Подмена номера телефона при смс

Суть анонимного SMS заключается в сокрытии номера отправителя. Получателю приходит сообщение от абонента с буквенным или коротким цифровым номером. Отправка производится через специальные сервисы. Лет 5–6 назад они начали умирать, отправить СМС анонимно стало практически невозможно. Давайте посмотрим, можно ли найти рабочий сайт или сервис.

Как отправить анонимное сообщение

В начале десятых годов анонимные SMS отправлялись:

• Через многочисленные интернет-сервисы.
• С помощью специальных программ.
• Через мессенджеры «QIP» и «Агент Mail.ru».

Ещё один инструмент отправки сообщений – операторские сайты. Что осталось в живых?

Мы протестировали с десяток сервисов и выяснили, что они не работают. Пять из них подтвердили отправку SMS, но по факту доставки не было. Два сервиса попросили оплатить услуги, что наводит на размышления – вдруг это действуют мошенники. Ещё один ответил, что работает только для граждан России (что было странно, учитывая проверку под истинно российским статическим IP-адресом).

Проверка приложений ничего не дала – они все давно мертвы. Даже популярный в начале 2000-х годов «SMS Sender» отказался отправлять сообщения. По всей вероятности, это связано с закрытием публичных СМС-шлюзов, используемых для рассылки СМС. Изменения в Российском законодательстве подразумевают штрафы за рассылку рекламы до 0,5 млн рублей. Поэтому все шлюзы и связанные с ними приложения не работают. То же самое скажем о мессенджерах «QIP» и «Агент Mail.ru».

Рабочий способ отправки анонимных SMS

Мы нашли такой способ, но он работает только с абонентами Билайн. Услуга называется «Отправка SMS с сайта». Укажите в форме номер адресата и текст сообщения, пропишите защитный код. Длина текста – до 170 символов, включая пробелы. Увеличьте максимальную длину, включив транслит – русские буквы преобразуются в латинские. Доставка занимает не более минуты, в процессе тестирования послание дошло секунд за 10. Имя отправителя – InternetSMS.

СМС с подменой номера

Отправить сообщение с подменой номера бесплатно не получится. Мы проверили несколько сайтов – ничего не вышло. Ещё в 2008 году рабочих сервисов было полно – в качестве отправителя вписывался чужой номер или буквенное обозначение. Например, в качестве имени можно было написать «DED-MOROZ» или что-то другое. Этим часто пользовались спамеры, но сейчас все лазейки закрыты – отправить сообщение с подменой отправителя не выйдет.

СМС бесплатно

Мы нашли формы отправки бесплатных SMS на сайте трёх операторов:

• Билайн – действует анонимная отправка;
• МегаФон – указывается номер отправителя;
• МТС – также требуется телефон отправителя.

Теле2 нас ничем не порадовал.

Предупреждение о возможных рисках

Проверяя сервисы отправки анонимных SMS, вы подвергаетесь риску быть обманутыми – оплачивая услуги, вы рискуете потерять деньги. Мы не рекомендуем пользоваться какими-либо платными сервисами – это небезопасно.

Виртуальные номера для приёма и отправки смс

Услуга «Виртуальный номер» доступна для абонентов оператора Тинькофф Мобайл. Подключите второй номер через мобильное приложение, используйте для отправки сообщений и звонков. Оплата осуществляется согласно выбранному тарифному плану. Отключите номер через приложение, когда он станет не нужен.

Как отправить SMS на много номеров

Массовая отправка сообщений возможна через сервисы, занимающиеся рекламными рассылками. Стоимость – от 30 коп/СМС, но есть и дешевле. Базы для рассылки они не предоставляют – их добавляет клиент. Помните, что получатели должны дать согласие на получение рекламы. В противном случае отправителя ждёт штраф – до 0,5 млн рублей за каждое сообщение. Найдите в интернете подходящий сервис, заключите договор и действуйте.

Время бесплатных анонимных SMS ушло. Их слишком часто использовали для рассылки несанкционированной рекламы. Из-за изменений в законодательстве сервисы прекратили свою работу – штрафы слишком велики. Работают только сервисы рассылок, причём с подменой отправителя на буквенные номера. Но они используются только бизнес-клиентами.

