Namierzali ludzi niewidocznymi SMS-ami - w raporcie pojawia się polski operator

Niebezpiecznik poinformował o raporcie Citizen Lab dotyczącym dwóch wieloletnich kampanii śledzenia użytkowników telefonów komórkowych. Badacze zidentyfikowali łącznie ponad 16 tys. prób uzyskania danych o lokalizacji.

Liczby tej nie należy jednak utożsamiać z liczbą skutecznie namierzonych osób. Raport dotyczy prób lokalizacji i nie ujawnia liczby ani tożsamości wszystkich celów.

Telefon nie musiał zostać zhakowany

Atakujący wykorzystywali protokoły SS7 i Diameter, które umożliwiają komunikację między sieciami komórkowymi, między innymi podczas korzystania z roamingu. Odpowiednio przygotowane zapytanie mogło wyglądać jak polecenie wysłane przez prawdziwego operatora.

W ten sposób próbowano uzyskać identyfikator stacji bazowej obsługującej konkretny telefon. Pozwalało to określić przybliżoną lokalizację urządzenia bez instalowania na nim szkodliwego oprogramowania.

Atakujący stosowali kilka metod:

• przełączali się między protokołami SS7 i Diameter,
• podszywali się pod operatorów z różnych państw,
• zmieniali trasy przesyłania zapytań, aby ominąć zabezpieczenia sieci.

Podczas jednego z czterogodzinnych ataków na ważnego menedżera wykorzystano identyfikatory 11 operatorów z dziewięciu państw.

W ataku pojawił się identyfikator sieci Plus

W zdarzeniu z 11 lutego 2025 r. wykorzystano również identyfikator należący do polskiej sieci Plus. Nie oznacza to jednak, że Polkomtel uczestniczył w inwigilacji ani że celem był polski abonent.

Citizen Lab zaznacza, że dane operatora mogły zostać podrobione. Dostęp do infrastruktury sygnalizacyjnej mógł też pochodzić od pośrednika albo firmy korzystającej z dzierżawionych usług telekomunikacyjnych.

Niewidoczny SMS miał wyciągnąć lokalizację z karty SIM

Druga z opisanych metod wykorzystywała specjalnie przygotowaną wiadomość binarną. SMS nie miał pojawić się w aplikacji Wiadomości ani zostać zapisany w skrzynce odbiorczej. Zawarte w nim polecenia były przeznaczone dla programu S@T Browser znajdującego się na niektórych kartach SIM.

Wiadomość miała nakazać karcie zebranie informacji o obsługującej telefon stacji bazowej, a następnie przesłanie ich w kolejnym ukrytym SMS-ie. Opisany przez badaczy atak został jednak wykryty i zablokowany przez zabezpieczenia sieci. Wiadomość nie dotarła do telefonu, a dane o lokalizacji nie zostały wysłane.

VPN nie zabezpieczy przed takim śledzeniem

VPN, szyfrowany komunikator ani aktualizacja aplikacji nie blokują tego rodzaju ataków, ponieważ odbywają się one na poziomie infrastruktury operatorów. Najważniejsze są więc systemy wykrywające nietypowe zapytania SS7 i Diameter oraz filtrujące nieautoryzowane wiadomości kierowane do kart SIM.

Raport opisuje ukierunkowane działania wobec wybranych osób, w tym celów o wysokiej wartości dla zleceniodawców. Nie wskazuje, aby była to masowa inwigilacja wszystkich użytkowników telefonów.