सरकार ने एसएमएस द्वारा भेजे गए धोखाधड़ी और घोटालों का मुकाबला करने के लिए नए नियम स्थापित किए

राष्ट्रीय दूरसंचार एजेंसी (Anatel) ने एक नया निर्देश जारी किया है जिसमें मोबाइल फोन ऑपरेटरों को उन कॉर्पोरेट एसएमएस संदेशों को भेजने से रोकने की आवश्यकता है जो अपंजीकृत शॉर्ट कोड से उत्पन्न होते हैं। यह कार्रवाई उन धोखाधड़ी योजनाओं को रोकने के उद्देश्य से की गई है जो वैध दिखने वाले पहचानकर्ताओं का फायदा उठाती हैं, जैसे कि वित्तीय संस्थानों, कंपनियों और सरकारी एजेंसियों का प्रतिरूपण करना।

यह संकल्प नकली संदेशों के माध्यम से होने वाली धोखाधड़ी का मुकाबला करने के लिए बनाए गए नए नियमों के एक सेट का हिस्सा है और इसे इस बुधवार, 04/11 को आधिकारिक राजपत्र में औपचारिक रूप दिया गया था। इसके अलावा, ये नियम प्रेषकों के सार्वजनिक पंजीकरण और संदिग्ध गतिविधियों का पता लगाने के लिए स्वचालित प्रणालियों के उपयोग की आवश्यकता को अनिवार्य करते हैं। ऑपरेटरों को इन उपायों को लागू करने के लिए 90 दिनों तक का समय दिया जाएगा।

निर्णय का मुख्य ध्यान SMS A2P (एप्लिकेशन-टू-पर्सन) पर है, जो कंपनियों द्वारा सीधे उपभोक्ताओं को भेजे जाने वाले संदेश होते हैं। इस प्रारूप का व्यापक रूप से पुष्टिकरण कोड, खरीद सूचनाएं, बैंकिंग अलर्ट और अन्य प्रकार के संचार भेजने के लिए उपयोग किया जाता है।

इनमें से कई संचार शॉर्ट कोड का उपयोग करके पहुंचते हैं, जो मानक फोन नंबर के स्थान पर प्रदर्शित होने वाले कुछ अंकों के नंबर होते हैं। नए दिशानिर्देशों के अनुसार, इन पहचानकर्ताओं को अनिवार्य रूप से विधिवत पंजीकृत कंपनियों से जुड़ा होना चाहिए। परिणामस्वरूप, ऑपरेटरों को उन कोडों से आने वाले कॉर्पोरेट एसएमएस की डिलीवरी को रोकना होगा जो आधिकारिक पंजीकरण में सूचीबद्ध नहीं हैं।

यह बताना महत्वपूर्ण है कि इस आवश्यकता का मतलब व्यक्तियों के बीच आदान-प्रदान किए गए संदेशों का पूर्ण अवरोधन नहीं है। मूल उद्देश्य कॉर्पोरेट प्रेषकों के जिम्मेदार लोगों की पहचान करना और किसी भी धोखाधड़ी की ट्रैकिंग को तेज करना है।

इस रजिस्ट्री का प्रबंधन ABR Telecom को सौंपा जा सकता है, जो वर्तमान में पोर्टेबिलिटी और रोमिंग सिस्टम का प्रबंधन करने वाली संस्था है। ABR Telecom पहले से ही जनवरी से ब्राजील के क्षेत्र में मैसेजिंग सेवाओं में उपयोग किए जाने वाले नंबर अनुबंधों को केंद्रीकृत करने की तैयारी कर रहा था, जैसा कि उस समय Teletime द्वारा रिपोर्ट किया गया था।

Anatel के नए नियम एक केंद्रीकृत निर्देशिका बनाने का प्रावधान करते हैं, जो जनता के लिए सुलभ होगी। इसके माध्यम से, उपभोक्ता यह जांच सकते हैं कि एसएमएस भेजने में उपयोग किए जाने वाले प्रत्येक शॉर्ट कोड से कौन सी कंपनी जुड़ी हुई है। प्रत्येक पहचानकर्ता का उपयोग एक कानूनी इकाई द्वारा किया जाना चाहिए, हालांकि असाधारण परिस्थितियों में साझाकरण की अनुमति दी जा सकती है, बशर्ते Anatel को तकनीकी औचित्य प्रस्तुत किया जाए, जिस समय शामिल सभी कंपनियों को रजिस्ट्री में सूचीबद्ध होना होगा।

TeleSíntese की जानकारी के अनुसार, एक ही कोड का कई प्रेषकों द्वारा उपयोग किया जाना संदेशों के स्रोत का पता लगाना जटिल बनाता है और अवरोधन तंत्र की प्रभावशीलता को कम करता है। सेवा प्रदाताओं को स्वचालित प्रणालियाँ भी लागू करनी होंगी जो असामान्य भेजने की मात्रा, प्रेषक जालसाजी और संभावित धोखाधड़ी अभियानों की पहचान कर सकें।

