Wprowadzenie do problemu / definicja
SilentAir to ujawniona kampania cyberszpiegowska wymierzona w infrastrukturę operatorów telekomunikacyjnych w Azji. Jej celem było przejmowanie ruchu głosowego i wiadomości SMS wybranych abonentów, w tym kodów uwierzytelniania dwuskładnikowego, poprzez nadużycie zaufanych mechanizmów sygnalizacyjnych używanych między operatorami.
Atak pokazuje, że zagrożenie nie musi dotyczyć wyłącznie telefonu ofiary. W tym przypadku kluczowym celem stała się warstwa operatorska, która odpowiada za trasowanie połączeń, wiadomości i obsługę roamingu.
W skrócie
- SilentAir wykorzystywał protokoły SS7 i Diameter do przekierowywania ruchu ofiar.
- Aktywność powiązano z infrastrukturą działającą w co najmniej sześciu krajach Azji.
- W części przypadków przechwytywano kody SMS 2FA, co mogło prowadzić do dalszego przejmowania kont.
- Charakter operacji sugeruje zaawansowaną kampanię szpiegowską o cechach działań państwowych.
- Kompromitacja zachodziła na poziomie sieci operatora, a nie urządzenia końcowego użytkownika.
Kontekst / historia
Protokoły SS7 i Diameter od lat są uznawane za newralgiczne elementy ekosystemu telekomunikacyjnego. Powstały w modelu opartym na zaufaniu pomiędzy operatorami, co dziś stanowi istotną słabość bezpieczeństwa. Jeżeli napastnik uzyska możliwość generowania wiarygodnego ruchu sygnalizacyjnego z zaufanej części infrastruktury, może wpływać na sposób dostarczania połączeń, SMS-ów i danych o lokalizacji abonenta.
W przypadku SilentAir nietypowe wzorce aktywności miały być widoczne już wcześniej, jednak dokładniejsze śledzenie kampanii nasiliło się od początku 2025 roku. Z biegiem czasu ustalono, że nie chodzi jedynie o podszywanie się pod adresację sygnalizacyjną, lecz o przejęcie urządzeń znajdujących się w sieciach telekomunikacyjnych.
Analiza techniczna
Trzon operacji opierał się na nadużyciu komunikatów sygnalizacyjnych odpowiedzialnych za lokalizację abonenta i dostarczanie usług roamingowych. Atakujący wysyłali do sieci macierzystej ofiary komunikaty typu UpdateLocation lub ich odpowiedniki w Diameter, wskazując, że kontrolowana przez nich infrastruktura obsługuje dany numer. Jeśli sieć akceptowała taki komunikat, połączenia i wiadomości mogły zostać przekierowane do przejętych elementów infrastruktury.
To podejście ma szczególne znaczenie, ponieważ nie wymaga infekowania smartfona ani instalowania złośliwego oprogramowania na urządzeniu końcowym. Wystarczy wykorzystanie zaufania obecnego w środowisku międzyoperatorskim. Dzięki temu możliwe staje się przechwytywanie jednorazowych kodów SMS, monitorowanie części komunikacji oraz wspieranie dalszych etapów przejęcia kont.
Badacze wskazali również na użycie tzw. silent SMS, czyli wiadomości niewidocznych dla użytkownika. Takie komunikaty mogły służyć do sprawdzania, czy wcześniejsze przekierowanie nadal działa. Jeśli wiadomość trafiała do infrastruktury kontrolowanej przez napastnika, stanowiło to potwierdzenie skuteczności operacji. Część treści mogła dodatkowo pełnić funkcję maskującą.
Istotne jest także to, że przejęte urządzenia nie tylko generowały ruch atakujący, ale również odbierały polecenia i uczestniczyły w obsłudze dalszej komunikacji. Wzmacnia to ocenę, że mieliśmy do czynienia z realną kompromitacją elementów sieci operatorów, a nie jedynie z prostym spoofingiem sygnalizacyjnym.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem kampanii jest utrata poufności komunikacji mobilnej. Przechwycenie kodów SMS 2FA może umożliwić atakującym dostęp do poczty elektronicznej, komunikatorów, usług korporacyjnych, a nawet systemów finansowych, jeśli SMS nadal pełni rolę drugiego składnika uwierzytelniania.
