Wprowadzenie do problemu / definicja
Ataki na protokoły sygnalizacyjne SS7 i Diameter należą do najpoważniejszych zagrożeń w obszarze bezpieczeństwa telekomunikacyjnego. Ich specyfika polega na tym, iż nie wymagają zainfekowania telefona, nakłonienia ofiary do kliknięcia w link ani fizycznego dostępu do urządzenia. Mechanizm nadużycia działa w warstwie operatorskiej, gdzie obsługiwane są komunikaty sterujące odpowiedzialne za roaming, trasowanie SMS-ów, zestawianie połączeń i ustalanie lokalizacji abonenta.
W praktyce oznacza to, iż użytkownik może nie zauważyć żadnych objawów incydentu, mimo iż jego wiadomości, połączenia lub dane lokalizacyjne zostały ujawnione albo przejęte. To właśnie niewidoczność ataku czyni tę kategorię zagrożeń szczególnie trudną do wykrycia i oceny.
W skrócie
SS7 i Diameter od lat stanowią fundament komunikacji międzyoperatorowej w sieciach mobilnych. Problem polega na tym, iż ich architektura powstawała w modelu wysokiego zaufania między uczestnikami ekosystemu telekomunikacyjnego, a nie w modelu silnego uwierzytelniania każdego żądania.
- napastnik z dostępem do warstwy sygnalizacyjnej może próbować pozyskać IMSI abonenta,
- możliwe jest śledzenie lokalizacji użytkownika bez instalowania spyware,
- atak może doprowadzić do przechwytywania SMS-ów i połączeń,
- ryzyko obejmuje także obejście uwierzytelniania opartego na numerze telefonu.
Zagrożenie dotyczy nie tylko starszego SS7, ale również środowisk wykorzystujących Diameter, zwłaszcza tam, gdzie zabezpieczenia wdrożono fragmentarycznie lub bez pełnej koordynacji między warstwami sieci.
Kontekst / historia
SS7, czyli Signaling System No. 7, został zaprojektowany w epoce, gdy globalna sieć telekomunikacyjna była znacznie bardziej zamknięta i opierała się na założeniu, iż dostęp do infrastruktury mają wyłącznie zaufani operatorzy. Z kolei Diameter rozwijano jako nowocześniejszy protokół dla sieci 4G i części wdrożeń 5G, jednak również on odziedziczył część problemów wynikających z modelu zaufania.
Z czasem ekosystem stał się znacznie bardziej złożony. Oprócz operatorów funkcjonują w nim partnerzy roamingowi, pośrednicy tranzytowi, dostawcy usług infrastrukturalnych oraz różne podmioty komercyjnie korzystające z dostępu do sieci sygnalizacyjnej. Każdy dodatkowy element zwiększa powierzchnię ataku i utrudnia skuteczną walidację komunikatów.
W ostatnich latach wielokrotnie opisywano przypadki wykorzystania tej warstwy do lokalizowania użytkowników, przechwytywania jednorazowych kodów SMS i wspierania operacji nadzoru. Problem nie jest więc czysto teoretyczny, ale ma wymiar praktyczny i operacyjny.
Analiza techniczna
Warstwa sygnalizacyjna pełni funkcję systemu sterowania dla całej sieci mobilnej. To ona odpowiada za ustalenie, gdzie znajduje się abonent, do której sieci należy skierować połączenie, gdzie dostarczyć wiadomość SMS oraz czy użytkownik ma prawo do skorzystania z określonej usługi. jeżeli napastnik jest w stanie generować odpowiednio spreparowane komunikaty, może wpływać na decyzje podejmowane przez infrastrukturę operatorską.
Jednym z najczęściej opisywanych celów jest pozyskanie IMSI, czyli unikalnego identyfikatora przypisanego do abonenta. Znając numer telefonu, atakujący może inicjować sekwencję zapytań, która pozwala ustalić ten identyfikator, a następnie używać go w kolejnych etapach operacji.
Kolejny scenariusz dotyczy lokalizacji. Odpowiednio skonstruowane zapytania mogą ujawniać ostatni znany obszar sieci, a w określonych warunkach choćby informacje umożliwiające stosunkowo precyzyjne ustalenie położenia urządzenia. Co istotne, cały proces zachodzi poza telefonem ofiary, więc standardowe narzędzia ochrony punktów końcowych zwykle nie rejestrują naruszenia.
Szczególnie niebezpieczne jest przechwytywanie komunikacji. Fałszywe komunikaty mogą sugerować, iż abonent przebywa w innej sieci lub w roamingu, co prowadzi do przekierowania ruchu. W efekcie SMS z kodem jednorazowym albo połączenie głosowe mogą trafić do niewłaściwego miejsca. jeżeli numer telefonu jest wykorzystywany jako składnik uwierzytelniania, skutkiem może być przejęcie kont pocztowych, bankowych lub korporacyjnych.
