Investigadores de la firma de seguridad AdaptiveMobile Security revelaron ayer la existencia de un importante fallo de seguridad en las tarjetas SIM que permite a los atacantes, entre otras posibilidades, conocer la ubicación de los teléfonos, independientemente de la plataforma móvil que se esté usando.
Este importante fallo de seguridad, que recibe el nombre de Simjacker, estaría usándose en estos dos últimos años para el seguimiento de personas específicas, según los investigadores.
Para la explotación de este fallo de seguridad, los atacantes envían SMS a los teléfonos de sus víctimas con instrucciones específicas ocultas, que serán ejecutadas por la propia tarjeta SIM.
Se tratan de ataques silenciosos, ya que las víctimas no verán la llegada de nuevos mensajes SMS en sus dispositivos, lo que permite a los atacantes bombardearles bajo este mecanismo.
Para entrar algo más en detalle, los SMS maliciosos cuenta con instrucciones ocultas SIM Toolkit (STK), que serán ejecutadas por S@T Browser, un pequeño software integrado en el pequeño circuito de las propias tarjetas SIM desde hace más de una década con la que antiguamente se podían activar una serie de acciones en remoto, como el envío de promociones a los usuarios por parte de las operadoras.
Pero los investigadores descubrieron que esta vía se estaba usando de forma abusiva en los dos últimos años, permitiendo la recopilación tanto de la ubicación como del número IMEI del teléfono afectado para luego enviarlos más adelante a un dispositivo de terceros a través de un nuevo mensaje de SMS.
Los investigadores creen que este mecanismo, usado todavía en muchos países por parte de las operadoras, podría servir además para la instalación de malware en los dispositivos móviles, entre otras posibilidades, aunque algunas de estas posibilidades requerirán de las interacciones de los propios usuarios afectados para llegar a ser exitosas.
Por suerte, no se tratan de mensajes SMS regulares, sino más bien de códigos binarios enviados como SMS, por lo que las operadores deberían de bloquear el envío de este tipo de mensajes en sus infraestructuras para que no lleguen a sus clientes.
Crédito de la imagen: AdaptiveMobile Security