Duas campanhas sofisticadas de vigilância de telecomunicações são reveladas por investigação

• Foram identificadas duas campanhas distintas de vigilância que rastrearam dados de localização de celulares explorando vulnerabilidades bem conhecidas da rede telefônica global
• Os fornecedores de vigilância obtiveram acesso à rede por meio de empresas de fachada que se passavam por operadoras móveis legítimas, e rastrearam alvos usando SS7 e Diameter
• As duas campanhas usaram em comum acessos ligados à 019Mobile, Tango Networks U.K. e Airtel Jersey como pontos de passagem, movendo-se escondidas atrás da infraestrutura de operadoras
• A primeira campanha mudava de ataques SS7 para Diameter quando a exploração via SS7 falhava, e a segunda usava SMS especiais que não deixavam vestígios para se comunicar diretamente com o cartão SIM e fazer o celular funcionar como um dispositivo de rastreamento de localização
• Ao longo de vários anos, foram observados milhares de ataques, e esta investigação revela apenas uma parte entre milhões de ataques no mundo, mostrando que o abuso da infraestrutura de telecomunicações continua em grande escala

---

Visão geral da investigação

• O relatório do Citizen Lab rastreia duas campanhas distintas de vigilância que monitoraram a localização de celulares explorando vulnerabilidades bem conhecidas da infraestrutura global de telecomunicações
• Os fornecedores de vigilância operam como empresas de fachada que se passam por operadoras móveis legítimas e usam o acesso de rede obtido para consultar dados de localização dos alvos
• A descoberta mostra que a exploração de vulnerabilidades fundamentais continua em várias tecnologias que sustentam a rede telefônica global
• Embora a investigação tenha se concentrado em dois casos, os pesquisadores veem isso como um recorte de um abuso muito mais amplo, em que fornecedores de vigilância tentam obter acesso à rede telefônica global

Abuso de SS7 e Diameter

• SS7 é um conjunto de protocolos para redes 2G e 3G e há muito tempo serve de base para conectar redes celulares do mundo todo e rotear chamadas e mensagens de texto de assinantes
  • Em reportagem anterior, já havia alertas de que governos e empresas de tecnologia de vigilância podiam usar falhas do SS7 para descobrir a localização geográfica de celulares pessoais
  • O SS7 não exige autenticação nem criptografia, o que deixa espaço para abuso por operadores indevidos
• Diameter foi projetado para comunicações 4G e 5G e é o protocolo sucessor, com recursos de segurança que o SS7 não tinha
  • O Citizen Lab observa que o Diameter também pode ser explorado porque as operadoras nem sempre implementam as novas proteções
  • Em alguns casos, os atacantes voltam a explorar o protocolo legado SS7

Operadoras usadas como pontos de entrada em comum

• As duas campanhas de vigilância abusaram do acesso a três operadoras específicas, que repetidamente funcionaram como pontos de entrada e de trânsito para vigilância dentro do ecossistema de telecomunicações
• Esse acesso permitiu que os fornecedores de vigilância e os governos clientes por trás deles atuassem escondidos atrás da infraestrutura dessas operadoras
• Segundo o relatório, a primeira operadora é a operadora israelense 019Mobile, investigada como tendo sido usada em várias tentativas de vigilância
• A Tango Networks U.K. também foi usada em atividades de vigilância ao longo de vários anos
• A terceira operadora é a Airtel Jersey, na ilha de Jersey, no Canal da Mancha, atualmente pertencente à Sure
  • A rede da Sure já foi ligada a uma campanha de vigilância anterior

Respostas das operadoras

• A Sure afirmou que não aluga direta nem conscientemente acesso à sua rede de sinalização para organizações que busquem rastrear a localização de pessoas ou interceptar comunicações
• A Sure reconheceu que serviços digitais podem ser usados indevidamente e disse que aplica várias medidas de proteção, incluindo monitoramento e bloqueio de tráfego de sinalização inadequado
• A Sure disse que, ao receber evidências ou denúncias válidas relacionadas a abuso da rede, interrompe o serviço imediatamente e, após investigação, encerra de forma permanente qualquer atividade maliciosa ou inadequada confirmada
• Tango Networks e 019Mobile não responderam aos pedidos de comentário da TechCrunch
• Em carta enviada ao Citizen Lab, Gil Nagar, responsável por TI e segurança da 019Mobile, disse que não pode confirmar se a infraestrutura apontada pelo Citizen Lab como usada por fornecedores de vigilância pertence à empresa