Możliwe są również działania zakłócające dostępność usług. Błędne wpisy routingu lub spreparowane komunikaty o zmianie lokalizacji abonenta mogą powodować przerwy w działaniu telefonu, niedostarczanie wiadomości albo czasową utratę łączności. Z punktu widzenia użytkownika wygląda to często jak zwykła awaria sieci.
Operatorzy wdrażają zapory sygnalizacyjne, reguły filtrowania i systemy wykrywania anomalii, jednak skuteczność tych mechanizmów zależy od jakości polityk bezpieczeństwa, spójności konfiguracji oraz umiejętności korelacji zdarzeń w wielu domenach sieciowych. Dodatkowym problemem jest współistnienie różnych generacji technologii i protokołów, które nie zawsze są chronione w jednolity sposób.
Konsekwencje / ryzyko
Dla użytkownika indywidualnego najpoważniejsze skutki dotyczą prywatności, poufności i tożsamości cyfrowej. Możliwość śledzenia lokalizacji bez wiedzy właściciela telefonu stanowi zagrożenie samo w sobie, ale równie istotne jest ryzyko przejęcia kodów SMS wykorzystywanych do logowania i resetu haseł.
Dla organizacji skala ryzyka pozostało większa. Ataki sygnalizacyjne mogą wspierać przejęcie kont uprzywilejowanych, profilowanie kadry kierowniczej, ustalanie lokalizacji pracowników wysokiego ryzyka oraz obchodzenie mechanizmów bezpieczeństwa opartych na numerze telefonu. Dotyczy to szczególnie sektorów takich jak administracja, finanse, obronność, energetyka, media i infrastruktura krytyczna.
Istotnym wyzwaniem pozostaje również niska wykrywalność. Ponieważ atak realizowany jest poza urządzeniem końcowym, rozwiązania EDR, MDM czy klasyczne aplikacje antywirusowe mogą nie dostarczyć żadnych ostrzeżeń. Brak sygnałów na telefonie nie oznacza więc, iż komunikacja jest bezpieczna.
Rekomendacje
Najważniejszym krokiem ograniczającym ryzyko jest zmniejszenie zależności od SMS jako mechanizmu bezpieczeństwa. Tam, gdzie to możliwe, warto zastępować kody SMS aplikacjami TOTP, kluczami sprzętowymi FIDO2, passkeys lub innymi metodami odpornymi na przejęcie kanału telekomunikacyjnego.
Organizacje powinny przeanalizować wszystkie procesy, w których numer telefonu pełni funkcję odzyskiwania dostępu, autoryzacji operacji lub potwierdzania tożsamości. Szczególnie konta administracyjne i osoby o podwyższonym profilu ryzyka nie powinny polegać na SMS-ach jako podstawowym filarze ochrony.
- wyłączyć SMS jako metodę odzyskiwania dostępu do krytycznych usług, jeżeli istnieje bezpieczniejsza alternatywa,
- wdrożyć uwierzytelnianie odporne na przejęcie połączeń i wiadomości,
- monitorować nietypowe zdarzenia, takie jak nagła utrata zasięgu, opóźnienia SMS czy niespodziewane przerwy w usługach,
- wprowadzić dodatkową weryfikację dla resetów haseł, przelewów i zmian danych konta,
- uwzględnić operatora telekomunikacyjnego w modelu zagrożeń oraz w ocenie ryzyka dla kadry kierowniczej i pracowników wysokiego ryzyka,
- edukować personel, iż brak malware na telefonie nie wyklucza kompromitacji komunikacji mobilnej.
Podsumowanie
Ataki na SS7 i Diameter pokazują, iż bezpieczeństwo telefonu komórkowego nie zależy wyłącznie od systemu operacyjnego, aplikacji i ostrożności użytkownika. Krytycznym słabym punktem może być sama infrastruktura operatorska oraz założenia zaufania wpisane w architekturę protokołów sygnalizacyjnych.
Z perspektywy zespołów bezpieczeństwa najważniejszy wniosek jest jednoznaczny: numer telefonu i SMS nie powinny być traktowane jako silny fundament ochrony tożsamości. Ograniczanie roli SMS w uwierzytelnianiu oraz większa dojrzałość zabezpieczeń po stronie operatorów to dziś podstawowe warunki redukcji tego ryzyka.
Źródła
- https://www.bleepingcomputer.com/news/security/ss7-and-diameter-attacks-how-signaling-flaws-expose-your-phone/
- https://citizenlab.ca/2024/12/running-signals-two-telecom-surveillance-campaigns/
- https://www.gsma.com/solutions-and-impact/technologies/security/wp-content/uploads/2019/01/FS.11-v8.0.pdf
- https://www.rfc-editor.org/rfc/rfc6733
- https://dl.acm.org/doi/10.1145/3708821.3730776
