Caller ID a spoofing — proč na displeji vidíte „banku” a volá podvodník

V tomto článku se podíváme na technický aspekt falšování čísla volajícího. Pokud chcete praktické tipy pro obranu, přečtěte si Spoofing — jak rozpoznat falešné číslo.

Jak funguje Caller ID

Když vám někdo volá, telefonní síť vysílá pakety s metadaty. Mezi nimi je pole Calling Party Number (CPN) — to je číslo, které vidíte na displeji.

Problém: v původní telekomunikační síti (SS7) se předpokládalo, že CPN je důvěryhodné — operátoři si navzájem důvěřovali. Mobilní síť i dnešní VoIP toto dědictví zachovaly.

Jak útočník spoofuje

Existuje několik způsobů:

1. VoIP brána s vlastním nastavením

Útočník si na komerční VoIP službě (Twilio, Asterisk, FreeSWITCH) nastaví, že se v hlavičce objeví „800 521 521”. Operátor, který hovor předá do mobilní sítě, nekontroluje pravost.

2. Komerční „spoofing services”

V dark webu a tržištích jsou aplikace, které vám za pár dolarů umožní zavolat z jakéhokoli čísla. Jsou určeny pro legitimní použití (např. firma volá z hlavního čísla, ač zaměstnanec sedí na klapce 12), ale zneužití je triviální.

3. SIP hacking

Útočník kompromituje SIP účet legitimní firmy a volá pod jejím jménem. Tohle je sofistikovanější, ale stále se to děje.

Proč to operátoři neopraví?

Hlavní důvod: mezinárodní telekomunikační síť je velmi heterogenní. Když vám volá někdo z USA přes několik mezi-operátorů, paket projde 5-10 různými systémy. Každý z nich by musel ověřovat původ — to je obrovský retrofit infrastruktury.

STIR/SHAKEN — řešení, které přichází

Standardy STIR (Secure Telephony Identity Revisited) a SHAKEN (Signature-based Handling of Asserted information using toKENs) zavádí kryptografický podpis volání:

1. Operátor odchozího hovoru podepíše paket (jako PGP e-mail).
2. Operátor příchozího hovoru ověří podpis.
3. Pokud je hovor „attested level A” (plný podpis), je důvěryhodný.
4. Pokud „level C” (operátor neviděl autentizaci), telefon zobrazí „Suspect call”.

Stav v ČR (2026): ČTÚ pracuje na nasazení. Operátoři T-Mobile a O2 už podporují STIR/SHAKEN pro vlastní síť, ale přechod přes hraniční operátory je pomalejší.

V USA je STIR/SHAKEN povinný od roku 2021 pro velké operátory, a počet spoofovaných hovorů poklesl o ~30 %. Ne 100 % — protože útočníci se přizpůsobili (volají z méně regulovaných destinací jako Indie nebo Filipíny).

Co můžete udělat dnes

1. Vědomě nedůvěřovat displeji — přijmout, že číslo volajícího je jen text, ne identifikace.
2. Zavolat zpět na číslo z webu (ne z paměti).
3. Aplikace operátora — některé filtrují podezřelé hovory (T-Mobile FraudShield, O2 Smart Block).
4. Zaregistrovat se do Listopad NE — i kdyby spoofing prošel, zákonný marketing musí respektovat opt-in.

Užitečné odkazy

• Praktické tipy proti spoofingu
• Listopad NE — opt-in pro marketing
• ČTÚ — formulář pro stížnosti