SPIM

SPIM ist unerwünschtes Massen-Messaging auf Mobiltelefone, typischerweise via SMS (Short Message Service) oder Multimedia-Messaging. Das Akronym spiegelt SPAM wider, zielt aber auf Mobilfunknetze statt auf E-Mail-Systeme. Eine einzelne SPIM-Kampagne kann Tausende von Handys mit Werbung, Phishing-Versuchen oder betrügerischen Benachrichtigungen überfluten und dabei Netze und Benutzer-Posteingänge gleichermaßen lahmlegen.

Die Mechanik unterscheidet sich von E-Mail-Spam auf wichtige Weise. SPIM nutzt häufig SMS-Gateways aus, die Nachrichten aus dem öffentlichen Internet akzeptieren und sie an Mobilfunkbetreiber weiterleiten. Angreifer können gefälschte Absenderadressen verwenden (um Nachrichten so aussehen zu lassen, als kämen sie von legitimen Banken oder Diensten), Zugang zu Drittanbieter-Messaging-Plattformen kaufen oder schlecht gesicherte Gateways kompromittieren. Da SMS eine hohe Zustellungsrate hat und Benutzer Nachrichten nicht so leicht filtern können wie E-Mails, ist SPIM erfolgreich dort, wo E-Mail-Spam scheitert.

Netzbetreiber stehen vor besonderen Herausforderungen. Die SMS-Infrastruktur wurde für Punkt-zu-Punkt-Verkehr konzipiert; Massen-Messaging-Infrastruktur verfügt nicht über die Filtersonistikation von E-Mail-Systemen. Betreiber implementieren Rate Limiting auf Gateways, fordern Sender-Authentifizierung und arbeiten mit Strafverfolgungsbehörden zusammen, um wiederholte Täter zu identifizieren. Einige setzen schlüsselwortbasierte Filter ein, die Nachrichten mit bekannten Phishing-Domains oder Ausdrücken blockieren, die mit Finanzbetrug verbunden sind. Kundengestützte Filterung bleibt schwach; die meisten Telefone bieten begrenzte SMS-Blockierungsfunktionen im Vergleich zu E-Mail-Spam-Filtern.

Der wirtschaftliche Anreiz ist klar. SMS-Zustellung ist für Angreifer billig, aber mit Betriebskosten für Betreiber und kognitiver Belastung für Benutzer verbunden. Eine erfolgreiche Phishing-SPIM-Kampagne, die auf Bankkunden abzielt, oder ein Datenabfrage-Text, der vorgeben soll, von einem Telekommunikationsanbieter zu stammen, kann unmittelbare finanzielle Erträge bringen. Die kurze, direkte Natur von SMS macht es wirksam für Datendiebstahl, wo E-Mail-Phishing das Klicken auf einen Link erfordert.

Der regulatorische Status von SPIM variiert je nach Gerichtsbarkeit. In einigen Regionen werden unerwünschte SMS nach Telekommunikationsgesetzen als Verstoß gegen Do-Not-Call- oder Anti-Spam-Bestimmungen behandelt. Betreiber können haftbar gemacht werden, wenn sie angemessene Filterung nicht implementieren. Die Herausforderung liegt darin, legitimes Massen-SMS (Terminsterinnerungen, Lieferbenachrichtigungen, Zwei-Faktor-Authentifizierungscodes) von bösartigem Verkehr zu unterscheiden, ein Problem, das keine perfekte technische Lösung hat.