Abusos en telecomunicaciones: Dos campañas de espionaje rastrean ubicaciones de teléfonos a nivel global

Dos campañas de espionaje revelan la explotación de la infraestructura telefónica global

Investigadores de seguridad han descubierto dos campañas de espionaje separadas que abusan de vulnerabilidades conocidas en la infraestructura global de telecomunicaciones para rastrear la ubicación de dispositivos móviles. Según los expertos, estas dos campañas representan solo una pequeña muestra de lo que consideran una explotación generalizada por parte de proveedores de vigilancia que buscan acceso a las redes telefónicas del mundo.

El informe, publicado por Citizen Lab, una organización de derechos digitales con más de una década de experiencia exponiendo abusos de vigilancia, detalla las dos campañas recién identificadas. Los proveedores de vigilancia detrás de ellas, a los que Citizen Lab no nombró, operaban como empresas “fantasma” que se hacían pasar por proveedores de telefonía legítimos para aprovechar su acceso a esas redes y consultar los datos de ubicación de sus objetivos.

Vulnerabilidades en los protocolos SS7 y Diameter

Los nuevos hallazgos revelan la explotación continua de fallos conocidos en las tecnologías que sustentan las redes telefónicas globales. Uno de ellos es la inseguridad del Sistema de Señalización 7 (SS7), un conjunto de protocolos para redes 2G y 3G que durante años ha sido la columna vertebral de cómo las redes celulares se conectan entre sí y enrutan las llamadas y mensajes de texto de los suscriptores en todo el mundo. Los investigadores y expertos han advertido durante mucho tiempo que los gobiernos y los fabricantes de tecnología de vigilancia pueden explotar las vulnerabilidades en SS7 para geolocalizar los teléfonos celulares de las personas, ya que SS7 no requiere autenticación ni cifrado, dejando la puerta abierta a operadores malintencionados.

El protocolo más reciente, Diameter, diseñado para comunicaciones 4G y 5G, tiene como objetivo reemplazar a SS7 e incluye las funciones de seguridad que faltaban en su predecesor. Sin embargo, como destaca Citizen Lab en este informe, todavía hay formas de explotar Diameter, ya que los proveedores de telefonía no siempre implementan las nuevas protecciones. En algunos casos, los atacantes pueden recurrir a explotar el protocolo SS7 más antiguo.

Operadores telefónicos utilizados como puertas de entrada

Las dos campañas de espionaje tienen al menos una cosa en común: ambas abusaron del acceso a tres proveedores de telecomunicaciones específicos que actuaron repetidamente “como puntos de entrada y tránsito de vigilancia dentro del ecosistema de telecomunicaciones”. Este acceso permitió a los proveedores de vigilancia y a sus clientes gubernamentales “esconderse detrás de su infraestructura”, según explicaron los investigadores.

Según el informe, el primero es el operador israelí 019Mobile, que los investigadores señalaron que fue utilizado en varios intentos de vigilancia. El proveedor británico Tango Networks U.K. también fue utilizado para actividades de vigilancia durante varios años. El tercer proveedor de telefonía es Airtel Jersey, un operador en la Isla del Canal de Jersey, ahora propiedad de Sure, una empresa cuyas redes han sido vinculadas a campañas de vigilancia anteriores.

“Sure no alquila acceso a señalización directa o conscientemente a organizaciones con el propósito de localizar o rastrear individuos, o para interceptar contenido de comunicaciones”, declaró el CEO de Sure, Alistair Beak, en un comunicado. “Sure reconoce que los servicios digitales pueden ser mal utilizados, por lo que tomamos una serie de medidas para mitigar este riesgo. Sure ha implementado varias medidas de protección para prevenir el mal uso de los servicios de señalización, incluyendo monitoreo y bloqueo de señalizaciones inapropiadas. Cualquier evidencia o queja válida relacionada con el mal uso de la red de Sure resulta en la suspensión inmediata del servicio y, si se confirma actividad maliciosa o inapropiada después de la investigación, en la terminación permanente.”

Tango Networks y 019Mobile no respondieron a las solicitudes de comentarios. Sin embargo, Gil Nagar, jefe de TI y seguridad de 019Mobile, envió una carta a Citizen Lab en la que afirmó que la empresa “no puede confirmar” que la supuesta infraestructura de 019Mobile, identificada por Citizen Lab como utilizada por los proveedores de vigilancia, pertenezca a la compañía.

Detalles de las campañas de espionaje

Según Citizen Lab, el primer proveedor de vigilancia facilitó campañas de espionaje que abarcaron varios años contra diferentes objetivos en todo el mundo, utilizando la infraestructura de varios proveedores de telefonía. Esto llevó a los investigadores a concluir que diferentes clientes gubernamentales del proveedor de vigilancia estaban detrás de las diversas campañas. “La evidencia muestra una operación deliberada y bien financiada con una integración profunda en el ecosistema de señalización móvil”, escribieron los investigadores.

Gary Miller, uno de los investigadores que investigó estos ataques, señaló que algunas pistas apuntan a un “proveedor israelí de geo-inteligencia comercial con capacidades de telecomunicaciones especializadas”, pero no nombró al proveedor de vigilancia. Varias empresas israelíes son conocidas por ofrecer servicios similares, como Circles (más tarde adquirida por el fabricante de spyware NSO Group), Cognyte y Rayzone.

La primera campaña se basó en intentar explotar fallos en SS7 y, si esos intentos fallaban, cambiar a explotar Diameter.

La segunda campaña de espionaje utilizó métodos diferentes. En este caso, el otro proveedor de vigilancia —que Citizen Lab tampoco nombra— se basó en enviar un tipo especial de mensaje SMS a un objetivo específico de “alto perfil”. Estos son mensajes de texto diseñados para comunicarse directamente con la tarjeta SIM del objetivo, sin dejar rastro para el usuario. En circunstancias normales, estos mensajes son utilizados por los proveedores de telefonía para enviar comandos inocuos a las tarjetas SIM de sus suscriptores para mantener un dispositivo conectado a su red. Sin embargo, el proveedor de vigilancia envió comandos que esencialmente convertían el teléfono del objetivo en un dispositivo de rastreo de ubicación. Este tipo de ataque fue denominado SIMjacker por la empresa de ciberseguridad móvil Enea en 2019.

“He observado miles de estos ataques a lo largo de los años, así que diría que es un exploit bastante común que es difícil de detectar”, dijo Miller. “Sin embargo, estos ataques parecen estar geográficamente dirigidos, lo que indica que los actores que emplean ataques tipo SIMjacker probablemente conocen los países y las redes más vulnerables a ellos.”

La punta del iceberg

Miller dejó claro que estas dos campañas son solo la punta del iceberg. “Solo nos enfocamos en dos campañas de vigilancia en un universo de millones de ataques en todo el mundo”, afirmó. Los hallazgos subrayan la necesidad urgente de que los operadores de telecomunicaciones implementen medidas de seguridad más sólidas y de que los gobiernos regulen el acceso a las redes para evitar futuros abusos.