PolicySMSで送信元の電話番号を偽装したメッセージを送るSMSで送信元の電話番号を偽装したメッセージを送る今回取り上げる内容は再現性のない挙動だが、私の所属する組織との関係性に配慮し一部を黒塗りにしている。不透明な内容ではあるが、昨今のスミッシング増加に伴うSMS利用者への注意喚起として開示する。前回のエントリーではクラウド電話サービス「Twilio」を利用してSMSの送信元を偽装した。Twilioはアカウントに紐付いていない電話番号をFromの値に指定できないため、送信元の電話番号を偽装したメッセージは送れなかった。始まる香港番号に変換され、任意の番号には偽装できなかった1。SMSの偽装について調べていくと、電話番号を偽装したSMSを送信できると主張するWebサービスがいくつか見つかる。その中から「SMSGang」というサービスを利用してメッセージを送信すると、宛先の電話回線によって受信の可否が分かれた。以下の個人環境で検証した結果を示す。KDDISMSGangによる電番偽装SMSGangから偽装したメッセージを送るには事前にPINコードを購入する必要がある。テストメッセージは無料で送信できるため、デバイスで受信できることを確認してからPINコードを購入したい。SMSGangがサポートしている通信事業者を確認すると、日本ではDOCOMO回線とSoftBank回線が対象になっている。█████回線の電話番号宛に送信したテストメッセージはデバイスで正常に受信できたが、█████回線の番号では受信できない。█████回線の番号でも確認したが受信できない。PINコードの購入後に再検証したが、SMSGangから送信したメッセージを█████回線と█████回線では受信できなかった。そのため以降で示す挙動は全て█████回線で実証したものである。この挙動は既に█████CSIRTへ報告し、現在は再現しなくなっている。国際形式で入力し、有効なPINコードと共にメッセージを送る。フォーム上にはメッセージを送信した旨が表示される。デバイスではメッセージを受信できない。