Ryzyko jest szczególnie wysokie dla osób o podwyższonym profilu zagrożenia, takich jak urzędnicy, politycy, menedżerowie wyższego szczebla czy osoby mające dostęp do informacji wrażliwych. Dodatkowym problemem jest trudność wykrycia incydentu przez samą ofiarę, ponieważ naruszenie zachodzi po stronie operatora, a nie telefonu.
Dla firm telekomunikacyjnych konsekwencje obejmują naruszenie integralności warstwy sygnalizacyjnej, ryzyko nadużyć roamingowych, spadek zaufania klientów, możliwe skutki regulacyjne oraz konieczność prowadzenia złożonych dochodzeń łączących obszary telecom i IT security. Jeśli atakujący utrzymują trwały dostęp do urządzeń sieciowych, operacja może być wznawiana wielokrotnie.
Rekomendacje
Operatorzy powinni traktować ruch międzyoperatorski i środowisko IPX jako obszar ograniczonego zaufania. Kluczowe znaczenie ma wielowarstwowa ochrona protokołów SS7, Diameter i GTP oraz korelacja zdarzeń pomiędzy warstwą telekomunikacyjną a systemami bezpieczeństwa IT.
- wdrożenie i poprawna konfiguracja firewalli dla SS7, Diameter, GTP-C i GTP-U,
- monitorowanie anomalii związanych z komunikatami UpdateLocation i ich odpowiednikami,
- wykrywanie nietypowych wzorców silent SMS oraz prób potwierdzania przekierowań,
- inspekcja ruchu sygnalizacyjnego również wewnątrz własnej sieci,
- integracja telemetryki telecom z SOC, SIEM, EDR i procedurami reagowania na incydenty,
- regularne audyty urządzeń core network oraz systemów roamingowych,
- ograniczenie dostępu uprzywilejowanego i segmentacja administracyjna infrastruktury sygnalizacyjnej.
Organizacje korzystające z SMS 2FA powinny rozważyć przejście na silniejsze metody uwierzytelniania, takie jak aplikacje TOTP, klucze sprzętowe FIDO2 lub passkeys. SMS pozostaje rozwiązaniem wygodnym, ale ma ograniczoną odporność w scenariuszu kompromitacji operatora lub nadużyć w ruchu roamingowym.
Użytkownicy i zespoły bezpieczeństwa powinni zwracać uwagę na objawy takie jak opóźnienia w dostarczaniu SMS-ów, nietypowe problemy z siecią, nieoczekiwane próby resetu haseł czy alerty logowania z nowych lokalizacji. Nie są to dowody rozstrzygające, ale mogą wskazywać na próbę wykorzystania przechwyconych wiadomości uwierzytelniających.
Podsumowanie
SilentAir pokazuje, że infrastruktura telekomunikacyjna pozostaje atrakcyjnym celem dla zaawansowanych operacji szpiegowskich. Zamiast atakować bezpośrednio urządzenia użytkowników, napastnicy uderzają w warstwę zaufania pomiędzy operatorami, co pozwala im dyskretnie przechwytywać SMS-y, połączenia i kody 2FA.
Z perspektywy obrony kluczowe są pełna widoczność ruchu sygnalizacyjnego, odejście od założenia domyślnego zaufania w relacjach międzyoperatorskich oraz ścisła współpraca zespołów telecom i IT security. Kampania stanowi również kolejne przypomnienie, że SMS 2FA nie powinien być traktowany jako mechanizm odporny na przeciwnika o wysokich możliwościach operacyjnych.
Źródła
- SilentAir Hijacks Asian Telecom Networks to Intercept SMS 2FA Codes and Spy on Taiwanese Users — https://thehackernews.com/2026/11/silentair-hijacks-asian-telecom.html
- Enea technical report referenced in coverage — https://www.enea.com/insights/silentair/
- IMDA advisory on SIGweaver — https://www.imda.gov.sg/resources/press-releases-factsheets-and-speeches/factsheets/2025/advisory-on-cyber-threats-to-singapore-telecommunication-sector