Fałszywa stacja BTS w bagażniku - tak oszuści wyłudzają dane z telefonów

Niebezpiecznik.pl ostrzega przed atakami z użyciem tzw. SMS Blasterów, czyli urządzeń ukrywanych m.in. w samochodach, które potrafią udawać stacje bazowe telefonii komórkowej. W praktyce oznacza to, że telefon osoby znajdującej się w pobliżu może połączyć się z fałszywą siecią, a przestępcy mogą wysłać na niego spreparowaną wiadomość SMS, wyglądającą jak komunikat z banku, firmy kurierskiej albo innej znanej instytucji.

To szczególnie groźny wariant smishingu, bo wiadomość nie przechodzi przez infrastrukturę operatora. Oznacza to, że klasyczne filtry antyspamowe i zabezpieczenia po stronie sieci mogą w ogóle nie zobaczyć takiego SMS-a. Nadawca może wyglądać wiarygodnie, a treść wiadomości prowadzić do fałszywej strony logowania, płatności lub formularza służącego do przejęcia danych.

SMS Blastery działają jak uproszczone IMSI Catchery, czyli fałszywe stacje BTS. Telefon komórkowy standardowo wybiera nadajnik z najmocniejszym sygnałem, dlatego urządzenie znajdujące się blisko użytkownika może skłonić smartfon do połączenia się z przestępczą siecią. Taki sprzęt może nie tylko rozsyłać fałszywe SMS-y, ale też odciąć urządzenie od prawdziwej sieci operatora. W skrajnym przypadku może to utrudnić lub uniemożliwić wykonanie połączenia alarmowego.

Problem nie jest wyłącznie teoretyczny. W Toronto zatrzymano trzech mężczyzn, którzy według tamtejszej policji przez kilka miesięcy korzystali z urządzeń udających stacje bazowe. Sprawa prowadzona była pod kryptonimem Project Lighthouse, a zatrzymanym postawiono łącznie 44 zarzuty. Według Toronto Police Service był to pierwszy znany przypadek użycia takiej technologii w Kanadzie.

Podobne zdarzenia odnotowano wcześniej w innych krajach. W Brazylii w 2024 roku rozbito grupę, która poruszała się Jeepem wyposażonym w antenę i laptopa. Sprzęt miał automatycznie wyszukiwać telefony w pobliżu i wysyłać wiadomości podszywające się pod banki. Do podobnego incydentu doszło także w Omanie, gdzie zatrzymano turystkę z Chin, która z wypożyczonego samochodu masowo rozsyłała phishingowe linki za pomocą SMS Blastera.

Sama technologia nie jest nowa. Już ponad dekadę temu dostępne były urządzenia i bramki wykorzystywane do masowego rozsyłania SMS-ów, często w formie spamu reklamowego. Dziś podobne rozwiązania są wykorzystywane w bardziej niebezpieczny sposób — do podszywania się pod zaufane instytucje i wyłudzania pieniędzy.

Na razie nie ma informacji o takich atakach prowadzonych w Polsce, ale ryzyko dotyczy każdego użytkownika smartfona, niezależnie od modelu telefonu czy systemu operacyjnego. Jednym z podstawowych kroków ochronnych jest wyłączenie obsługi sieci 2G, jeśli telefon i operator na to pozwalają. Wiele tańszych urządzeń tego typu wykorzystuje bowiem wymuszenie przełączenia telefonu do starszego standardu, który jest znacznie słabiej zabezpieczony.

W praktyce najważniejsze pozostaje jednak ostrożne podejście do SMS-ów. Wiadomość z linkiem, nawet jeśli wygląda jak wysłana przez bank, kuriera albo urząd, nie powinna być traktowana jako pewne źródło informacji. Najbezpieczniej samodzielnie wejść na stronę danej instytucji lub uruchomić jej oficjalną aplikację, zamiast korzystać z odnośnika otrzymanego w wiadomości. W przypadku problemów z połączeniem ze 112, zwłaszcza jeśli sytuacja wydaje się nietypowa lub powtarzalna, warto zgłosić sprawę do UKE.