Primeira campanha de vigilância

• O primeiro fornecedor de vigilância viabilizou campanhas contra diferentes alvos ao redor do mundo ao longo de vários anos, usando em conjunto a infraestrutura de múltiplas operadoras móveis
• Com base nesse padrão, os pesquisadores avaliam que havia diferentes clientes governamentais por trás das diferentes campanhas
• A investigação identificou sinais de uma operação deliberada, bem financiada e profundamente integrada ao ecossistema de sinalização móvel
• Um pesquisador envolvido disse que alguns indícios apontam para uma empresa comercial israelense de geo-intelligence com capacidade avançada em telecomunicações, mas o nome não foi divulgado
  • Empresas israelenses citadas como oferecendo serviços semelhantes incluem Circles, Cognyte e Rayzone
• Essa campanha primeiro tentava a exploração de vulnerabilidades do SS7 e, em caso de falha, mudava para a exploração do Diameter

Segunda campanha de vigilância

• A segunda campanha de vigilância usou um método diferente da primeira, e está ligada a outro fornecedor de vigilância não identificado pelo Citizen Lab
• Esse fornecedor enviou um tipo especial de mensagem SMS contra um único alvo de alto nível
• A mensagem foi projetada para se comunicar diretamente com o cartão SIM do alvo sem deixar vestígios para o usuário
  • Em condições normais, operadoras usam esse mecanismo para enviar comandos inofensivos ao SIM do assinante e manter o aparelho conectado à rede
  • Neste caso, o fornecedor de vigilância enviou comandos que transformavam efetivamente o celular do alvo em um dispositivo de rastreamento de localização
• Esse tipo de ataque foi chamado pela empresa de segurança móvel Enea, em 2019, de SIMjacker

Escala dos ataques e dificuldade de detecção

• Um pesquisador envolvido na investigação disse ter observado milhares desses ataques ao longo de vários anos, considerando esse abuso relativamente comum, mas difícil de detectar
• Ainda assim, esse tipo de ataque da família SIMjacker parece ser geograficamente direcionado, e quem o utiliza provavelmente sabe quais países e redes são mais vulneráveis
• Os pesquisadores consideram que essas duas campanhas representam apenas uma fração mínima do total
  • O resultado reflete uma investigação focada em apenas duas campanhas de vigilância dentre milhões de ataques existentes no mundo

[GN⁺]

Comentários no Hacker News

• Quando eu treinava para ser atendente de despacho 911, se a localização não aparecesse automaticamente pelo e911, era preciso escrever uma declaração de emergência para a operadora, mandar por fax e esperar horas até a revisão jurídica terminar
  Se você julgasse errado, podia até acabar no tribunal, então o procedimento era extremamente rígido, e dá para aceitar isso como o preço da privacidade
  Mas ver empresas como essas extraindo localização a qualquer momento por lucro, explorando falhas como SS7, parece uma loucura completa

  • Eu diria que esse procedimento de declaração + fax + aprovação jurídica era justamente a estrutura correta
    Esse tipo de atrito deveria ser uma funcionalidade, não um bug
    O problema é que essas empresas contornaram todo esse processo com algo na linha de operadoras fantasmas de SS7, e isso não é só uma falha de política, mas também uma falha de arquitetura
    O ecossistema de telecom nunca foi projetado partindo da premissa de que participantes "legítimos" da rede poderiam ser hostis
  • Se for preciso esperar horas, a pessoa talvez já esteja morta, então esse procedimento também pode soar inútil demais
  • Se você puxar a crítica à ganância nessa discussão, já dá para imaginar qual vai ser a reação aqui
  • Isso não é necessariamente só por incentivo ao lucro; pelo artigo, parece mais um caso de empresas suspeitas abusando de protocolos vulneráveis
    É parecido com dizer que a existência de provedores de Bulletproof hosting para spammers significa que tudo é culpa de uma "ganância normalizada"

• Uma das maiores mentiras sobre o Estado de vigilância é a crença de que ele será operado com profissionalismo
  Funcionários da NSA também espionaram mulheres de quem gostavam usando ativos de vigilância que custam bilhões de dólares, a ponto de isso receber o nome de LOVEINT
  https://www.nbcnews.com/news/world/loveint-nsa-letter-discloses-employee-eavesdropping-girlfriends-spouses-flna8C11271620
  https://www.yahoo.com/news/nsa-staff-used-spy-tools-spouses-ex-lovers-193227203.html
  Também houve um caso, entre 1998 e 2003, em que investigaram os números de telefone de nove mulheres estrangeiras e as comunicações de uma pessoa dos EUA
  A humanidade nunca viveu antes uma situação de vigilância total como essa, então mal conseguimos imaginar corretamente os impactos disso; com LLMs por cima, fica ainda pior
  Se não conseguirmos manter uma linha muito rígida em relação à privacidade, acho que vamos acabar num mundo em que incontáveis infernos personalizados crescem sobre a infraestrutura de vigilância estatal e corporativa

