Citizen Lab opisał dwie wieloletnie kampanie nieautoryzowanego namierzania lokalizacji telefonów komórkowych należących do różnych osób. Atakujący przeskakiwali między protokołami SS7 i Diameter, podszywali się pod operatorów z wielu państw — w tym z polskiego Plusa — a także wysyłali niewidoczne dla użytkownika SMS-y z “ukrytymi” poleceniami dla karty SIM. Zidentyfikowano ponad 16 000 prób lokalizacji.Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-imageRaport CL dotyczy okresu 2022-2025. W szczegółowo opisanym ataku z 11 lutego 2025 roku pojawia się użycie identyfikatora Plusa do podszywania się pod sieci z różnych państw. To nie jest dowód, że Polkomtel uczestniczył w inwigilacji ani że ofiarą był polski abonent. Identyfikator operatora mógł zostać podrobiony albo użyty przez pośrednika lub dzierżawcę dostępu. Raport nie wskazuje też z kim było 16 000 skutecznie namierzonych osób. Telefony namierzanych osób nie muszą być zhakowaneWyjaśnimy tu jedną kwestię — namierzanie w opisany przez badaczy sposób nie oznacza, że telefony targetowanych osób były zhackowane. Wykorzystano tu SS7 i Diameter, czyli protokoły, które przenoszą komunikaty potrzebne operatorom m.in. do roamingu. SS7 obsługuje starsze sieci, a Diameter sieci 4G i większość wdrożeń 5G. Niektóre z ich funkcji można kreatywnie nadużyć, bo operatorzy (nadmiernie) sobie ufają. Dlatego ktoś (badacze nazywają takich ktosiów “operatorami-widmami”) z dostępem do tego ekosystemu (a wcale nie jest to takie trudne) może wysłać zapytanie wyglądające jak polecenie legalnego operatora i spróbować uzyskać identyfikator stacji bazowej, do której zalogował się konkretny telefon dowolnego operatora z całego świata.CL opisuje, jak jeden z atakujących podczas czterogodzinnego ataku na ważnego menedżera użył aż 11 id różnych operatorów z 9 państw. Gdy blokowano jego zapytania SS7, przechodził na Diameter, zmieniał routing i znów wracał do SS7. Drugi aktor połączył zapytania sieciowe z techniką SIMjacker. Specjalny binarny SMS miał trafić nie do aplikacji “Wiadomości”, lecz do starego programu “S@T Browser” na karcie SIM. Polecenia kazały karcie pobrać identyfikator komórki sieci i odesłać go innym, również ukrytym SMS-em. Pozwalałoby to określić położenie z dokładnością od około kilometra w mieście do 100 kilometrów na słabo pokrytym terenie. Co jednak ciekawe, wiadomość została zablokowana, zanim dotarła do telefonu. A więc jakieś security w sieciach operatorskich jednak działa :)Kto za tym stoi?Citizen Lab nie przypisał kampanii konkretnej firmie ani państwu. Wzorce techniczne wskazują zdaniem badaczy na platformy komercyjnych dostawców usług inwigilacji obsługujące klientów rządowych. Izraelski 019Mobile zakwestionował możliwość przypisania ruchu do swojej infrastruktury. Sure, właściciel dawnej sieci Airtel Jersey, potwierdził dzierżawienie usług sygnalizacyjnych niewielkiej liczbie “specjalistycznych” (ekhm ekhm) podmiotów do legalnych zastosowań, ale zaprzeczył, by świadomie udostępniał je do śledzenia ludzi i zapowiedział dochodzenie. Mam telefon komórkowy — co robić, jak żyć?To nie była masowa inwigilacja każdego. Celami były HVT, czyli osoby o wysokiej wartości dla zleceniodawcy. Dlatego prawdopodobnie większość z Was może spać spokojnie. O ile ma wyłączony telefon, bo innego sposobu na zapobiegnięcie lokalizacji tymi technikami nie ma. VPN, szyfrowany komunikator i aktualizacja aplikacji nie zatrzymają zapytania na warstwie operatorskiej. Osoby i organizacje o podwyższonym ryzyku powinny zapytać operatora, czy koreluje i blokuje ataki łączące SS7 z Diameter, sprawdza zgodność pól Origin-Host, Origin-Realm i Route-Record z dokumentacją partnerów roamingowych oraz filtruje nieuwierzytelnione wiadomości OTA kierowane do aplikacji na karcie SIM. Jeśli operatorzy tego nie pilnują, nic Was przed tą techniką nie uchroni. O namierzaniu telefonów przez SS7 pisaliśmy już w 2014 roku. Minęło 12 lat, zmieniły się generacje sieci, a model bezpieczeństwa tak nie za bardzo, skoro te ataki wciąż są możliwe i jak widać, aktywnie wykorzystywane.