Jak zablokować niepotrzebne usługi telekomunikacyjne – kłopoty i pułapki

W przypadku usług komórkowych warto zablokować te, które mogą generować koszty, a nie planujemy z nich korzystać. Okazuje się jednak, że w wielu wypadkach całkowita blokada nie jest możliwa, a operatorzy różnie podchodzą do tego problemu.

Jeden z naszych Czytelników po zapoznaniu się z informacją o atakach na routery, które okazały się bardzo kosztowne, postanowił pójść za radą badaczy i zwrócił się do operatora z prośbą o zablokowanie połączeń głosowych i SMS-ów na kartach SIM używanych wyłącznie do transmisji danych w urządzeniach IoT. Ciekawa sprawa, bo atak został wykryty przez CERT Orange Polska, który wspomnianą radę zamieścił na swojej stronie, zresztą dwukrotnie. Czytelnik korzystał z usługi Internet LTE dla Firm Biurowy właśnie w Orange, zakładał więc, że problemów nie będzie. Zadzwonił na infolinię i usłyszał, że nałożenie interesującej go blokady nie jest możliwe.

Gdy rady ekspertów nie przystają do rzeczywistości

Domyślam się, że przeszkody są innej natury niż techniczne. (…) Skoro CERT Orange pisze o takiej możliwości, to może da się to zrobić, tylko konsultanci byli niedoinformowani? – przeczytaliśmy w mailu do redakcji i od razu przekazaliśmy to pytanie rzecznikowi sieci Orange, Wojciechowi Jabczyńskiemu. W odpowiedzi otrzymaliśmy link do kolejnej notki na stronie operatora – jest na tyle krótka, że zacytujemy ją Wam w całości:

Zwróciliśmy rzecznikowi uwagę, że Czytelnik już dzwonił na infolinię i nic nie wskórał. Potwierdziłem jeszcze raz. Taka blokada jest możliwa – odpisał Jabczyński, przepraszając za konsultanta, który udzielił błędnej informacji. Dajcie znać w komentarzach, jeśli komuś z Was się uda zablokować w Orange połączenia głosowe i SMS-y na karcie używanej do transmisji danych.

Zapytaliśmy innych operatorów, czy oferują podobną możliwość. Arkadiusz Majewski, starszy specjalista z Działu Komunikacji Korporacyjnej Plusa, odpisał krótko, że nie można wyłączyć „normalnych” usług telekomunikacyjnych.

Z kolei Ewa Sankowska-Sieniek z biura prasowego Play brak zalecanej przez ekspertów blokady wyjaśniła następująco: wszystkie przypadki wykryte przez Orange miały wspólny mianownik – korzystanie z usługi Statycznego Adresu IP (VPN Static) i korzystanie ze sprzętu bez dostatecznych zabezpieczeń. W Play problem ten nigdy nie wystąpił i nie ma prawa wystąpić, gdyż w naszej sieci nie udostępniamy usługi typu VPN Static, więc włamanie do urządzenia przez sieć przez przestępcę nie jest w ogóle możliwe, nawet jeśli urządzenie końcowe, z którego korzysta klient nie miałoby dostatecznych zabezpieczeń.

W naszej ocenie twierdzenie, że na urządzenia nieposiadające publicznego adresu IP nie da się włamać, jest bardzo dalekie od prawdy. Polemikę z tym twierdzeniem pozostawiamy Czytelnikom, od siebie dodamy tylko, że istnieją też inne metody ataku, np. opisywany przez nas DNS Rebinding, nie mówiąc już o możliwości atakowania i kontrolowania urządzeń w sieci lokalnej za pomocą JavaScriptu z poziomu przeglądarki.

W przypadku T-Mobile mimo upływu dwóch tygodni od wysłania pytań (i paru maili przypominających) wciąż nie otrzymaliśmy odpowiedzi. Brawo T-Mobile, od czego macie biuro prasowe? Dzwoniąc na infolinię, usłyszeliśmy, że założenie interesującej nas blokady nie jest możliwe.

Wygląda więc na to, że posiadacze routerów i innych urządzeń IoT wymagających użycia karty SIM nie mogą liczyć na operatorów (innych niż Orange) i muszą zadbać o bezpieczeństwo we własnym zakresie, przede wszystkim aktualizując firmware celem usunięcia znalezionych przez badaczy luk. Trzeba też pamiętać o zablokowaniu możliwości zarządzania routerem spoza sieci lokalnej. O zmianie domyślnego loginu i hasła do panelu konfiguracyjnego nikomu, kto czyta z3s, nie musimy chyba przypominać.

