В октябре 2025 года CTIA опубликовала «Лучшие практики безопасности обмена сообщениями» — дополнительный отраслевой саморегулирующий документ к «Принципам и лучшим практикам обмена сообщениями». Он охватывает всю экосистему: операторов связи, DCA‑агрегаторов, CPaaS‑платформы и отправителей сообщений, фокусируясь на угрозах спама, взлома учётных записей, злоупотребления SIM‑оборудованием и утечек учётных данных API. Документ не имеет федеральной юридической силы, но служит важной практической базой для трёх крупнейших американских операторов при реализации риск‑контроля, фильтрации трафика и мер в отношении аккаунтов.
В документе выделено шесть ключевых блоков требований. Первое — механизмы мониторинга и блокировки: поставщики услуг вправе блокировать подозрительные сообщения по результатам оценки рисков, учитывая факты мошенничества, серые маршруты, отсутствие идентификации и многократные нарушения отраслевых норм.
Второе — сотрудничество при сборе доказательств и проверка KYC: при инцидентах со спамом участники экосистемы собирают только минимально необходимые данные для трассировки и оперативно отвечают на законные запросы. CPaaS‑платформы и агрегаторы обязаны выполнять KYC‑проверку и хранить реальные данные отправителей для последующих расследований. Рекомендуется проводить разъяснительную работу с пользователями для повышения осведомлённости об атаках smishing.
Третье — сценарии Email‑to‑SMS: обязательно включение аутентификации DKIM и SPF. Данный трафик должен полностью соответствовать правилам opt‑in / opt‑out; несоответствующие сообщения подлежат блокировке.
Четвёртое — противодействие злоупотреблениям беспроводной рассылкой: регламентированы риски от SIM‑боксов, виртуальных SIM‑карт и одноразовых номеров, генерирующих массовый спам. Платформы отслеживают массовое подключение SIM‑карт и аномальные шаблоны трафика. Источники злоупотреблений отключаются от сети; при признаках преступления материалы передаются правоохранительным органам.
Пятое — безопасность учётных данных API на CPaaS‑платформах: управление учётными данными должно соответствовать стандартам NIST и FIPS. Доступ третьих сторон к API оформляется письменным соглашением. Ведётся мониторинг признаков компрометации. При взломе аккаунта CPaaS‑оператор и отправитель уведомляют друг друга, блокируют скомпрометированную учётную запись и устраняют уязвимости системы; предусмотрены жёсткие меры против спуфинга номеров.
Документ определяет запрещённый контент категории SHAFT: откровенно сексуальные материалы, разжигание ненависти, темы алкоголя, огнестрельного оружия и табака — все они являются приоритетными объектами для блокировки.
