È stata scoperta una nuova vulnerabilità che permette di prendere il controllo di qualunque smartphone e telefono, a prescindere dal modello e dagli aggiornamenti software: la colpa è delle schede SIM. Il nome della vulnerabilità è SimJacker e da anni potrebbe essere stata sfruttata dai malintenzionati all’insaputa di tutti.

Il software S@T Browser è incorporato nella maggioranza delle schede SIM e consente agli operatori di fornire servizi di vario genere, come quelli di abbonamento: inviando specifici SMS indirizzati a questo piccolo software è possibile eseguire una lunga lista di azioni sul telefono del malcapitato:

  • Mandare messaggi col numero di telefono della vittima.
  • Eseguire servizi a tariffa maggiorata.
  • Eseguire chiamate: in questo modo l’aggressore può auto-telefonarsi e rispondere così da ascoltare tutto ciò che accade attorno al telefono bersaglio.
  • Aprire pagine web dannose sullo smartphone e conseguentemente permettere l’installazione di malware.
  • Disabilitare la scheda SIM.
  • Recuperare informazioni quali IMEI, ubicazione e moltissimi dettagli su hardware e software del dispositivo bersaglio.

Per eseguire gli attacchi basta un semplicissimo modem GSM da pochi euro e il problema più grave è che non si possono fermare: per come è fatto S@T Browser, la SIM è costretta a rispondere a tutti i messaggi ricevuti eseguendo le istruzioni.

I ricercatori di Adaptive Mobile Security hanno anche scoperto che esiste un’azienda privata che sorveglia migliaia di dispositivi dotati di scheda SIM da diversi anni e come detto all’inizio tutti i modelli sono colpiti indiscriminatamente: smartphone e altri dispositivi Samsung, Apple, Google, Huawei e di tante altre case sono facili bersagli per SimJacker.

La GSM Association è naturalmente stata informata e la SIM Alliance ha già provveduto a contattare i produttori di schede SIM affinché risolvano il problema di sicurezza. Gli operatori telefonici possono invece proteggere gli utenti attuali analizzando gli SMS e bloccando quelli sospetti.