Warto również na każdej wykorzystywanej przez nas karcie SIM zablokować usługi Premium Rate, czyli te o podwyższonej opłacie.

Po co komu blokada usług Premium

Naciągacze stosują różne taktyki, by wymusić na potencjalnych ofiarach wysłanie kosztownego SMS-a lub zapisanie się do subskrypcji. Często wykorzystują social media, niekiedy schodzą do podziemia, ale nie przeszkadza im to w skutecznym oszukiwaniu internautów. Bardziej pomysłowym zdarza się sięgać po trochę już zapomnianą technologię WAP billing, która umożliwia dokonywanie płatności na stronie bezpośrednio z konta mobilnego. Teoretycznie – za wiedzą i zgodą użytkownika, w praktyce wystarczy wejście na stronę przez specjalnie przygotowany link. Nie klikacie w podejrzane linki? Nie szkodzi, istnieje kilka trojanów (Ubsod, Xafekopy, Autosus i inne), które mogą to zrobić za Was. Zastosowanie odpowiednich blokad pozwala ograniczyć ryzyko. Sprawdziliśmy, co w tym zakresie oferują poszczególni operatorzy.

Orange

Ze strony tego operatora wynika, że wszystkie dostępne blokady można aktywować po zalogowaniu się w serwisie Mój Orange. Należy wybrać po kolei Umowy, urządzenia i usługi dodatkowe ► Pakiety i usługi dodatkowe ► Blokady, a w przypadku aplikacji mobilnej – po prostu zakładkę Usługi. Inną opcją jest kontakt z Biurem Obsługi Klienta, należy w tym celu zadzwonić pod numer:

• klienci indywidualni: *100, z telefonów stacjonarnych – 510 100 100,
• klienci biznesowi: *600, z telefonów stacjonarnych – 510 600 600.

Użytkownik może zablokować:

• wysyłanie SMS-ów Specjalnych, czyli na numery o podwyższonej opłacie (7xxx, 8xxx, 9xxx),
• wysyłanie MMS-ów Specjalnych na wyżej wskazane numery,
• otrzymywanie SMS-ów Specjalnych (i to są te osławione subskrypcje),
• otrzymywanie MMS-ów Specjalnych (w wykazie z jakiegoś powodu figuruje jako Zawieszenie subskrypcji),
• połączenia wykonywane pod numery specjalne *7xxx,
• połączenia wykonywane pod numery specjalne 0700 i 0701,
• dostęp do serwisów Premium (w wyjaśnieniu można przeczytać, że blokada ta działa na serwisy o podwyższonej opłacie oferowane przez Orange i partnerów, dostępne za pomocą transmisji danych w sieci Orange – innymi słowy, chodzi o WAP billing).

W taki sam sposób (w serwisie Mój Orange lub dzwoniąc na infolinię) użytkownik może ustawić maksymalną kwotę na korzystanie z usług o podwyższonej opłacie.

Plus

Zlecenie blokady usług Premium Rate możliwe jest poprzez kontakt z Biurem Obsługi Klienta, samodzielnie SMS-em lub w Punkcie Sprzedaży naszych usług – wyjaśnił w odpowiedzi na nasze pytania przedstawiciel Plusa, Arkadiusz Majewski. Numer infolinii to 601 102 601, SMS-y należy wysyłać pod bezpłatny numer 2601. Ze strony operatora można się dowiedzieć, że na wszystkie usługi o podwyższonej opłacie można nałożyć limit kwotowy, wysyłając wiadomość o treści ZABLOKUJ [kwota]. Po przekroczeniu zadeklarowanej kwoty miesięcznej korzystanie z usług Premium zostanie zablokowane. Użytkownik ma do wyboru następujące kwoty w PLN: 35, 50, 75, 100 i 200.

Dezaktywacja wszystkich usług na dobre wymaga trochę więcej zachodu. Należy w tym celu wysłać pod wskazany wyżej numer cztery SMS-y:

• LIMIT SMS 0 – aby zablokować wysyłanie SMS-ów Premium,
• LIMIT MMS 0 – aby zablokować wysyłanie MMS-ów Premium,
• LIMIT GL 0 – aby zablokować połączenia wykonywane pod numery 605 70xxxx, *7xy oraz 70xxx,
• LIMIT MT 0 – aby zablokować serwisy Premium MT, czyli subskrypcje SMS/MMS.