  • Se você nem sequer tem alguém dentro do governo para denunciar, não sei o que deveria fazer
    Esse tipo de denúncia pode ser abafado com facilidade
  • Acho que o mercado negro do futuro vai ficar cheio de equipamentos pessoais de comunicação ilegais para recuperar a privacidade
    Deve já existir alguma ficção científica com essa premissa
  • Esse tipo de vigilância tecnológica simplesmente deveria ser proibido por lei
    Mesmo que haja um pequeno ganho extra de segurança, o custo em violação de privacidade e efeitos colaterais imprevisíveis é muito maior
  • Eu diria que já vivemos nesse mundo
    A discussão aqui tende a ser centrada nos EUA, mas a maior parte das pessoas no mundo enfrenta realidades bem mais duras
    Pedidos de ajuda muitas vezes se espalham desesperadamente pelo WhatsApp, na esperança de que alguém dentro da plataforma conheça alguém
    Se você sofre disseminação não consensual de imagens íntimas, especialmente em sociedades mais conservadoras, sua vida pode basicamente acabar
    Golpes como pig butchering são crime escancarado, e quando é tão difícil até recuperar conta ou falar com um atendente humano, dá a impressão de que o valor das plataformas tech só é possível porque elas não arcam de fato com os custos de suporte que elas mesmas geram

• Alguém que eu conheço já foi rastreada por um ex-namorado stalker que trabalhava numa operadora
  Parecia que ele conseguia localizar o SIM pelo nome e descobrir a posição continuamente, então trocar por um novo SIM e usar um telefone novo ainda assim tornava muito difícil escapar
  Quando você denuncia esse tipo de coisa à polícia, muitas vezes é tratado como se estivesse sendo irracional e acaba ignorado

  • Nas operadoras, é relativamente conhecido que funcionários fazem consultas clandestinas aos dados das pessoas
    Pelo que ouvi, só vão verificar e tratar o caso se alguém reclamar que acessaram seus dados
    Uma vez perguntei a alguém da área de segurança/investigação se, já que tudo fica registrado em log, não seria fácil detectar acessos fora do trabalho, e me disseram que nesse caso teriam de demitir mais da metade dos funcionários
    Disseram que as pessoas ficam olhando PII de celebridades, amigos, inimigos, qualquer um, e que isso era visto quase como um benefício informal; isso era sobre uma grande operadora dos EUA por volta de 2010
  • Pelo menos na Austrália, isso é crime, então vale a pena denunciar
    Se houver provas suficientes, a polícia pode investigar e até apresentar acusação
  • Operadoras suspeitas de países pobres às vezes vendem dados de SS7 por pouco dinheiro, e aí você consegue toda a informação de localização de que precisa
  • Se essa pessoa tinha acesso a um banco de dados de latitude/longitude e mapeamento de SIM, então mesmo com um telefone novo ela poderia redescobrir o novo SIM pelos pontos em que o padrão de localização coincidisse com o do SIM antigo
    A menos que você troque de telefone e ao mesmo tempo se mude de casa, e nunca leve o telefone novo a lugares isolados onde levou o antigo, é quase impossível escapar
  • Por isso eu ando com o telefone sem SIM e sempre em modo avião
    O SIM fica num feature phone em casa e eu só o ligo quando preciso; não é perfeito, mas é muito melhor do que ser rastreado pela rede móvel

• Na Rússia, esse tipo de coisa é quase rotineiro
  O governo rastreia pessoas por meio das operadoras, e esses dados às vezes vazam para o mercado negro, onde podem ser comprados por um valor razoável
  Nos últimos tempos o governo também tenta impedir esses vazamentos, mas é incerto o quanto tem conseguido, até porque esses dados foram usados com frequência por jornalistas e investigadores da oposição para apurar ações suspeitas do regime
  Essas informações são cruzadas com vários bancos de dados — outras operadoras, outros SIMs, hotspots Wi‑Fi, câmeras de rua etc. — de modo que na prática se torna impossível evitar rastreamento
  No fim, isso também parece ter grande chance de se espalhar como um padrão global

