Niewidoczne SMS-y namierzały telefony. W jednym z ataków użyto identyfikatora Plusa

Do namierzenia telefonu nie zawsze trzeba go zhakować. Badacze z Citizen Lab opisali dwie wieloletnie kampanie, w których lokalizację urządzeń ustalano przez infrastrukturę operatorów komórkowych. Atakujący przełączali się między protokołami SS7 i Diameter, podszywali pod operatorów z wielu krajów, w tym pod polskiego Plusa, i wysyłali niewidoczne dla użytkownika SMS-y z poleceniami dla karty SIM. Raport obejmuje lata 2022-2025 i wskazuje ponad 16 000 prób lokalizacji.

Sprawę po polsku opisał Niebezpiecznik. Poniżej wyjaśniamy, co się wydarzyło i co z tego wynika w praktyce.

Jak można namierzyć telefon bez włamania

SS7 i Diameter to protokoły, którymi operatorzy wymieniają się informacjami potrzebnymi m.in. do roamingu. SS7 obsługuje starsze sieci, Diameter sieci 4G i większość wdrożeń 5G. Problem polega na tym, że operatorzy w dużym stopniu sobie ufają. Ktoś, kto ma dostęp do tego ekosystemu, może wysłać zapytanie wyglądające jak polecenie legalnego operatora i spróbować ustalić, do której stacji bazowej jest zalogowany konkretny telefon.

Badacze nazywają takich graczy „operatorami-widmami”. Według Niebezpiecznika zdobycie dostępu do tej infrastruktury nie jest wcale tak trudne, jak mogłoby się wydawać.

Dwa sposoby działania

Citizen Lab opisał dwóch aktorów, którzy działali nieco inaczej.

• Uporczywe przełączanie protokołów. Jeden z atakujących podczas czterogodzinnego ataku na ważnego menedżera użył identyfikatorów 11 różnych operatorów z 9 krajów. Gdy jego zapytania SS7 były blokowane, przechodził na Diameter, zmieniał trasowanie i znów wracał do SS7.
• Ukryte SMS-y do karty SIM. Drugi aktor łączył zapytania sieciowe z techniką znaną jako SIMjacker. Specjalny binarny SMS miał trafić nie do aplikacji z wiadomościami, lecz do starego programu S@T Browser na karcie SIM. Polecenia kazały karcie odczytać identyfikator komórki sieci i odesłać go kolejnym ukrytym SMS-em. Pozwala to określić położenie z dokładnością od około kilometra w mieście do 100 km na słabo pokrytym terenie. W opisanym przypadku wiadomość została jednak zablokowana, zanim dotarła do telefonu.

Co z Plusem

W szczegółowo opisanym ataku z 11 lutego 2025 r. użyto identyfikatora Plusa do podszywania się pod sieci z różnych państw. Trzeba to jednak czytać ostrożnie. Jak podkreśla Niebezpiecznik, nie jest to dowód, że Polkomtel uczestniczył w inwigilacji, ani że celem był polski abonent. Identyfikator mógł zostać podrobiony albo użyty przez pośrednika lub firmę dzierżawiącą dostęp.

Citizen Lab nie przypisał kampanii konkretnej firmie ani państwu. Wzorce techniczne wskazują według badaczy na platformy komercyjnych dostawców usług inwigilacji pracujących dla klientów rządowych. Izraelski operator 019Mobile zakwestionował możliwość przypisania ruchu do swojej infrastruktury. Firma Sure, właściciel dawnej sieci Airtel Jersey, potwierdziła, że dzierżawi usługi sygnalizacyjne niewielkiej liczbie wyspecjalizowanych podmiotów do legalnych celów, ale zaprzeczyła, by świadomie udostępniała je do śledzenia ludzi, i zapowiedziała dochodzenie.

Kogo to dotyczy

To nie była masowa inwigilacja wszystkich użytkowników. Celami były osoby o wysokiej wartości dla zleceniodawcy, takie jak menedżer, na którego przeprowadzono opisany czterogodzinny atak. Raport nie wskazuje, kim były wszystkie namierzane osoby. Większość z nas nie musi się więc obawiać. Jedynym sposobem, by całkowicie zapobiec lokalizacji tą metodą, jest wyłączenie telefonu.

Osoby i organizacje o podwyższonym ryzyku mogą jednak zrobić więcej. Niebezpiecznik radzi zapytać operatora, czy:

1. koreluje i blokuje ataki łączące SS7 z Diameter,
2. sprawdza zgodność pól Origin-Host, Origin-Realm i Route-Record z dokumentacją partnerów roamingowych,
3. filtruje nieuwierzytelnione wiadomości OTA kierowane do aplikacji na karcie SIM.

Jeśli Twoja firma ma w zespole osoby szczególnie narażone, na przykład zarząd prowadzący wrażliwe negocjacje, warto przy kolejnej rozmowie z operatorem o umowie flotowej poruszyć te kwestie. Pomocne bywa też ograniczanie liczby osób, które znają numery telefonów kluczowych pracowników. Jak zauważa Niebezpiecznik, jeśli operator nie pilnuje opisanych zabezpieczeń, abonent nie ma przed tą techniką skutecznej ochrony. Dlatego wybór operatora i rozmowa o jego zabezpieczeniach mają tu realne znaczenie, a nie są formalnością.

Dane o lokalizacji to dane szczególnie cenne

Ta historia przypomina, jak wiele mówi o człowieku jego lokalizacja: gdzie mieszka, gdzie pracuje, z kim się spotyka. Dlatego takie dane są pożądane zarówno przez służby i firmy inwigilacyjne, jak i przez przestępców.

Choć opisane ataki dotyczą infrastruktury telekomunikacyjnej, wniosek dla każdej firmy jest podobny. Jeśli Twoja aplikacja, sklep czy narzędzia marketingowe zbierają dane o położeniu użytkowników, rób to tylko wtedy, gdy jest to naprawdę potrzebne. Informuj o tym jasno, pytaj o zgodę tam, gdzie jest wymagana, i nie przechowuj takich danych dłużej, niż musisz. Mniej zebranych danych to mniej danych, które mogą trafić w niepowołane ręce.

Badania nad SS7 trwają od ponad dekady, a Niebezpiecznik pisał o namierzaniu telefonów tą metodą już w 2014 r. Generacje sieci się zmieniły, ale model zaufania między operatorami wciąż pozwala na takie nadużycia.

Źródło: Niebezpiecznik

SS7lokalizacjainwigilacjaoperatorzy komórkowiCitizen Lab