Via valse afzender abonneren op premium diensten

[Lulukai]

Al jarenlang bestaan er websites waar sms'en kan versturen en zelf de afzender instellen. Ik heb mij al altijd de vraag gesteld waarom dit 'mogelijk' is, gezien de vele vormen van misbruik die hiermee mogelijk zijn. Je kan dus in naam van iedereen zomaar nieuws in de wereld sturen. Met het nummer van een BN zou je dan naar journalisten kunnen bevestigen dat ze weldegelijk een buitenechtelijke relatie oid hebben!

Verder vraag ik mij dus af of het mogelijk is om iemand via zo'n dienst ongewenst in te schrijven op een premium dienst (sex chatdiensten, voetbaltuitslagen..). Zo ja, is dit toch een enorm veiligheidsrisico? Hoe kan je je hiertegen beschermen, alle premiumdiensten laten blokkeren bij je provider?

[laurens0619]

Premium diensten gaan altijd naar een shortcode toe (ook om deze reden). Je kan via zo'n website geen sms naar 4444 sturen aangezien dat alleen een geldig nummer is BINNEN het eigen mobiele netwerk.

En waarom dit mogelijk is? Tja naar mijn idee komt dit door de verschuiving van aanbieders op SMS en Telco diensten.

Vroeger was het alleen voor grote partijen mogelijk om SMSjes te versturen en aan te sluiten op het telefonie netwerk. Telefooncentrales waren ook altijd van aanbieders als Siemens en Avaya.
Deze partijen vertrouwen elkaar allemaal en er zijn afspraken dat er correct wordt omgegaan met de CLID (nummer afzender). Het protocol zelf gebruikt dit absoluut niet voor routeringen maar is slechts een getal.

Sinds de opkomst van Internet en tussenproviders is dit echter geheel anders geworden. Doordat kleine providers (als anoniem smsen) diensten afnemen en zich buiten deze afspraken bevinden/het wereldje is groter geworden gaat het nu mis. Dat dit een groot risico is klopt maar dit kan je beter zien onder de algemene term van identiteit fraude.

Een vorm naast SMS is telefonie spoofing. Je kan bij sommige VOIP providers zelf een CLID invoeren waardoor ik de koninging als ware met het nummer van de minister kan laten bellen. Probleem is dat je dan ook de stem moet nadoen maar als die gebelde persoon de ander nog nooit gesproken heeft hoeft dit ook niet meer.

Prive nummer is ook zon leuke
Als jij mij belt met je nummerherkenning uit zit het CLID wel degelijk in het gesprek verwerkt. Er staat echter ook een vinkje actief "hide". Door gebruik te maken van bijvoorbeeld een eigen Voip server/of aanbieders is het mogelijk om ook het onderdrukte nummer hierdoor eruit te halen.
Voetnoot hierbij is wel dat dit niet altijd het geval is. Het is ook goed mogelijk om absoluut geen nummer mee te sturen. Dit kan je herkennen aan (op de nokia destijds) melding "oproep" ipv "prive nummer". Maar ook dit is weer alleen te doen met eigen apparatuur/programmatuur en niet met standaard telefoons. Dit kwam je bv soms tegen als je iemand vanuit een telefooncel belde.

Bottomline: Het hele systeem is opgebouwd op basis van vertrouwen, en door de toename van deelnemende partijen bestaat dit vertrouwen niet meer

[Marzman]

laurens0619 schreef op dinsdag 24 mei 2011 @ 12:53:

Prive nummer is ook zon leuke
Als jij mij belt met je nummerherkenning uit zit het CLID wel degelijk in het gesprek verwerkt. Er staat echter ook een vinkje actief "hide". Door gebruik te maken van bijvoorbeeld een eigen Voip server/of aanbieders is het mogelijk om ook het onderdrukte nummer hierdoor eruit te halen.
Voetnoot hierbij is wel dat dit niet altijd het geval is. Het is ook goed mogelijk om absoluut geen nummer mee te sturen. Dit kan je herkennen aan (op de nokia destijds) melding "oproep" ipv "prive nummer". Maar ook dit is weer alleen te doen met eigen apparatuur/programmatuur en niet met standaard telefoons. Dit kwam je bv soms tegen als je iemand vanuit een telefooncel belde.

Bij veel goedkope sipproviders krijg je niet eens een telefoonnummer en moet je extra moeite doen om een ander (meestal wel geverifieerd) nummer mee te zenden. Dan valt er weinig te zien lijkt me. Ze kunnen misschien een username meesturen als dat binnen de standaard valt maar voor calls zullen de meeste telefoons dit niet snappen (sms vanaf een naam ipv nummer komt wel vaker voor)

[Voor 8% gewijzigd door Marzman op 24-05-2011 12:59]

[laurens0619]

Marzman schreef op dinsdag 24 mei 2011 @ 12:58:
[...]

Bij veel goedkope sipproviders krijg je niet eens een telefoonnummer en moet je extra moeite doen om een ander (meestal wel geverifieerd) nummer mee te zenden. Dan valt er weinig te zien lijkt me. Ze kunnen misschien een username meesturen als dat binnen de standaard valt maar voor calls zullen de meeste telefoons dit niet snappen (sms vanaf een naam ipv nummer komt wel vaker voor)

Klopt het hele SIP verhaal gooit ook roet in het eten.
Maar dat komt omdat van de OPTA geen regionaal nummer toegekend mag worden aan een SIP account omdat er niet kan worden bewezen dat dit SIP account zich ook in deze regio bevindt.