  • É verdade que o governo rastreia pessoas por meio das operadoras, mas os bancos de dados do mercado negro provavelmente são falsos na maior parte dos casos
  • Isso não acontece só na Rússia; Reino Unido, Israel e Austrália têm coisas parecidas
  • Dá vontade de simplesmente deixar o telefone em casa daqui para frente
  • Trazer a conversa para a Rússia parece um pouco desvio de foco
    O tema do artigo é o Reino Unido, e empresas israelenses de telecom/vigilância também parecem centrais ali

• Só pelas pistas da investigação, parece bem provável que por trás disso esteja uma empresa comercial de geo-intelligence baseada em Israel
  Empresas como Circles, Cognyte e Rayzone vêm imediatamente à cabeça

• Fico pensando por que esses países são tão fortes em segurança, hacking, vigilância e 0-day

  • Se o objetivo é influenciar e controlar outros países discretamente, esse tipo de tecnologia é muito útil
  • Como há muitos países hostis ao redor, é até natural que as agências de inteligência e a indústria de espionagem tenham se desenvolvido fortemente
    Mas, vendo o massacre que está acontecendo agora, passei a enxergar essa indústria de forma totalmente diferente
  • Acho que isso é resultado de apoio estatal combinado com um sistema de compartilhamento de inteligência com os EUA
    Num eixo maior também está a AMDOCS, que opera sistemas globais de billing de telecom, e isso acaba dando acesso de fato a praticamente toda atividade de cobrança
    A UE deveria desmontar essa estrutura
  • Como eles operam sistemas de vigilância em larga escala, parece que acabam conseguindo até direcionamento individual do tipo pagers explosivos
    Parece um retrato de uma das frentes da longa guerra envolvendo Irã, Israel e Hezbollah

• No país onde moro, uns 95% das pessoas aparentemente não se importam muito se a Meta rastreia sua localização pelo WhatsApp, então parece que o interesse do público por isso já morreu faz tempo
  Eu sou exceção, valorizo privacidade, testei Facebook e WhatsApp por volta de 2010 e apaguei os dois logo em seguida
  Não quero que construam um perfil digital meu para anunciantes, nem quero entregar meus dados pessoais ao Google
  Fico ainda mais preocupado porque, para empresas de vigilância, pode ser muito mais fácil comprar dados de localização da Meta ou do Google do que lidar com dados fragmentados entre vários ISPs

  • Fico curioso se existe alguma base para dizer que realmente 95% não se importam
    Android e iOS gerenciam permissão de localização separadamente e também registram o uso, então rastreamento sem consentimento teria grande chance de virar um desastre de imagem se fosse descoberto
  • Quando amigos ou parentes com menos conhecimento técnico me perguntam, um dos primeiros conselhos que dou é desativar o acesso à localização em segundo plano para todos os apps
    Mas até entre pessoas técnicas há muita gente que nem liga para isso

• Mesmo se o telefone usar só 5G, a localização ainda pode vazar
  Toda a rede móvel mantém compatibilidade baseada em SS7 herdada de 2G/3G, então esse caminho continua existindo quando alguém tenta se conectar a você a partir de uma rede antiga
  Isso também permite ataques de downgrade de protocolo
  Se você quer se isolar sem deixar de usar rede móvel, o único caminho parece ser usar um SIM só de dados, tratar chamadas e mensagens apenas por apps de internet com segurança de ponta a ponta e basicamente abandonar o número de telefone
  O contraste é bem claro: a rede móvel evoluiu como um jardim murado confiável com foco em retrocompatibilidade, enquanto a internet evoluiu para ambiente não confiável com segurança de ponta a ponta

  • Muito interessante, queria saber se há materiais bons para ler mais sobre isso

• SS7 realmente parece um caso clássico de problema conhecido mas nunca corrigido
  O setor de telecom sabe há décadas que isso está quebrado, mas praticamente não houve incentivo para consertar
  Mesmo quando há abuso, a operadora não é responsabilizada, os ataques são quase invisíveis para o usuário final e sair totalmente do SS7 exigiria coordenação global entre centenas de empresas, então no fim nada acontece
  Isso se parece menos com uma falha técnica e mais com uma falha de coordenação sem mecanismo de imposição
  O Diameter deveria ser a solução, mas vendo que as operadoras nem implementam direito os recursos de segurança, o problema central nunca foi a falta de um protocolo melhor, e sim a estrutura em que ninguém precisa se importar

• Se eu abrir o relatório do Citizen Lab, recebo 404
  https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/