La firma de seguridad AdaptiveMobile Security ha descubierto una nueva vulnerabilidad crítica llamada Simjacker que afecta a nuestros móviles, pero que lo hace de una forma muy especial.
No es un problema específico de Android, iOS o cualquier otra plataforma móvil, sino de las tarjetas SIM que utilizamos en cualquiera de estos terminales. Su alcance por tanto es enorme, y lo peor es que los usuarios no podemos hacer nada por solucionarlo: solo las operadoras pueden atajar el problema.
Atacando a un viejo (des)conocido
El experto en seguridad Dan Guido, de la firma Trail of Bits, explicaba cómo "este ataque es agnóstico en cuanto a la plataforma, afecta a prácticamente cualquier teléfono y no hay nada que nadie pueda hacer a excepción de tu operadora".
![Simjacker1](https://i.blogs.es/180216/simjacker1/450_1000.jpg)
El problema se basa en el uso de un mensaje SMS especialmente formateado que acaba llegando al llamado UICC (Universal Integrated Circuit Card), la tarjeta inteligente que permite que las tarjetas SIM puedan hacer su trabajo.
Ese mensaje contiene óridenes para un viejo software que forma parte de las tarjetas SIM desde hace más de una década. Se trata del llamado S@T Browser que antiguamente permitía a diversos servicios acceder por ejemplo al balance de datos y minutos de voz que nos quedaban en nuestra tarjeta cada mes.
![Simjacker2](https://i.blogs.es/187285/simjacker2/450_1000.jpg)
Las funciones de ese software acabaron siendo suplantadas por otras más modernas que dejaban en segundo plano al viejo S@T Browser, que no se actualiza desde 2009, pero aún así el ataque se aprovecha de que muchos países y operadoras siguen integrando esa herramienta como parte de sus SIM: se estima que más de 1.000 millones de usuarios están potencialmente afectados por el problema, pero es difícil realizar un cálculo exacto.
La ubicación es solo parte del problema
¿Qué riesgos corre el usuario? Entre muchos otros, el de registrar la ubicación del móvil en todo momento, aunque los expertos apuntan a que esta opción no es la más interesante para los posibles atacantes, que tienen muchas alternativas para averiguar la localización (muchas aplicaciones móviles lo permiten).
![Simjacker2](https://i.blogs.es/527c45/simjacker2/450_1000.png)
Según AdaptiveMobile Security el ataque parece haber sido "desarrollado por una empresa privada que trabaja con gobiernos para monitorizar a gente en particular", y todo apunta a que se ha diseñado para hacer seguimiento de teléfonos de personalidades a las que de otro modo sería muy difícil acceder.
El ataque va más allá de poder espiar la ubicación, y es posible que esos mensajes SMS se conviertan en un "caballo de Troya" desde el cual instalar todo tipo de malware y spyware.
La solución no está en poder de los usuarios, que no pueden hacer nada en sus móviles, pertenezcan a la plataforma que pertenezcan: son las operadoras las que deben tratar de atajar el problema.
Vía | ArsTechnica
Más información | AdaptiveMobile Security
La SIMalliance —que representa a los fabricantes de ese componente crítico, la UUIC— recomienda bloquear "mensajes SMS binarios no legítimos" y hacer cambios en las preferencias de seguridad de las tarjetas de seguridad que se envíen a los usuarios a partir de ahora.
Ver 30 comentarios
30 comentarios
darko_
Solución? no llevar el móvil encima, que parece que se vaya a acabar el mundo xD
ktk
No veo cómo desde la SIM puedes meterte en el sistema operativo a instalar malware. Sin quitar importancia a la vulnerabilidad, me parece un poco sensacionalista
nordin_yac
Desde mi humilde punto de vista, todas esas luchas por la privacidad son más bien placebos para dar una imagen que no es real, mejor prueba es que se ponga cualquiera a leer lo que se acepta al usar un servicio de Google o que pida los datos que tiene Google sobe el para darse cuenta que solo hay dos alternativas, tener un móvil que da igual que sea android o ios y asumir la use de una forma o otra lo saben todo sobre nosotros (queramos o no) o no tener un móvil, lo demás son meras cortinas de humo, antes se asume menos se gastará energía en lo inevitable
pedromoreno5
"Ese mensaje contiene óridenes"
Que son las oridenes??
bacp
No se cuantas veces habéis repetido que el usuario no puede hacer nada, que lo tienen que arreglar las operadoras.
Lo que si se es el numero de veces que habéis comentado algo de lo que tienen que hacer, ninguna.
Pueden desactivar ese software que encima ya no vale para nada? Pueden parchear las sims actuales? Tienen que enviar unas nuevas?
o ni se sabe lo que tienen que hacer?
AngelChinchillo
Se resolverá con la e-sim, no problem!
alejandrocampaiglesias
Si inyectan más software puede ser peligroso, si no, sólo da la celda donde se conectó por última vez, aunque sigue siendo una intromisión, no proporciona una ubicación GPS exacta
Usuario desactivado
Me creo más bien poco.