Zamiast 0 można oczywiście wpisać wyższą kwotę (choć nie polecamy). Można też sprawdzić, czy jest się zapisanym do jakiegoś serwisu MT – wystarczy wysłać wiadomość o treści LISTA pod numer 8888. Rezygnacja z wybranej subskrypcji polega na wysłaniu SMS-a o treści STOP [nazwa] pod numer, z którego przychodzą niechciane wiadomości. Plus nie świadczy natomiast usług typu WAP billing, więc w tym przypadku żadne opłaty nie będą naliczane. WAP billing jest technologią, którą wyłączyliśmy już kilka lat temu m.in. ze względu właśnie na podatność na wyłudzenia – napisał Majewski.

Jego zdaniem nadużycia, którym poświęcamy tyle miejsca w z3s, niedługo zostaną praktycznie całkowicie wyeliminowane. Wszystko dzięki wchodzącej w życie nowelizacji prawa telekomunikacyjnego, zgodnie z którą ustanowiony został próg kwotowy (na wszystkie usługi Premium) na poziomie 35 zł dla wszystkich klientów, którzy obecnie nie posiadają ustawionego progu kwotowego na usługi o podwyższonej opłacie. Klient nadal będzie mógł całkowicie zablokować usługi Premium Rate lub ustawić wyższy próg kwotowy, lecz będzie to wymagało jego działania, a dla użytkowników całkowicie nieświadomych takich usług i kosztów, jakie mogą się nimi wiązać, będzie to stanowiło zabezpieczenie przed niechcianymi wysokimi rachunkami.

Play

Na wspomnianą wyżej ustawę powołała się w swoim mailu także przedstawicielka sieci Play, Ewa Sankowska-Sieniek, która podkreśliła, że operator od kilku lat zapewnia klientom możliwość ustawienia progu wydatków na usługi Premium. O wiele bardziej interesowała nas jednak możliwość całkowitego zablokowania tego typu usług. Okazało się, że blokadę można aktywować na kilka sposobów:

• dzwoniąc do Obsługi Klienta pod numer *500 lub *600,
• wpisując i zatwierdzając na klawiaturze swego telefonu krótki kod USSD,
• logując się na swoje konto na stronie www.24.play.pl,
• odwiedzając Salon Play.

W regulaminie dostępnym na stronie operatora widnieje informacja o możliwości włączenia blokady po wysłaniu SMS-a o określonej treści pod numer 8002, ale z odpowiedzi Sankowskiej-Sieniek wynika, że Play zrezygnował z tej metody ze względu na częste jej wykorzystywanie przez przestępców. W takiej sytuacji najprostszym sposobem poradzenia sobie z usługami Premium jest zastosowanie kodów USSD:

• *111*96*1# – blokada wszystkich usług o podwyższonej opłacie,
• *111*32*1# – blokada wysyłania SMS-ów Premium,
• *111*48*1# – blokada wysyłania MMS-ów Premium,
• *111*98*1# – blokada połączeń głosowych z numerami Premium,
• *111*97*1# – blokada subskrypcji (przychodzących SMS-ów i MMS-ów Premium),
• *111*54*1# – blokada WAP,
• *111*55*1# – blokada streamingu (serwisów strumieniowej transmisji danych).

Co do ostatnich trzech kodów, które podajemy za stroną operatora, to jego przedstawicielka w wysłanym do nas mailu zapewniła, że Play nie oferuje już (od kwietnia 2018 r.) usług, z których korzystanie budziło największe kontrowersje wśród klientów, takich jak przychodzące SMS/MMS Premium, WAP billing czy streaming Premium. Wypadałoby wobec tego zaktualizować udostępniane online informacje.

T-Mobile

Jak zablokować usługi o podwyższonej opłacie u tego operatora, dowiedzieliśmy sie z jego strony (biuro prasowe niestety milczy). Wszystko można załatwić, wysyłając pod bezpłatny numer 80450 SMS-y o następującej treści:

• ALL ON – blokada wszystkich usług Premium,
• SMS ON – blokada SMS-ów Premium,
• MMS ON – blokada MMS-ów Premium,
• POL ON – blokada połączeń z numerami Premium,
• WAP ON – blokada usług Premium WAP.

Podobnie jak u innych operatorów, użytkownik może zarządzać limitem kwotowym na usługi o podwyższonej opłacie, po wykorzystaniu którego nakładana jest blokada.

Mamy nadzieję, że pomogliśmy. Dajcie znać w komentarzach, czy udało się Wam zablokować usługi Premium, stosując powyższe wskazówki, czy może zablokowaliście je już dawno temu oraz z jakimi zetknęliście się problemami.