RCS vs SMS – Er fremtidens kommunikation mere sikker?

Vi mennesker har en naturlig modstand mod forandring. Uanset om det gælder en ny kontorplads, en ny kaffebønne eller et nyt IT-system, foretrækker vi ofte det velkendte – de løsninger, der “plejer” at virke, og som vi har opbygget tillid til over tid. Netop derfor har SMS været blandt virksomhedernes foretrukne kommunikationsplatform siden 90’erne.

Det er en udfordring at udskifte en teknologi, der sidder så fast i bevidstheden hos både virksomheder og forbrugere. Men RCS er mere end blot en “opgraderet SMS”. Det er en teknologi, der bringer markante sikkerhedsmæssige fordele for både afsender og modtager – og i en tid, hvor digital tryghed er i højsædet, er det en væsentlig opgradering.

Men hvad gør konkret RCS mere sikker end den traditionelle SMS?

Sikkerheden i RCS for Business

For at forstå sikkerhedsforskellen kan man benytte fysisk post som en metafor:

• SMS fungerer som et postkort: Beskeden sendes som klartekst gennem mobilnetværket. Enhver med adgang til “ruten” kan i teorien opsnappe og læse indholdet. Den oprindelige SMS er født uden indbygget kryptering eller verifikation af afsenderen. På trods af, at de fleste SMS gateways, herunder GatewayAPI, sikrer kryptering af data fra platform til teleoperatør, kan beskeden ikke være krypteret hele vejen til modtageren. Den eneste validering af afsenderen er de filtre, som SMS gateways og teleoperatører sætter op for at minimere forsøg af misbrug.
• RCS fungerer som et forseglet brev: RCS Business Messaging benytter Transport Layer Security (TLS). Dette skaber en krypteret tunnel mellem de involverede systemer under transporten. Al data er beskyttet under transporten, hvilket reducerer risikoen for “man-in-the-middle”-angreb – en kendt cybertrussel, hvor en hacker i al hemmelighed aflytter, videresender og eventuelt ændrer kommunikationen mellem to intetanende parter.
  

Hvor privat RCS i de fleste tilfælde er End-to-End krypteret (E2EE), er valget af transportlagskryptering frem for E2EE ved RCS for business et strategisk valg, da det muliggør en række funktioner, som ellers ikke ville kunne lade sig gøre, hvis der var lukket helt af for adgangen til data. 

Operatørerne og Google har mulighed for at holde øje med og scanne indholdet af beskeden for spam og svindel. Derudover giver det mulighed for at håndtere den interaktivitet, som RCS Business Messaging understøtter, herunder knapper, chatbots og suggested replies.

Compliance og datasuverænitet

Spørgsmålet om hvem der har ret til at tilgå data er en vigtig parameter inden for datasikkerhed og spiller også en stor rolle, når det kommer til RCS-teknologien, da det især er her, at teknologien adskiller sig fra SMS.

RCS-beskeder er som udgangspunkt afhængig af Googles infrastruktur, via Google Jibe – den universelle motor, der forbinder forskellige teleselskaber og netværk på tværs af landegrænser samt fungerer som “sorteringscentral” for RCS-beskederne. Gennem Google Jibe melder teleselskaberne sig til og kan tilbyde RCS til deres kunder, uden at bygge servicen selv. Google har meldt ud, at RCS Business Messaging, gennem Google Jibe, overholder alle GDPR-regler.

Som nævnt skal alle beskeder gennem Googles infrastruktur, som, på trods af at det meste er både lagret og styret i EU, er underlagt amerikansk lovgivning (US Cloud Act). Lige den detalje har en stor betydning, når det kommer til vores EU-setup:

I GatewayAPI tilbyder vi som noget særligt et EU-setup, som sikrer at al data lagres ved en cloud udbyder (Hetzner), som er fysisk placeret i EU og ejet af en virksomhed i EU. Eftersom RCS-beskeder skal via Googles globale infrastruktur, kan vi på nuværende tidspunkt ikke garantere den samme fulde EU-datasuverænitet, som kendes fra SMS og email i vores EU-setup. Bemærk, at du stadig sagtens kan sende RCS-beskeder via EU setuppet.

Verificering: En barriere mod svindel

Den mest markante sikkerhedsopdatering i RCS er introduktionen af Verified Sender. 

Hvor SMS Sender IDs relativt nemt kan forfalskes (spoofing), kræver RCS en omfattende godkendelsesproces, før en besked kan sendes.