ये दायित्व उन कंपनियों पर भी लागू होते हैं जो संदेश उत्पन्न करती हैं या मध्यस्थता करती हैं। ऐसी कंपनियों को यह पुष्टि करनी होगी कि सेवा का अनुबंध किसने किया है, ऐसे रिकॉर्ड बनाए रखने होंगे जो शिपमेंट को ट्रैक करने की अनुमति दें और धोखाधड़ी की जांच में सहयोग करना होगा।

अनुपालन के लिए समय सीमा despacho की प्रकाशन तिथि से शुरू होती है। एक विशिष्ट कार्यक्रम स्थापित किया गया है, जिसमें उपयोगकर्ताओं को परामर्श कैसे करना है, इस बारे में सूचित करने के लिए ऑपरेटरों द्वारा शैक्षिक अभियान चलाना शामिल है। हालांकि ये उपाय कॉर्पोरेट मैसेजिंग सिस्टम पर हमलों को मुश्किल बना सकते हैं, वे सभी प्रकार के खतरों को समाप्त नहीं करते हैं। स्मिशिंग, जो एसएमएस के माध्यम से फ़िशिंग का एक रूप है, अपराधियों को पीड़ितों को व्यक्तिगत या बैंकिंग डेटा प्रदान करने के लिए नकली पृष्ठों तक पहुंचने के लिए प्रेरित करने की अनुमति देता है। इसके अलावा, कुछ घोटाले गुप्त एंटीना का उपयोग करते हैं ताकि टेलीफोन नेटवर्क का अनुकरण किया जा सके, जिससे संदेश ऑपरेटरों के पारंपरिक चैनलों से गुजरने के बिना उपकरणों तक पहुंच जाते हैं। इस कारण से, केवल एक शॉर्ट कोड को रजिस्ट्री में शामिल करना यह सुनिश्चित नहीं करता है कि उससे भेजा गया हर संदेश सुरक्षित होगा।

Anatel इन प्रावधानों के कार्यान्वयन की निगरानी करेगी और धोखाधड़ी से लड़ने की योजना के परिणामों पर अधिकतम 180 दिनों की अवधि में एक विस्तृत रिपोर्ट प्राप्त करेगी।

एंड्रॉइड ऑपरेटिंग सिस्टम के लिए टेलीग्राम एप्लिकेशन में एक भेद्यता का पता चला था, जो हमलावरों को पीड़ित द्वारा वॉयस कॉल का जवाब देने के बाद डिवाइस पर मनमाना कोड निष्पादित करने की अनुमति देती थी। यह समस्या सुरक्षा कंपनी NebuSec द्वारा पहचानी गई और एप्लिकेशन के संस्करण 12.10.4 में ठीक कर दी गई।

यह भेद्यता एप्लिकेशन के संस्करण 8.6.2 से 12.10.3 की सीमा को प्रभावित करती थी और मार्च 2022 से सितंबर 2026 तक प्रासंगिक थी। सुरक्षा सुनिश्चित करने के लिए, उपयोगकर्ताओं को यह सुनिश्चित करने की सलाह दी जाती है कि वे ठीक किए गए या नए संस्करण का उपयोग कर रहे हैं।

त्रुटि का कारण कॉल की स्थिति को कॉन्फ़िगर करने और प्रदर्शित करने के लिए उपयोग किए जाने वाले संदेशों को संसाधित करने की प्रक्रिया में था। जब ऐसा संदेश सभी अपेक्षित फ़ील्ड नहीं रखता था, तो कोड डिवाइस के एक विशिष्ट मेमोरी क्षेत्र को गलत तरीके से एक्सेस करता था।

NebuSec ने ARM64 प्रोसेसर वाले फोन पर स्वीकार की गई निजी कॉल के दौरान कोड निष्पादन की क्षमता का प्रदर्शन किया। कंपनी द्वारा प्रकाशित वीडियो सामग्री में टेलीग्राम का बंद होना, डिवाइस की मुख्य स्क्रीन का दिखाई देना और 'HACKED BY NEBUSEC' संदेश दिखना देखा गया।

कंपनी द्वारा परिभाषित विशेषताओं और सीमाओं में यह भी उल्लेख किया गया था कि स्थापित संस्करण की जांच करने के लिए उपयोगकर्ता को टेलीग्राम सेटिंग्स में जाना होगा और पृष्ठ के निचले भाग में नंबर देखना होगा। संस्करण 12.10.4 इस कमी को दूर करता है।

भले ही एप्लिकेशन वॉयस और वीडियो कॉल के लिए एक सामान्य लाइब्रेरी का उपयोग करते हैं, लेकिन सुधार पहले ही आईफोन और कंप्यूटर के संस्करणों के कोड में एकीकृत हो चुका था इससे पहले कि यह एंड्रॉइड में आया।

29 अक्टूबर को, इस भेद्यता का अभी तक कोई CVE पहचानकर्ता नहीं था जिसका उपयोग सुरक्षा कमजोरियों को सूचीबद्ध करने के लिए किया जाता है। द हैकर न्यूज़ प्रकाशन ने बताया कि उसने वास्तविक हमलों में इस भेद्यता के उपयोग और डिवाइस पर निष्पादित कोड के पैमाने के बारे में टेलीग्राम और NebuSec से संपर्क किया था।

इस भेद्यता पर पहली बार Olhar Digital नामक संसाधन पर प्रकाशित हुई थी।