• 研究人员发现 RCS 验证发件人系统存在漏洞，可被伪造，使用户面临钓鱼风险。
  • 协议误用影响主要电信运营商和全球安卓用户，引发对移动安全的紧急关切。

事件背景：RCS 发件人验证存在漏洞

来自 Evina 和 Mindflow 的网络安全研究人员发现，富通信服务（RCS）协议存在重大缺陷。问题在于电信提供商如何验证“可信”RCS 发件人。许多运营商并未采用严格的相互认证，而是依赖可被犯罪分子绕过的本地检查。

攻击者可通过境外 RCS 服务器注册号码，并发送模仿可信品牌的消息。这些消息可包含官方标识和名称，使其看似真实。受害者通过默认支持 RCS 的 Google Messages 应用接收这些消息。据 TelecomTalk 报道，该漏洞影响全球用户，包括使用 Google Jibe 平台的网络服务用户。

相关阅读：RCS 采用 MLS 增强安全
相关阅读： Sinch 扩大与 Verizon 的 RCS 合作

为何重要

这一安全疏漏凸显了 RCS 发送方验证机制的系统性失败。短信钓鱼（Smishing）正成为日渐增长的威胁。从 SMS 向 RCS 的转变旨在增强移动消息安全性，但这一发现表明，若实施不当，RCS 系统可能同样甚至更加脆弱。

与 SMS 中用户可看到电话号码不同，RCS 验证消息通常显示品牌名称和标识，造成一种虚假的安全感。由于缺乏明确的协议强制或跨运营商验证，攻击者可以利用不一致性来制造逼真的骗局。正如 Evina 首席执行官 David Lotfi 所指出的：“这不是一个应用中的缺陷——这是协议设计问题。”

风险巨大。RCS 现已嵌入数十亿安卓手机的默认消息应用中。若不加以解决，此漏洞可能被用于大规模钓鱼活动，类似于过去利用 SS7 信令漏洞的攻击。

降低风险需要实施严格的强制认证、跨运营商标准，以及电信公司提高透明度。谷歌、电信运营商和设备制造商必须协调修补协议，并恢复人们对 RCS 作为 SMS 安全替代方案的信任。