Vandaar de 088 internet nummers (die gek genoeg over een euro de minuut mogen kosten ZONDER tariefsmelding in tegenstelling tot 0900 nummer).

Als er geen regionaal nummer gekoppeld mag worden stuurt de SIP provider vaak een eigen centraal nummer mee met deze op "hide"

[Lulukai]

Bedankt voor de interessante uitleg

laurens0619 schreef op dinsdag 24 mei 2011 @ 12:53:
Premium diensten gaan altijd naar een shortcode toe (ook om deze reden). Je kan via zo'n website geen sms naar 4444 sturen aangezien dat alleen een geldig nummer is BINNEN het eigen mobiele netwerk.

Juist, even uit het oog verloren dat er een groot verschil is tussen short codes en gewone gsmnummers. Ik vraag me echter af hoe zo'n shortcode verdeeld wordt. Want je wilt toch liefst dat je shortcode bij elke provider werkt en neit enkel bij mensen die dezelfde provider als jou hebben.

[Marzman]

laurens0619 schreef op dinsdag 24 mei 2011 @ 13:01:
[...]


Klopt het hele SIP verhaal gooit ook roet in het eten.
Maar dat komt omdat van de OPTA geen regionaal nummer toegekend mag worden aan een SIP account omdat er niet kan worden bewezen dat dit SIP account zich ook in deze regio bevindt.

Vandaar de 088 internet nummers (die gek genoeg over een euro de minuut mogen kosten ZONDER tariefsmelding in tegenstelling tot 0900 nummer).

Als er geen regionaal nummer gekoppeld mag worden stuurt de SIP provider vaak een eigen centraal nummer mee met deze op "hide"

Nou ja mag, niet. Bij Budgetphone kan het nog gewoon en ik neem aan dat die ook gewoon de telecomwet volgen, Betamax is er wel mee gestopt. Waarschijnlijk omdat ze geen zin hadden om voor elk land met afwijkende regels die regels uit te moeten gaan zoeken.

En mijn regionale nummer van Voipbuster heb ik trouwens ook nog. Waar ze volgens mij problemen door gekregen hebben is dat ze als iemand in een regio woonde waar ze geen netnummer van hadden dat ze dan zo maar een netnummer toekeerden. Ik kan me voorstellen dat ze hiervoor op de vingers getikt zijn, maar wel jammer dat ze het daarna opgegeven hebben met die nummers. Zo ingewikkeld is het volgens mij ook weer niet om het aan te tonen (je krijgt betalingen, en je vraagt gewoon om die gegevens met wat voorwaarden dat je ze naar waarheid in moet vullen).

[Voor 23% gewijzigd door Marzman op 24-05-2011 14:29]

[laurens0619]

Marzman schreef op dinsdag 24 mei 2011 @ 14:16:
[...]

Nou ja mag, niet. Bij Budgetphone kan het nog gewoon en ik neem aan dat die ook gewoon de telecomwet volgen, Betamax is er wel mee gestopt. Waarschijnlijk omdat ze geen zin hadden om voor elk land met afwijkende regels die regels uit te moeten gaan zoeken.

En mijn regionale nummer van Voipbuster heb ik trouwens ook nog. Waar ze volgens mij problemen door gekregen hebben is dat ze als iemand in een regio woonde waar ze geen netnummer van hadden dat ze dan zo maar een netnummer toekeerden. Ik kan me voorstellen dat ze hiervoor op de vingers getikt zijn, maar wel jammer dat ze het daarna opgegeven hebben met die nummers. Zo ingewikkeld is het volgens mij ook weer niet om het aan te tonen (je krijgt betalingen, en je vraagt gewoon om die gegevens met wat voorwaarden dat je ze naar waarheid in moet vullen).

Ik was inderdaad een belangrijk detail vergeten. Ze mogen het niet _zomaar_ doen. Je hebt dus helemaal gelijk.

Ik denk dat veel bedrijven inderdaad geen zin hebben in die administratieve rondslomp. Ik weet niet wie er verantwoordelijk wordt gehouden echter als de gebruiker "naar waarheden" valse informatie heeft ingevuld. Kan me goed voorstellen dat ze dan nog een stukje verantwoordelijkheid bij de gebruiker leggen dat er bijvoorbeeld een adres verificatie of KVK verificatie moet worden gedaan.

Voor de geïnteresseerden:
http://www.opta.nl/nl/download/publicatie/?id=1618

. Het is niet toegestaan om nummers uit een bepaald netnummergebied in gebruik te geven voor afname van de VoIP dienst in een ander netnummergebied of buiten Nederland.
2. Nummerhouders moeten erop toezien dat eindgebruikers de nummers niet gebruiken buiten het betreffende netnummergebied. Hierbij wordt van de nummerhouder gevraagd het uiterste te doen wat in zijn mogelijkheden ligt.
3. Nummerhouders moeten ervoor zorgen dat in het aanbod van VoIP diensten geen uiting plaatsvindt richting (potentiële) klanten waarmee de indruk gewekt wordt dat het gebruik van de geografische nummers door de VoIP dienst niet is gebonden aan netnummergebieden of landsgrenzen.