Приветствую Codeby! Сегодня я собираюсь разобрать недооцененные на мой взгляд схемы для фишинга. В этом посте хочу рассказать о подмене номера отправителя СМС и о подмене номера звонящего, более известные в интернете как senderid spoofing и callerid spoofing.

SenderID Spoofing мы можем видеть очень часто: когда при создании аккаунта мы вводим номер телефона, то нам приходит смска, часто от имени компании где мы заводим аккаунт. CallerID Spoofing встречается реже, но клиенты сбербанка могут помнить, что с номера 900 им может позвонить бот.

Подмена сообщений:

Разберем два метода подделки отправителя, мы сможем отправлять SMS от имени компаний в несколько (в некоторых случаях больше) кликов.

1. Twilio: Очень эффективный метод для крупной фишинговой атаки. Первым делом регистрируемся с помощью новой почты и левого номера телефона(можно публичного виртуального) и заходим в аккаунт.

Присылать СМС с названием компании вместо номера можно в большинстве стран, но не во всех.
В России нужно попросить у тех поддержки зарегестрировать senderid(это небольшая проблема) с помощью формы, это займет от дня до недели.
Если регистрация для страны не требуется, пропускаем предыдущий пункт.

Берём простенький код на Python:

from twilio.rest import Client


account_sid = 'СИД АККАУНТА'
auth_token = 'ТОКЕН'
client = Client(account_sid, auth_token)

message = client.messages.create(body='Привет Codeby!', from_='ОТПРАВИТЕЛЬ', to='ПОЛУЧАТЕЛЬ')
print(message.sid)

Токен и SID смотрим в консоли twilio из Project INFO(

Ссылка скрыта от гостей

)
Теперь нам нужно апгрейднуть аккаунт, в правом верхнем углу будет баланс, а рядом «Upgrade», жмём и вводим левые данные.
Как только нас просят оплатить, переключаемся на промокод и вводим TWILIOQUEST, получаем бесплатно платный аккаунт.

Теперь можем запускать код, который я привел в статье ранее.
Получаем сообщение от QIWI:

Вместо безобидного приветствия там могла быть фишинговая ссылка. При проделанных действиях будет так-же отображаться история сообщений от настоящего QIWI

Опасность заключается в том, что такую атаку практически не используют и даже просвещенный юзер, с довольно-таки большой вероятностью, может попасться на это.

2. TextBelt: Для тех, кто не хочет заморачиваться над регистрацией Twilio для тестирования полноценной атаки, есть возможность отправить одно сообщение в день с помощью сервиса textbelt из терминала:

curl -X POST https://textbelt.com/text 
       --data-urlencode phone='НОМЕР' 
       --data-urlencode senderid='QIWI' 
       --data-urlencode message='Hi codeby' 
       -d key=textbelt

Подмена номера звонящего:

Для этого нам понадобится:
1. CallWithUs
2. SIP Звонилка

Регистрируемся с левыми данными, сервис их не проверяет, нам сразу выдают данные для подключения:
sip.callwithus.com
UserID: Логин из Email
Password: Пароль из Email

Звонилка должна успешно подключится. Далее нужно пополнить баланс на CallWithUs, можно позвонить на 3246 чтобы пополнять с карты.
Заходим в SPEED DEAL выбираем место откуда якобы будем звонить, SELECT DIALING RULE: Russia, далее идём во вкладу ADD CALLER ID, тут самое интересное — ставим код страны которую выбрали в DIALING RULE и пишем остальную часть, ЛЮБУЮ!!!
И звоним на номер жертвы, получаем звонок от +7ххххххххх.
При этом если у жертвы в контактах этот номер подписан, то звонок поступит к примеру от «Клиент Стирка»
Успех!

Заключение: Как видите, такую атаку может реализовать любой, практически бесплатно, поэтому, хоть СберБанк и заявляет что его номер 900 нельзя подделать, никто не защищён от подобных атак.
Пока что, единственное что может спасти от нее — запрет на слова вместо номера отправителя полностью (это реализовано к примеру в США), ну а от подмены callerid не защищён абсолютно никто, а атаки которые сейчас проводятся в Вайбере вполне реально проводить через мобильную связь. Соединив две схемы у атакующего все будет ограничено только фантазией, в следующей статье я наглядно покажу полноценную атаку с использованием этих двух методов.