Telefon odbiera SMS, ty płacisz kolejne 9 złotych

Problem tkwi w aplikacjach, które są preinstalowane na kartach SIM. Prawie każda sieć, w tym większość polskich, oferuje usługi tego typu. Za pomocą tego typu aplikacji możemy sprawdzić horoskop, program telewizyjny czy ilość środków na naszym koncie. Sieć komórkowa przekazuje informacje do aplikacji za pomocą „ukrytego” SMS-a. Wiadomość taka jest odpowiednio podpisana i zaszyfrowana. Bogdan Alecu, specjalista ds. zabezpieczeń, odkrył jak to ominąć.

Otóż jeżeli nadawca takiej wiadomości wysłał wadliwego SMS-a do aplikacji (na przykład, z fałszywym podpisem), ta odsyła mu wiadomość z opisem błędu. Problem w tym, że nagłówek nadawcy wiadomości można bez problemu podrobić, przez co zmusić telefon do odsyłania raportów błędu na numer typu premium. Można też wykonać atak typu DoS na telefon: wystarczy określić nadawcę jako centrum SMS danej telefonii. Centrum SMS interpretuje taką wiadomość jako błędnie przez siebie wysłaną i rozpoczyna wysyłkę od nowa, tworząc nieskończoną pętlę.

Usterka jest do załatania, wystarczy konkretna łatka dla systemu operacyjnego w telefonie. Operatorzy komórkowi również mogą filtrować tego typu wiadomości. Póki co jednak, niestety, prawie wszystkie telefony komórkowe (z wyjątkiem niektórych starych Nokii, które pozwalają na wyłączenie SMS-ów serwisowych) są podatne na atak.