Säkerhetsföretag har avslöjat irriterande sårbarheter på SIM-kort som kan utnyttjas för att spåra telefonplatser och eventuellt ta över enheter. Men faran för hacking kan vara överdriven, åtminstone i USA; en branschhandelsgrupp sa att de flesta kunder inte påverkades.
Den rapporterade sårbarheten, smeknamnet “SimJacker,” hänför sig till en gammal mjukvaruteknik på ett SIM-kort som heter Browser (e-postskyddad), som senast uppdaterades 2009. Torsdagen publicerade säkerhetsföretaget AdaptiveMobile en rapport som sa att du kan skicka skapade specifikt SMS-meddelanden för att kapa webbläsare (skyddade via e-post) på offrens telefoner för att köra datorkoder.
Det som gör attacken skrämmande är hur SMS-meddelanden kan utformas för att begära och sedan hämta platsdata från offrets telefon i hemlighet. Inget av de inkommande SMS-meddelandena kommer att visas i ägarens inkorg. Samma sårbarhet kan också användas för att starta mobila webbläsare på mobiltelefoner och leda sina ägare att ladda ner skadlig programvara. För att skicka ett SMS måste angriparen ha ett telefon-, GSM-modem- eller SMS-konto hos leverantören A2P (applikation till person).
Påståenden har gett larm i IT-säkerhetsgemenskapen. Enligt AdaptiveMobile använder mobiloperatörer i minst 30 länder protokollet (som är e-postskyddat), vilket innebär att upp till en miljard personer riskerar. “Vi har sett enheter från nästan alla tillverkare som framgångsrikt var inriktade på att ta platser: Apple, ZTE, Motorola, Samsung, Google, Huawei och till och med IoT-enheter med SIM-kort,” sa forskaren Cathal McDaid i rapporten.
Handelsorganet som representerar mobiloperatörer runt om i världen, GSMA, underskattar emellertid risken. Även om AdaptiveMobile informerar gruppen om defekter, säger GSMA att endast ett litet antal SIM-kort är sårbara.
“Denna forskning beaktar specifikt SIM-kort som använder teknik som inte används av de flesta mobiloperatörer,” berättade GSMA till PCMag i ett e-postmeddelande. “Potentialen för sårbarhet förstås inte vara utbredd och mildring har utvecklats för att tillämpas av drabbade mobilnätverk.”
AT&T och Sprint berättade för PCMag att de inte använde den drabbade tekniken på sina SIM-kort. Verizon sa: “Vi har inga tecken på att tro att detta har någon inverkan på Verizon.” T-Mobile rapporteras indikera samma sak.
AdaptiveMobile behåller ytterligare detaljer om sin forskning tills den håller en föreläsning om resultaten 3 oktober på Virus Bulletin Conference i London. Samtidigt påstår företaget att namnlösa privata företag har använt sårbarheter i minst två år för att hjälpa regeringen spionera på individer. Spårningen fortsätter till denna dag.
“I ett land ser vi cirka 100-150 enskilda telefonnummer som är specifikt riktade per dag genom Simjacker-attacken, även om vi har sett en explosion på upp till 300 telefonnummer som försöker spåra en dag,” hävdar McDaid i sin rapport.
AdaptiveMobile tillhandahåller IT-säkerhet för mobiloperatörer som använder programvara som kan analysera nätverksaktivitet för möjliga attacker. Detta förklarar hur företag kan samla information om spioner som misstänks ha involverat SimJackers svagheter. Men de 30 berörda länderna nämns inte.
AdaptiveMobile säger att den drabbade operatören kan stoppa attacken genom att analysera och blockera misstänkta meddelanden som innehåller webbläsarkommandon (e-postskyddad). Ett annat alternativ är att använda protokollet helt (e-postskyddat).
AdaptiveMobile svarade inte omedelbart på frågor om företagsforskning.
