SilentAir: códigos por SMS interceptados desde la red

SilentAir y los códigos por SMS aparecen unidos en un mismo hallazgo: un grupo de espionaje de nivel estatal desvía llamadas y mensajes de personas concretas desde dentro de las operadoras móviles, y los investigadores vieron códigos de verificación interceptados segundos después del desvío.

La investigación la publicó Enea, empresa sueca de programas para telecomunicaciones y ciberseguridad, el 11 de noviembre, con una actualización el día 12. Su equipo rastrea la actividad desde principios de 2025 y halló actividad sospechosa de antes. La valoración es de confianza alta: SilentAir es un actor estatal nuevo, distinto de las empresas de vigilancia que firman la mayoría de los ataques de señalización.

El ataque no toca el teléfono de la víctima. Parte de nodos de red comprometidos dentro de operadoras móviles de al menos seis países asiáticos, desde donde el grupo inyecta órdenes falsas en el tráfico que las operadoras intercambian entre sí por la red IPX, el punto de interconexión que sostiene la itinerancia mundial.

Para moverse entre redes usa sobre todo SS7, el sistema de señalización heredado de las redes 2G y 3G, y a veces Diameter, su equivalente en las redes 4G. Esos protocolos nacieron en un entorno cerrado y de confianza mutua entre operadoras, y esa confianza es justo el resquicio que SilentAir aprovecha.

Un mensaje de localización falso basta para desviarlo todo

La orden clave se llama UpdateLocation. Con ella, el nodo comprometido avisa a la red de origen que el teléfono de la víctima pasó a estar atendido por él. Si la red acepta el aviso, las llamadas y los mensajes entrantes de esa persona empiezan a pasar por manos del atacante, que puede leerlos y quedarse con los datos del abonado.

Enea midió la composición de los ataques y el dato separa a SilentAir de una empresa de vigilancia común: la interceptación ocupa el 18,30 % de su actividad, frente al 2,07 % típico de esas empresas. La búsqueda de datos del abonado suma el 7,21 % y el rastreo de localización apenas el 0,22 %.

El objetivo práctico quedó a la vista en varios casos. Los investigadores observaron códigos de autenticación de dos factores recibidos justo tras el momento de la interceptación, una señal de que el grupo buscaba entrar en otras cuentas de esas personas. La contraseña puede ser fuerte; el código que la respalda viaja por un canal que el atacante ya desvió.

Los ataques llegan en ráfagas. Una ráfaga puede apuntar a uno o a pocos abonados, y otra puede alcanzar a varios miles de abonados durante un mes, con pausas de meses enteros entre una y otra. En casos excepcionales, nodos situados en redes infectadas de países distintos se coordinaron contra blancos de alto valor, figuras políticas y de gobierno.

Mensajes silenciosos a medianoche para comprobar el desvío

El 74,27 % restante de la actividad corresponde a los SMS silenciosos, mensajes que llegan al teléfono sin aparecer en pantalla y sin generar aviso alguno. Enea contó envíos a gran escala, dirigidos en su mayoría a abonados de Taiwán y concentrados a medianoche, con reintentos residuales después.

Esos mensajes cumplen una función de comprobación. Un teléfono se vuelve a registrar en su posición real con el movimiento y con los temporizadores de red, y de noche ese registro natural es menos probable. Si el mensaje silencioso llega por la ruta desviada, el desvío sigue vivo. Para esconder el origen, el grupo entrega los mensajes al centro de mensajes de una operadora intermedia, que los reenvía al destinatario.

La atribución se maneja con cautela. Enea alinea la actividad con operaciones de nexo chino con confianza baja: el foco principal es Taiwán, las redes y los abonados chinos brillan por su ausencia entre los blancos, el horario de los ataques encaja con un día laboral en la franja UTC+8 y la actividad baja en los periodos festivos chinos. Aparte de Taiwán, los blancos están en una docena de países y territorios del sudeste y el este de Asia, con casos en África oriental, Asia central, Oriente Medio y Europa.

El equipo confirmó la intrusión al observar un elemento de red dentro de una operadora que iniciaba y recibía las órdenes de ataque. La red misma estaba comprometida; no era una suplantación montada desde fuera. Enea avisó a las operadoras donde detectó fuentes maliciosas y la huella mundial del grupo quedó interrumpida por ahora, con las condiciones intactas para un regreso.

Para el usuario común, la lección toca los códigos por SMS que bancos y redes sociales siguen enviando como segundo factor. Ese código protege la cuenta solo si la red de señalización hace bien su trabajo, y el número de teléfono carga con otros ataques que no necesitan tocar el aparato, como el duplicado de SIM. Las aplicaciones de autenticación, las llaves de acceso y las llaves físicas de seguridad sacan ese segundo factor de la red telefónica.

Enea cierra su informe con una cifra que explica el atractivo del blanco: el acceso a una sola de las más de 800 operadoras móviles del mundo abre la puerta a todas las demás por la interconexión IPX. El informe no nombra a las operadoras comprometidas ni a los países de origen de los nodos, y el binario atribuido a SilentAir no pudo analizarse por la disciplina operativa del grupo.

Fuente: Enea