Når en RCS-agent oprettes via GatewayAPI, gennemgår virksomheden en validering af:

• Virksomhedens identitet: Verificering af domæneejerskab og officielle virksomhedsdata.
• Brand-aktiver: Kontrol af logoer og brandfarver for at undgå efterligninger.
• Lokale operatørstandarder: Da regulatoriske krav varierer fra land til land, hjælper processen med at navigere i lokale operatørregler og dokumentationskrav.

Resultatet er det blå verificeringsflueben, som modtageren ser i sin besked-app. Dette giver kunderne en visuel garanti for, at beskeden rent faktisk stammer fra den retmæssige virksomhed. Det fjerner fundamentet for phishing, da det, som udgangspunkt, er teknisk umuligt for uautoriserede afsendere at opnå denne verificering.

Oprettelsen af en RCS-agent klares i seks simple trin via GatewayAPI-dashboardet, hvor vores specialister står klar til at hjælpe med ansøgningen, hvor der blandt andet fastlægges navn, use case, region, visuel identitet, virksomhedsinfo mm.

Dyk ned i detaljerne: Få en komplet gennemgang af RCS-agenter og registrering her.

RCS sikkerhed i praksis

Teoretisk sikkerhed er essentielt, men værdien af RCS bliver for alvor tydelig, når man ser på den praktiske anvendelse i hverdagen. Her er to konkrete scenarier, hvor skiftet fra SMS til RCS skaber direkte tryghed for modtageren:

• Finansielle transaktioner og MFA: Når en bank sender en advarsel om et mistænkeligt køb, eliminerer RCS den usikkerhed, som mange modtagere føler ved links i beskeder. Det verificerede logo og den krypterede forbindelse gør, at modtageren trygt kan benytte knapper som “Bekræft køb” eller “Spær kort” direkte i RCS-beskeden.
• Logistik og pakkelevering: Logistikbranchen er ofte mål for svindel med falske pakkeopdateringer og toldopkrævninger. Med en verificeret RCS-agent kan fragtfirmaer levere opdateringer, der er meget sværeumulige at forfalske. Modtageren skal ikke vurdere sikkerheden af et link, men kan i stedet stole på den officielle brandprofil og de dertilhørende interaktive handlinger.

Huller og blinde vinkler

Selvom RCS repræsenterer et markant teknologisk spring fremad, er det vigtigt at anerkende, at ingen teknologi er fejlfri. Da RCS stadig er i en modningsfase mod at blive den nye globale standard, opstår der nye blinde vinkler, som afsendere skal navigere i med omhu.

Risikoen for “blind tillid”
Når RCS markedsføres som en markant sikrere platform end SMS, opstår der en risiko for en falsk følelse af tryghed hos modtageren. Det blå verificeringsflueben og den professionelle visuelle identitet kan medføre, at modtageren udvikler en ukritisk tillid og glemmer den sunde fornuft. Skulle en ondsindet aktør mod forventning slippe gennem nåleøjet og opnå verificering, vil modtageren være langt mere tilbøjelig til at stole på svindelbeskeden, end det er tilfældet med en traditionel SMS.

Sofistikeret svindel i ny teknologi
Svindlere er eksperter i at finde nye metoder, og en platform, der lover høj sikkerhed, er ofte et attraktivt mål. Med introduktionen af Rich Media opstår der mere komplekse måder at skjule ondsindet indhold på; links kan potentielt gemmes bag professionelle billeder, CTA-knapper eller strategiske svarknapper (suggested replies). Netop derfor er den manuelle verificeringsproces og kontrol i oprettelsesfasen afgørende for at opretholde RCS-mediets integritet og beskytte modtageren.

RCS – den nye standard?

Overgangen fra SMS til RCS er det største spring i den mobile kommunikations historie. Selvom ny teknologi altid medfører nye risici, er konklusionen klar: RCS er den sikreste løsning for både afsendere og modtagere.

Ved at erstatte “postkortet” med det “forseglede brev” opnår virksomheden:

• Gennemsigtighed via manuel verificering.
• Beskyttelse via TLS-kryptering i store dele af forløbet.
• Tillid, fordi modtageren altid ved, hvem de skriver med.

RCS indeholder dog på nuværende tidspunkt et kompromis, hvad angår vores EU setup, hvor det ekstra sikkerhedslag i EU setuppet i skrivende stund ikke dækker RCS, da RCS-beskederne skal forbi Googles systemer i deres vej frem til slutbrugerne. 

Hvis du har spørgsmål til RCS og sikkerhed, er du velkommen til at kontakte vores specialister på supportchatten.