Polski Plus w globalnej aferze szpiegowskiej. Citizen Lab ujawnia tysiące prób namierzania telefonów

Jak podaje serwis Niebezpiecznik, Citizen Lab odkrył dwie rozbudowane kampanie, w których przez kilka lat próbowano namierzać użytkowników telefonów komórkowych. Co istotne atak nie wymagał włamywania się na sprzęt ofiary. Atakujący wykorzystywali mechanizmy działające po stronie infrastruktury telekomunikacyjnej, przechodząc między protokołami SS7 i Diameter, zmieniając wykorzystywane identyfikatory operatorów oraz manipulując trasami przesyłania komunikatów. W analizowanych działaniach pojawiały się dane powiązane z operatorami z wielu państw, w tym z polskim Plusem.

Sama obecność identyfikatora Plusa nie świadczy jednak o udziale Polkomtelu w kampanii ani o tym, że celem był abonent z Polski. Identyfikator mógł zostać podrobiony albo wykorzystany przez pośrednika lub podmiot posiadający dostęp do infrastruktury sygnalizacyjnej. Badacze przeanalizowali aktywność w latach 2022-2025. W przypadku jednej z kampanii wykryto ponad 15 700 prób ustalenia lokalizacji. Okazuje się, iż nie były to pojedyncze, przypadkowe zapytania, lecz długotrwałe operacje wykorzystujące słabości globalnej infrastruktury telekomunikacyjnej. Citizen Lab nie przypisał kampanii konkretnej firmie, organizacji ani państwu. Techniczne cechy operacji mogą jednak wskazywać na wykorzystanie komercyjnej platformy przeznaczonej do prowadzenia nadzoru.

Jak działali cyberprzestępcy

W jednym z dokładniej przeanalizowanych przypadków atakujący przez około cztery godziny próbował ustalić położenie konkretnego użytkownika. Gdy kolejne zapytania SS7 były blokowane, przechodził na Diameter, następnie ponownie wracał do SS7 i korzystał z innych metod. Łącznie wykorzystywał identyfikatory jedenastu operatorów z dziewięciu państw.

Citizen Lab opisał dwie trwające latami kampanie, w których wykorzystywano infrastrukturę sieci komórkowych do nieautoryzowanego ustalania lokalizacji konkretnych osób. Badacze zidentyfikowali ponad 16 tys. prób namierzania prowadzonych w latach 2022-2025. Napastnicy korzystali m.in. z protokołów SS7 i Diameter oraz SIMjacker. W jednym z opisanych przypadków pojawił się również identyfikator polskiej sieci Plus.

Pokazuje to, że zaplecze używane do takich operacji może dynamicznie zmieniać sposób działania, gdy zabezpieczenia operatora zaczynają zatrzymywać podejrzany ruch.

Jak działała druga kampania

W drugiej kampanii zastosowano technikę SIMjacker. Atakujący wysłał specjalnie przygotowaną wiadomość binarną, której użytkownik nie miał zobaczyć jak zwykłego SMS-a. Jej zadaniem było uruchomienie poleceń za pośrednictwem aplikacji S@T Browser znajdującej się na karcie SIM i wykorzystanie telefonu do pozyskania informacji potrzebnych do określenia jego lokalizacji. W analizowanym przypadku wiadomość została jednak wykryta i zablokowana przez zabezpieczenia sieciowe. Takie podejście pozwala ustalić lokalizację z dokładnością od około kilometra w mieście do nawet 100 kilometrów na terenach ze słabym pokryciem.

Zaawansowana kampania

Przytoczone ataki pokazują, iż by śledzić użytkownika nie zawsze trzeba zainfekować jego urządzenie. W tym przypadku problem sięga znacznie głębiej, ponieważ wynika z modelu zaufania pomiędzy sieciami komórkowymi i sposobu działania infrastruktury obsługującej m.in. roaming.