SSMS (Spoofed-SMS)

Desde hace mucho tiempo se conoce como enviar correos electrónicos falsos, con la dirección del remitente spoofeada. Técnicas tan sencillas como tirar un telnet al puerto 25 del servidor de correo entrante del destinatario o usar servidores no protegidos contra relay han permitido jugar tiempo ha con el correo electrónico.

Es por ello que surgieron los sistemas SPF, DKIM, el uso de la firma digital, etc…, pero… ¿hay algo similar para los mensajes SMS? De forma muy sencilla, jugando con los servicios de SMS que ofrecen muchas compañías, desde SecurityByDefault, nos demostraron lo sencillo que sería twittear a través de otros, simplemente cambiando el remitente del mensaje SMS.

Esta manera de jugar se puede traspasar a la web de otros, que utilizan los servicios SMS como si fueran correos electrónicos. En esos entornos, la aplicación web, al igual que se hace con los e-mails, envía un mensaje SMS al usuario de la misma y, si esta es insegura, se pueden hacer cosas muy chulas.

Al igual que vimos que se podían utilizar los servicios de “Enviar a un amigo” para mandar correos electrónicos con el remitente cambiado, la gente de 48bits nos han sorprendido, en un breve espacio de tiempo, con dos estudios técnicamente chulísimos, para enviar mensajes SMS spoofeados a través de la web de dos “pequeñas” compañías: Coca-Cola y Renfe.

- Coca-Cola for fun and profit
- Renfe for fun and profit

Esto de poder enviar mensajitos SMS spoofeados, puede ser una gracia, sobre todo si alguien se dedica a enviar mensajes para darte de Alta en servicios de pago, de esos que te cobran una cuota al mes. Además, al igual que en las conexiones TCP/IP se podían hacer ataques a ciegas, es decir, conversando totalmente a ciegas con un servidor a través de una IP spoofeada (si averiguabas el TCP SQN) con estos sistemas podrías hacer que una autentica putada a una persona en la cuenta corriente o en su vida sentimental. ¿Qué tal enviar a tu jefe el poli-tono de "la gorda que canta en el wáter" y que lo pague él? ¿O dar un chivatazo de que, el pelota de Márquez de Gestenfeiser, se ha llevado los folios para uso personal a casa sin decir nada al jefe? A mí se me ocurren mil putadas.

Podíamos pasar del “Papá vuelve en Tren” al “Papá lárgate en el tren”.

Además, con estos ejemplos, parece que se abre la veda del envío de SMS desde la web y no sé si esto nace por puro interés técnico, o por la necesidad del abaratamiento del coste de un servicio que consume tan pocos recursos en las redes y que, sin embargo, permite a las compañías de telefonía hacer su agosto en estas fechas con los mensajes navideños, de felicitación de año nuevo, etc…

Saludos Malignos!