Rząd bierze się za SMS-y. Nowe przepisy w ciągu tygodni

16.08.2023

Mieszko Zagańczyk

Rząd bierze się za SMS-y. Jest ustawa

Pod koniec sierpnia wejdzie w życie ustawa o zwalczaniu nadużyć w komunikacji elektronicznej. Blokada na poziomie państwowym ma chronić wszystkich Polaków przed oszustwami. Ministerstwo Cyfryzacji wyjaśnia, co dokładnie wnosi nowe prawo.

28 lipca 2023 roku prezydent Andrzej Duda podpisał ustawę o zwalczaniu nadużyć w komunikacji elektronicznej. Przepisy wejdą w życie po upływie 30 dni od chwili ich ogłoszenia, czyli zaczną obowiązywać w najbliższych tygodniach.

Zobacz: Rząd uporządkuje smartfony Polaków. Jest ustawa

Jak przekonuje rząd, wejście w życie ustawy o zwalczaniu nadużyć w komunikacji elektronicznej przełoży się bezpośrednio na bezpieczeństwo Polaków. Dzięki tym regulacjom zmniejszy się liczba fałszywych połączeń, SMS-ów oraz domen internetowych.

Ministerstwo Cyfryzacji wyjaśnia, co przyniesie nowe prawo

Na stronie Ministerstwa Cyfryzacji znalazło się szczegółowe wyjaśnienie, jak będzie działać nowe prawo. Wkraczające w życie przepisy ułatwią zwalczanie takich zagrożeń, jak:

smishing – fałszywe SMS-y podszywające się pod wiadomość od kuriera, z banku czy instytucji publicznej. Zawierają np.: link do strony internetowej zachęcającej do podania danych osobowych czy przelania środków,
spoofing – podszywanie się pod numer telefonu zaufanej instytucji czy innej osoby, powiązany z próbą zastraszenia ofiary, wyłudzenia pieniędzy lub danych osobowych,
generowanie sztucznego ruchu – jest to inicjowanie długich, wielogodzinnych połączeń, które nie niosą ze sobą żadnej treści (tzw. głuche telefony),
nieuprawniona zmiana informacji adresowej – przestępcy modyfikują numer, z którego dzwonią, aby utrudnić identyfikację – ta forma oszustwa jest wykorzystywana np.: w celu utrudnienia rozliczenia za połączenie.

Wszystkie te metody ataku łączy jedno – prowadzą do utraty oszczędności czy wyłudzenia przez oszustów kredytu na poufne dane.

Co wprowadzi nowe prawo antyspoofingowe?

Wchodząca już niedługo w życie ustawa ma ograniczyć oszustwa dokonywane za pomocą usług komunikacji elektronicznej, a przedsiębiorcy telekomunikacyjni będą mieli od 6 do 12 miesięcy na wdrożenie proporcjonalnych rozwiązań przeciwdziałającym nadużyciom.

Określone zostały też obowiązki nałożone w tym zakresie na UKE oraz CSIRT NASK:

Zespół CSIRT NASK będzie monitorował przypadki smishingu i przekazywał telekomom wzorce wiadomości wyczerpującej znamiona tego przestępstwa,
Prezes UKE będzie prowadził wykaz numerów służących wyłącznie do odbierania połączeń głosowych – w ten sposób ograniczona zostanie możliwość podszywania się oszustów pod infolinie urzędów czy innych podmiotów.

Wniosek o wpisanie numeru do wykazu będą mogły złożyć jednostki sektora finansów publicznych, banki, inne instytucje finansowe lub ubezpieczeniowe, ale też operatorzy telekomunikacyjni, rejestrując numery telefonów wykorzystywane przez nich na potrzeby biura obsługi klientów lub infolinii.

Rząd przekonuje, że dzięki temu oszust, próbujący podszyć się pod numer banku czy urzędu gminy, wpisany do wykazu, w ogóle nie wykona fałszywego połączenia.

Chronione będą również nadpisy, czyli identyfikatory wiadomości SMS, używane zamiast numeru telefonu. Przykładem nadpisu jest „e-US” używany przez Krajową Administrację Skarbową.

Wykaz nadpisów zastrzeżonych dla podmiotów publicznych będzie prowadzony przez CSIRT NASK. Przedsiębiorcy telekomunikacyjni będą blokować SMS z zastrzeżonymi nadpisami, które nie pochodzą od podmiotu publicznego.

Ustawa nakłada szczególne obowiązki na operatorów

Operatorzy telekomunikacyjni będą zobowiązani do przeciwdziałania nadużyciom za pomocą różnych środków organizacyjnych i technicznych. Jednym z takich działań jest wspomniane blokowanie SMS-ów, które zawierają treści wyczerpujące znamiona smishingu oraz połączeń głosowych, których celem jest podszywanie się pod inną osobę lub instytucję.

Ustawa nakłada również nowe obowiązki na dużych dostawców poczty elektronicznej (dla co najmniej 500 tys. użytkowników lub podmiotów publicznych), którzy będą musieli stosować mechanizmy uwierzytelnienia SPF/DKIM/DMARC. Ma to ograniczyć działania oszustów, którzy próbują podszyć się pod zaufane instytucje i wyłudzić dane od użytkowników poczty elektronicznej. Zmniejszy to także liczba ataków typu man in the middle, polegających na podsłuchiwaniu i modyfikacji wiadomości przesyłanych pomiędzy dwiema stronami bez ich wiedzy.

Dostawcy usług telekomunikacyjnych będą ponadto mogli z automatu blokować dostęp do fałszywych domen internetowych. W 2020 r. zostało zawarte porozumienie między rządem a 4 największymi operatorami w Polsce, dzięki któremu udało się stworzyć listę oszukańczych domen, kradnących lub wyłudzających dane. Linki do nich przesyłane są różnymi kanałami: przez SMS, e-mail lub media społecznościowe.

W tej chwili jest na liście jest ponad 130 tys, pozycji. Do tej pory lista funkcjonowała jedynie jako ostrzeżenie dla użytkowników, teraz zyskała umocowanie ustawowe, a telekomy mają większe możliwości jej wykorzystania.