado em que os burlões ou os bots automatizados desencadeiam grandes volumes de mensagens SMS sem interesse legítimo do utilizador.

A AIT é frequentemente vista em ligação com os fluxos de início de sessão, registo, códigos OTP, formulários e verificação. Por exemplo, um atacante pode utilizar bots para submeter números de telefone repetidamente, fazendo com que o sistema envie muitas mensagens SMS. Este facto pode gerar custos desnecessários, perturbar os relatórios e, na pior das hipóteses, prejudicar a qualidade da entrega ou a reputação do remetente.

Os sinais típicos de AIT podem ser:

• Aumento súbito do tráfego de SMS sem vendas, inícios de sessão ou atividade correspondentes
• Muitas mensagens para países ou gamas de números específicos
• Tentativas repetidas a partir do mesmo IP, impressão digital do dispositivo ou fluxo de utilizadores
• Tráfego elevado sem validação ou conversão subsequentes
• padrões anormais em alturas em que a atividade normal do utilizador é baixa

Como é que as organizações podem reduzir os riscos

Não existe uma solução única que impeça todas as fraudes. Mas as organizações podem reduzir significativamente o risco se combinarem controlos técnicos, comunicação clara e monitorização contínua.

1. Seja claro sobre a forma como comunica

Informe os clientes sobre os canais que utiliza, os tipos de mensagens que podem esperar e o que nunca lhes pedirá por SMS ou correio eletrónico. Desta forma, é mais fácil para os clientes reconhecerem mensagens suspeitas.

2. Utilizar remetentes reconhecíveis e coerentes

Quanto mais consistentes forem a identidade e o tom do remetente, mais fácil será para o destinatário detetar desvios. Evite alterações desnecessárias nos nomes dos remetentes, ligações e redação.

3. Proteger os formulários e os fluxos OTP contra a AIT

Utilize a limitação de taxas, CAPTCHA quando fizer sentido, pontuação de risco, restrições de país, verificação de IP e monitorização de padrões de conversão. Não se trata apenas de enviar o SMS - trata-se de reconhecer quando o tráfego não parece ser de utilizadores reais.

4. Monitorizar ligações e domínios

Utilize domínios de confiança e evite encurtadores de URL aleatórios. Uma ligação com um histórico fraco pode afetar a entrega e a confiança do destinatário.

5) Responder rapidamente aos abusos

Se houver suspeita de spoofing, smishing ou AIT, deve reagir rapidamente. Pode tratar-se de parar o tráfego, bloquear destinos, alterar fluxos, alertar clientes ou analisar dados de registo.

O que é que os destinatários devem ter em atenção?

Enquanto destinatário, deve prestar atenção redobrada se uma mensagem o incitar a agir rapidamente, pedir detalhes de início de sessão, exigir pagamento através de uma ligação desconhecida ou surgir inesperadamente.

Em caso de dúvida, não clique. Em vez disso, vá diretamente ao sítio Web oficial da empresa ou contacte-a através de um canal conhecido.

Conclusão: O SMS seguro requer tecnologia e confiança

O spoofing, o phishing, o smishing e o AIT mostram que a comunicação segura é mais do que a própria mensagem. Tem a ver com a identidade do remetente, o comportamento do utilizador, a monitorização técnica, a higiene das ligações e a capacidade de detetar padrões anormais.

O SMS continua a ser um canal poderoso - mas precisa de ser utilizado de forma profissional. Quando as organizações trabalham ativamente com segurança, clareza e controlo, o SMS torna-se mais eficaz e mais fiável.