Wyobraź sobie, że stoisz w korku. Albo spacerujesz po chodniku z psem. Tymczasem w samochodzie na światłach siedzi typ, który uśmiecha się i w tym samym momencie zarabia tysiące złotych. Bo w bagażniku samochodu ma “SMS Blastera“. Tym sprzętem przejmuje łączność Twojego smartfona i wstrzuje Ci SMS-a z informacją od Twojego banku. A facetowi w garniturze, który właśnie Cię minął, SMS-a o “niezapłaconej paczce”. Co najgorsze, przed tym atakiem nie obronią Cię żadne filtry po stronie operatora…
SMS Blaster wykorzystywany przez gang w Turcji
SMS Blastery w natarciu
W ciągu ostatnich miesięcy służby w różnych częściach świata zatrzymały osoby korzystające z tzw. “SMS Blasterów” ukrytych w samochodach. SMS Blastery to odpowiednio skonfigurowane IMSI Catchery, czyli fałszywe stacje BTS, które przepinają na siebie sygnał telefonii komórkowej okolicznych smartfonów, a następnie wysyłają na te smartfony wiarygodnie wyglądające SMS-y podszywające się pod różne instytucje.
Efekt? Taki sam jak przy spoofingu SMS, ale atak tego typu nie jest możliwy do odfiltrowania przez operatorów, bo nie przechodzi przez ich infrastrukturę. Jest też dodatkowe zagrożenie wynikające z tego ataku — ofiary nie mogą korzystać z połączeń alarmowych, co może skończyć się tragiczniej niż strata pieniędzy.
Jak to działa i dlaczego jest groźne?
Ten atak w brutalny sposób wykorzystuje to, jak zaprojektowane są sieci komórkowe. Telefony komórkowe automatycznie łączą się z nadajnikiem o najsilniejszym sygnale. Gdy “SMS Blaster” znajdzie się blisko Ciebie — na przykład w stojącym obok na światłach aucie — Twój telefon bez Twojej wiedzy przeloguje się do przestępczej sieci. Wtedy atakujący może zrobić kilka groźnych rzeczy:
- Wysłać Ci SMS-a z fałszywym linkiem (tzw. smishing), swobodnie podmieniając pole nadawcy. Operator Twojej sieci nawet tego nie zauważy, w przeciwieństwie do ataków wykorzystujących różne internetowe bramki do fałszowania nadpisu SMS, które regularnie opisujemy.
- Odciąć Cię od prawdziwej sieci operatora, uniemożliwiając korzystanie ze smartfona także do wezwania pomocy
- Pobrać identyfikujące Cię metadane, które następnie można wykorzystać do “śledzenia” Twojej lokalizacji. Przy czym SMS Blastery nie są tym zainteresowane, to raczej domena profesjonalnych IMSI Catcherów wykorzystywanych przez służby (które swoją drogą nazywają je “jaskółkami”).
- Podsłuchać prowadzone przez Ciebie rozmowy telefoniczne lub nieszyfrowany ruch internetowy. Aby tego dokonać urządzenie musiałoby wykonać atak MITM, złamać szyfrowanie (co jest możliwe dla niektórych standardów) lub wymusić połączenie po nieszyfrowanych protokołach. Ale to również domena IMSI Catcherów a nie SMS Blasterów, głównie ze względu na koszt.
SMS Blaster – materiały policji
Przestępcy korzystają z różnych sztuczek i narzędzi, ale niezależnie od użytej przez nich metody ataku, jeśli jesteś dobrze przygotowany i zabezpieczony, ciężko będzie im wykraść Twoje dane lub pieniądze albo naruszyć Twoją prywatność. Pytanie, czy wiesz jak poprawnie się zabezpieczyć? Jeśli nie, zaproś nas do swojej firmy — przeprowadzimy dla Was krótkie szkolenie i przygotujemy Was na wszystkie groźne sytuacje, jakie mogą Was spotkać. A jeśli jesteś osobą prywatną, to wpadnij na nasz otwarty wykład Jak Nie Dać Się Zhackować?, który jest dedykowany osobom nietechnicznym i w trakcie którego uczymy jak zabezpieczyć się w kontekście prywatnym, a nie służbowym.Trójka z Kanady
W kanadyjskim Toronto aresztowano trzech mężczyzn, którzy przez kilka miesięcy (!), bo co najmniej od listopada 2025, wozili po mieście sprzęt udający stację bazową (BTS). Według Toronto Police Service to pierwszy znany przypadek użycia takiej technologii w Kanadzie. Sprawa nosi kryptonim Project Lighthouse, a zatrzymanym postawiono łącznie 44 zarzuty.
To nie są nowe ataki
Tego typu ataki to nie nowość. Ponad 10 lat temu na rynku były dostępne tzw. SMS Messanging Gateways, które można było kupić przez chińskie portale. I które wtedy służyły bardziej do wysyłania SMS-owego spamu, reklam okolicznych biznesów. Dziś ta sama technologia jest wykorzystywana nie do napędzania klientów, a do kradzieży środków. Warto też wspomnieć tę prezentację z BlackHata z 2013 roku o bieda-imsi-catcherach z przerabianych femtocelli.
Incydent z Toronto to nie jedyny tego typu przypadek. W 2024 w Brazylii rozbito gang poruszający się Jeepem z potężną anteną w bagażniku i laptopem na tylnym siedzeniu. Zatrzymany kierowca otrzymywał 1000 reali tygodniowo za samo “wożenie się” po bogatych dzielnicach Sao Paulo. Sprzęt automatycznie namierzał telefony w promieniu 5 metrów i wysyłał SMS-y podszywające się pod znane banki. Podobny incydent miał miejsce w Omanie, gdzie policja zatrzymała turystkę z Chin. Kobieta z wypożyczonego auta masowo rozsyłała linki phishingowe przy użyciu sms blastera.
Mam smartfona — co robić, jak żyć?
Mając smartfona jesteś na ten atak podatny, niezależnie od rodzaju urządzenia czy systemu operacyjnego. Choć na razie brak doniesień o tego typu atakach realizowanych na terenie naszego kraju, warto dmuchać na zimne. Dlatego:
- Wyłącz obsługę przestarzałej sieci 2G w swoim smartfonie. Wiele tanich SMS Blasterów opiera się na tzw. “downgrade attack” do sieci drugiej generacji, z której łatwo przechwycić ruch.
- Traktuj każdą wiadomość SMS jako całkowicie niezaufaną — bo taka de facto jest.
- Ważne rozmowy prowadź przez szyfrowane komunikatory E2EE (np. Signal).
Warto też wszelkie podejrzane trudności w nawiązaniu połączenia ze 112 zgłaszać do UKE. Kto wie, może przyczynicie się do wykrycia pierwszej tego typu operacji w Polsce.