Исследователи безопасности заявили, что обнаружили компанию, занимающуюся слежкой на Ближнем Востоке, которая использует новую атаку для обмана операторов связи с целью раскрытия местоположения абонентов сотовой связи.
Атака основывается на обходе защитных механизмов, внедренных операторами для предотвращения доступа злоумышленников к SS7 (Signaling System 7) — закрытому набору протоколов, используемому телекоммуникационными компаниями для маршрутизации звонков и SMS по всему миру.
SS7 также позволяет операторам запрашивать информацию о вышке сотовой связи, к которой подключен телефон абонента. Обычно это применяется для точного выставления счетов при международных вызовах или отправке сообщений.
Специалисты Enea, компании, предоставляющей решения для защиты операторов связи, заявили на этой неделе [https://www.enea.com/insights/the-good-the-bad-and-the-encoding-an-ss7-bypass-attack/], что наблюдали за неизвестным поставщиком услуг слежки, эксплуатирующим эту новую уязвимость еще с конца 2024 года для получения геолокации телефонов без ведома пользователей.
Катал МакДейд, вице-президент Enea по технологиям и соавтор статьи, сообщил TechCrunch, что злоумышленники нацеливались на «небольшое количество абонентов», и атака сработала не против всех операторов. По его словам, метод позволяет определять местоположение с точностью до ближайшей вышки, что в густонаселенных районах сужает зону поиска до нескольких сотен метров.
Enea уведомила оператора, на котором была зафиксирована эксплуатация уязвимости, но отказалась раскрыть название компании-поставщика, указав лишь ее ближневосточное происхождение.
МакДейд отметил, что подобные атаки для получения геоданных становятся всё популярнее среди злоумышленников, добавив: «Они не стали бы искать и использовать эти методы, если бы те не приносили результатов. Мы ожидаем, что подобных атак будет больше».
Поставщики услуг слежки, в число которых входят разработчики шпионского ПО [https://techcrunch.com/2025/04/25/techcrunch-reference-guide-to-security-terminology/#spyware-commercial-government] и компании, продающие доступ к интернет-трафику, обычно работают исключительно на государственные структуры для сбора разведданных. Власти часто заявляют, что используют такие инструменты [https://techcrunch.com/2025/04/29/government-hackers-are-leading-the-use-of-attributed-zero-days-google-says/] против преступников, однако их жертвами нередко становятся журналисты [https://techcrunch.com/2025/06/12/researchers-confirm-two-journalists-were-hacked-with-paragon-spyware/], активисты [https://techcrunch.com/2025/03/28/again-and-again-nso-groups-customers-keep-getting-their-spyware-operations-caught/] и другие представители гражданского общества.
Ранее злоумышленники получали доступ к SS7 через локальных операторов, злоупотребление «глобальными заголовками» (global titles) [https://www.eff.org/deeplinks/2024/07/eff-fcc-ss7-vulnerable-and-telecoms-must-acknowledge] или государственные связи. Однако из-за сетевого характера этих атак абоненты практически не могут защититься от них самостоятельно — ответственность лежит на телеком-компаниях.
Хотя операторы внедряют межсетевые экраны и другие меры безопасности, фрагментированность глобальной сотовой сети оставляет множество пробелов в защите, включая операторов США.
Согласно письму [https://techcrunch.com/2024/12/04/senators-say-u-s-military-is-failing-to-secure-its-phones-from-foreign-spies/], направленному в офис сенатора Рона Уайдена в прошлом году, Министерство внутренней безопасности США еще в 2017 году заявляло, что ряд стран, включая Китай, Иран, Израиль и Россию, используют уязвимости SS7 для слежки за американскими абонентами. Саудовская Аравия также была замечена в эксплуатации недостатков SS7 [https://techcrunch.com/2020/03/29/saudi-spies-ss7-phone-tracking/] для мониторинга своих граждан на территории США.