Una vulnerabilità delle SIM minaccia 1 miliardo di smartphone in tutto il mondo

Un software obsoleto non più aggiornato dal 2009 è presente in circa un miliardo di schede SIM ed eSIM. Sfruttando le sue falle gli hacker potrebbero prendere il controllo di smartphone e altri dispositivi.

SimJacker è il nome della vulnerabilità appena scoperta dai ricercatori di Adaptive Mobile Security che minaccia la sicurezza di un miliardo di telefoni cellulari in circolazione. Consente di introdurre un codice malevolo nelle SIM e nelle eSIM del mondo, intercettando o prendendo il controllo di smartphone e altri dispositivi.

Il problema è che SIM ed eSIM utilizzate dagli operatori di oltre 30 Paesi sfruttano un software chiamato S@T Browser (SIMalliance Toolbox Browser) che è talmente vecchio da non essere più stato aggiornato dopo il 2009. Come noto, i software non aggiornati sono una manna per gli hacker, e questo caso non fa eccezione.

I ricercatori svelano nel loro report che questa falla nella sicurezza non sarebbe una novità, anzi, sarebbe addirittura stata sviluppata e sfruttata attivamente negli anni passati da un‎a “specifica azienda privata che lavora con le agenzie di intelligence di diversi Paesi, al fine di monitorare specifici individui e attuare azioni di spionaggio mirate”. Sulla misteriosa azienda non ci sono indizi, quello che è certo è che cosa può combinare SimJacker con una semplicità disarmante.

Inviando un SMS contenente codice malevolo gli hacker possono forzare l’avvio del browser web e la trasmissione di dati sulla posizione. Si possono anche modificare la configurazione delle chiamate, inviare messaggi per l’attivazione di servizi a pagamento, reindirizzare la navigazione su siti malevoli che installano malware, disabilitare la SIM, recuperare dati presenti nella memoria del dispositivo ed effettuare intercettazioni ambientali, avviando di nascosto una chiamata verso un determinato numero.

Alcuni operatori statunitensi hanno confermato tempestivamente che le loro SIM non sono soggette a questa vulnerabilità, ma l’elenco dei paesi minacciati è talmente folto da non permettere al momento di stilare una lista precisa degli operatori a rischio. SIM Alliance, che rappresenta i principali produttori di SIM ed eSIM, ha diramato una raccomandazione ai produttori di schede SIM, perché implementino il più velocemente possibile una soluzione. Nel frattempo, tutti gli operatori mobili possono circoscrivere il problema bloccando l’esecuzione di tutti i messaggi sospetti che contengano comandi S@T Browser.