Actores vinculados a Irán rastrearon a personal estadounidense mediante una falla de telecomunicaciones SS7 de décadas de antigüedad, según investigación del FT

Una investigación del Financial Times encontró que actores vinculados a Irán rastrearon la ubicación de personal y contratistas estadounidenses en Medio Oriente durante hostilidades recientes, aprovechando dos debilidades conocidas pero aún no resueltas en la infraestructura global de telecomunicaciones: el protocolo de señalización SS7 y los datos de publicidad móvil disponibles comercialmente. El reportaje se basa en datos del proyecto de investigación Mobile Surveillance Monitor y se da a conocer mientras legisladores estadounidenses han planteado por separado preocupaciones sobre vulnerabilidades en sistemas de roaming y en el sector adtech.

Cómo funcionó el rastreo, según el reportaje

SS7, o Sistema de Señalización N.º 7, es el protocolo de décadas de antigüedad que usan los operadores de telecomunicaciones para enrutar llamadas y mensajes de texto entre redes, incluyendo la determinación de la ubicación aproximada de un teléfono cuando está en roaming fuera de su red de origen. Durante más de una década, los investigadores de seguridad han advertido que SS7 carece de una autenticación robusta, lo que permite que un operador con acceso a la red envíe "pings" de consulta de ubicación al operador del objetivo y reciba una posición aproximada, sin que el objetivo lo sepa ni que se ejecute ningún exploit en el teléfono mismo. Según el reportaje del FT, las redes de telecomunicaciones de Medio Oriente registraron y bloquearon repetidas solicitudes de ping SS7 durante el período relevante, evidencia de que alguien estaba sondeando activamente datos de ubicación de números específicos.

Por separado, se reporta que actores vinculados a Irán utilizaron bases de datos de publicidad disponibles comercialmente — los mismos intercambios de datos de pujas en tiempo real que impulsan los anuncios móviles dirigidos — para rastrear teléfonos en la región semiautónoma del Kurdistán, al norte de Irak. Esta es una técnica distinta a la explotación de SS7: los datos de ubicación del sector adtech se generan cuando las aplicaciones comparten la ubicación del dispositivo con redes publicitarias con fines de puja, y se ha demostrado repetidamente que esos datos pueden ser comprados o accesibles por partes muy alejadas de su uso publicitario previsto.

Por qué esta combinación es relevante

Gary Miller, investigador senior de Citizen Lab que fue citado en la investigación, dijo que Irán "absolutamente tiene capacidades para obtener información de ubicación en tiempo real, inmediata y continua", añadiendo que sería sorprendente que Irán no estuviera utilizando SS7 u otro acceso a redes móviles en la región para rastrear a usuarios vinculados a EE.UU. Los funcionarios de los países del Golfo citados en el reportaje sospechaban específicamente de la explotación de acuerdos de roaming, señalando lo profundamente integrada que está la infraestructura comercial de telecomunicaciones con la capacidad de vigilancia estatal una vez que un actor obtiene algún nivel de acceso a la red.

Un problema conocido y no resuelto

Las vulnerabilidades de SS7 no son nuevas: los investigadores de seguridad han demostrado públicamente el rastreo de ubicación y la interceptación de llamadas basados en SS7 desde al menos 2014, y Citizen Lab ha publicado una extensa investigación que cataloga la explotación de telecomunicaciones por parte de proveedores de vigilancia estatales y comerciales, incluyendo un informe más amplio titulado "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors". El protocolo sigue en uso global porque reemplazarlo en todos los operadores interconectados del mundo es un problema de coordinación masivo que la industria nunca ha resuelto completamente, incluso mientras agencias de inteligencia, proveedores comerciales de spyware y ahora aparentemente actores vinculados a estados en conflictos activos continúan explotándolo.

Ni el gobierno de EE.UU. ni los reguladores de telecomunicaciones del Golfo han emitido una confirmación pública o respuesta a los hallazgos del FT hasta la fecha de publicación. El episodio se suma a un creciente cuerpo de evidencia de que los protocolos de señalización heredados de las telecomunicaciones y los mercados de datos publicitarios no regulados representan riesgos de vigilancia paralelos y en gran medida no abordados — uno arraigado en la arquitectura de red de la década de 1970, el otro en la economía moderna de la publicidad móvil, según lo reportado por el Financial Times.