Des acteurs liés à l'Iran ont surveillé du personnel américain via une faille télécom SS7 vieille de plusieurs décennies, selon une enquête du FT.

Une enquête du Financial Times a révélé que des acteurs liés à l'Iran ont suivi la localisation de personnel et de sous-traitants américains au Moyen-Orient pendant les récentes hostilités en exploitant deux faiblesses connues de longue date mais toujours non résolues de l'infrastructure télécoms mondiale : le protocole de signalisation SS7 et les données publicitaires mobiles disponibles dans le commerce. Le reportage s'appuie sur les données du projet de recherche Mobile Surveillance Monitor et intervient alors que des législateurs américains ont, de leur côté, soulevé des inquiétudes concernant les vulnérabilités du système d'itinérance et de l'adtech.

Comment le pistage aurait fonctionné

Le SS7, ou Signaling System No. 7, est le protocole vieux de plusieurs décennies que les opérateurs télécoms utilisent pour router les appels et les SMS entre les réseaux, notamment pour déterminer la position approximative d'un téléphone lorsqu'il est en itinérance hors de son réseau d'origine. Les chercheurs en sécurité avertissent depuis plus de dix ans que le SS7 manque d'authentification robuste, ce qui permet à un opérateur ayant accès au réseau d'envoyer des requêtes de localisation (« pings ») à l'opérateur d'une cible et de recevoir une position approximative en retour — sans que la cible en ait connaissance ni qu'aucun exploit soit exécuté sur le téléphone lui-même. Selon le reportage du FT, des réseaux télécoms du Moyen-Orient ont enregistré et bloqué des requêtes de ping SS7 répétées pendant la période concernée, preuve que quelqu'un sondait activement les données de localisation de numéros spécifiques.

Séparément, des acteurs liés à l'Iran auraient utilisé des bases de données publicitaires disponibles dans le commerce — les mêmes échanges de données d'enchères en temps réel qui alimentent les publicités mobiles ciblées — pour suivre des téléphones dans la région semi-autonome du Kurdistan en Irak du Nord. Il s'agit d'une technique distincte de l'exploitation du SS7 : les données de localisation adtech sont générées lorsque des applications partagent la position de l'appareil avec les réseaux publicitaires à des fins d'enchères, et il a été démontré à plusieurs reprises que ces données sont achetable ou accessibles à des acteurs bien en dehors de leur utilisation publicitaire prévue.

Pourquoi cette combinaison est importante

Gary Miller, chercheur principal au Citizen Lab cité dans l'enquête, a déclaré que l'Iran « a absolument les capacités d'obtenir des informations de localisation en temps réel, immédiates et continues », ajoutant qu'il serait surprenant que l'Iran n'utilise pas le SS7 ou d'autres accès aux réseaux mobiles dans la région pour suivre les utilisateurs liés aux États-Unis. Les responsables du Golfe cités dans le reportage soupçonnaient spécifiquement l'exploitation des accords d'itinérance, soulignant à quel point l'infrastructure télécoms commerciale est intégrée aux capacités de surveillance étatiques dès qu'un acteur obtient un quelconque niveau d'accès réseau.

Un problème connu et non résolu

Les vulnérabilités du SS7 ne sont pas nouvelles — les chercheurs en sécurité ont démontré publiquement le pistage par localisation et l'interception d'appels basés sur SS7 depuis au moins 2014, et le Citizen Lab a publié des recherches exhaustives cataloguant l'exploitation des télécoms par des fournisseurs de surveillance étatiques et commerciaux, notamment un rapport plus large intitulé « Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors ». Le protocole reste utilisé mondialement car le remplacer sur l'ensemble des opérateurs interconnectés à travers le monde est un problème de coordination massif que l'industrie n'a jamais totalement résolu, même si les agences de renseignement, les fournisseurs de logiciels espions commerciaux et maintenant apparemment des acteurs liés à des États dans des conflits actifs continuent de l'exploiter.

Ni le gouvernement américain ni les régulateurs télécoms du Golfe n'ont émis de confirmation ou de réponse publique aux conclusions du FT au moment de la publication. Cet épisode s'ajoute à un ensemble croissant de preuves que les protocoles de signalisation télécoms hérités et les marchés de données publicitaires non réglementés représentent des risques de surveillance parallèles, largement non traités — l'un ancré dans l'architecture réseau des années 1970, l'autre dans l'économie moderne de la publicité mobile, comme l'a rapporté le Financial Times.