Walka z plagą fałszywych zgłoszeń, znanych jako swatting, to jedno z największych wyzwań współczesnych służb ratunkowych. Swatting polega na celowym wprowadzeniu w błąd dyspozytora numeru alarmowego (np. 112 lub 911) poprzez zgłoszenie nieistniejącego, krytycznego zagrożenia, co skutkuje wysłaniem uzbrojonych jednostek policji pod adres niczego nieświadomej ofiary. Kluczowym narzędziem przestępców jest tutaj spoofing, czyli podszywanie się pod cudzy numer telefonu. Standardy STIR/SHAKEN oferują technologiczne rozwiązanie, które mogłoby wyeliminować ten problem u źródła, działając całkowicie „w tle”, bez angażowania dyspozytora.

Czym właściwie są standardy STIR/SHAKEN?

Zanim przejdziemy do mechanizmu blokowania swattingu, warto zrozumieć, co kryje się pod tymi akronimami. STIR (Secure Telephone Identity Revisited) oraz SHAKEN (Signature-based Handling of Asserted information using toKENs) to zestaw protokołów i procedur, które pozwalają operatorom telekomunikacyjnym na cyfrowe „podpisywanie” połączeń telefonicznych.

W uproszczeniu: gdy wykonujesz połączenie, Twój operator wystawia mu cyfrowy certyfikat. Operator odbierający połączenie sprawdza ten certyfikat. Jeśli dane się zgadzają, wiadomo, że numer wyświetlany na ekranie jest prawdziwy. Jeśli certyfikatu brakuje lub jest on nieprawidłowy, system wie, że ma do czynienia z potencjalnym oszustwem.

Automatyczna weryfikacja na poziomie sieci

Aby system działał bez udziału dyspozytora 112, cała magia musi dziać się na poziomie infrastruktury sieciowej operatora, zanim sygnał w ogóle dotrze do konsoli w centrum powiadamiania ratunkowego. W architekturze STIR/SHAKEN każde połączenie otrzymuje jeden z trzech poziomów uwierzytelnienia (tzw. Attestation Levels):

1. Poziom A (Full Attestation): Operator zna dzwoniącego i potwierdza, że ma on prawo korzystać z danego numeru.
2. Poziom B (Partial Attestation): Operator zna dzwoniącego, ale nie ma pewności, czy ma on prawo korzystać z konkretnego numeru (np. połączenie z centrali PBX w firmie).
3. Poziom C (Gateway Attestation): Operator jedynie przekazuje połączenie z innej sieci (np. zagranicznej) i nie może zweryfikować tożsamości dzwoniącego.

W scenariuszu automatycznym, systemy bezpieczeństwa sieci alarmowych mogłyby zostać skonfigurowane tak, aby odrzucać połączenia o niskim poziomie zaufania (np. brak podpisu lub Poziom C), jeśli pochodzą one z kanałów często wykorzystywanych do spoofingu (np. bramki VoIP).

Jak system mógłby odrzucać zgłoszenia bez wiedzy operatora?

Kluczem do realizacji wizji, w której dyspozytor nie musi o niczym decydować, jest implementacja tzw. „polityki odrzucania” (Call Admission Control) opartej na metadanych protokołu SIP.

Gdy połączenie przychodzi do infrastruktury obsługującej numer 112, serwer brzegowy sprawdza nagłówek „Identity”. Jeśli system wykryje, że numer dzwoniący jest oznaczony jako „spoofed” (czyli ktoś podszywa się pod numer domowy ofiary, ale połączenie fizycznie przychodzi z anonimowego serwera w innym kraju), może on automatycznie zakończyć sesję przed zestawieniem rozmowy.

Z perspektywy dyspozytora: telefon po prostu nie dzwoni. Z perspektywy przestępcy: połączenie zostaje przerwane lub trafia w „czarną dziurę”. Cały proces trwa milisekundy i odbywa się na warstwie protokołów sygnalizacyjnych, a nie na warstwie głosowej.

Czy całkowite blokowanie numerów alarmowych jest bezpieczne?

To najważniejsze pytanie, jakie zadają sobie eksperci ds. bezpieczeństwa. Całkowite, automatyczne odrzucanie połączeń na numer 112 jest ryzykowne, ponieważ błąd w systemie mógłby uniemożliwić komuś wezwanie pomocy w realnym zagrożeniu. Dlatego zamiast prostego „blokowania”, systemy STIR/SHAKEN w kontekście swattingu mogłyby działać w modelu inteligentnego filtrowania:

• Automatyczna weryfikacja tożsamości: Jeśli połączenie nie posiada Poziomu A, system zamiast do dyspozytora, kieruje je do automatycznego systemu IVR (interaktywne menu głosowe), który wymaga od dzwoniącego wykonania prostej czynności (np. „wciśnij 5”). Większość zautomatyzowanych ataków swattingowych polega na puszczaniu nagranych komunikatów, co taki filtr natychmiast wychwyci.
• Weryfikacja lokalizacji (Geofencing): Jeśli standard STIR/SHAKEN wskazuje, że połączenie pochodzi z zagranicznej bramki VoIP, a system lokalizacji telefonu (AML - Advanced Mobile Location) nie potwierdza obecności urządzenia w pobliżu zgłaszanego zdarzenia, system może automatycznie oznaczyć takie połączenie jako fałszywe i odrzucić je bez angażowania człowieka.

Dlaczego to jeszcze nie jest standardem wszędzie?

Choć technologia STIR/SHAKEN jest już wdrażana (np. w USA czy Kanadzie), jej pełna skuteczność zależy od globalnej współpracy. Jeśli przestępca dzwoni z kraju, który nie zaimplementował tych standardów, operator w Polsce otrzyma połączenie bez cyfrowego podpisu.

Wyzwaniem jest również modernizacja starszych central telefonicznych, które nie obsługują protokołu SIP, na którym opiera się STIR/SHAKEN. Dopiero pełna cyfryzacja ścieżki połączenia od dzwoniącego do dyspozytora pozwoli na to, by algorytmy mogły samodzielnie decydować o tym, które zgłoszenie jest realne, a które jest jedynie złośliwym oszustwem.

Ciekawostka: Swatting to nie tylko telefony

Warto wiedzieć, że nowoczesny swatting ewoluuje. Przestępcy potrafią wykorzystywać luki w systemach TTY (dla osób niesłyszących) lub aplikacjach mobilnych do zgłaszania wypadków. Dlatego standardy STIR/SHAKEN to tylko jeden z elementów większej układanki bezpieczeństwa, która musi obejmować całą infrastrukturę Next Generation 112 (NG112).