Hay ataques que empiezan con un phishing, otros con un exploit contra un servidor expuesto y otros con el compromiso de un endpoint. Pero existe otra categoría mucho más difícil de percibir: aquellos en los que el atacante no necesita comprometer nuestro ordenador ni nuestro teléfono. Le basta con conseguir que la infraestructura que conecta nuestra red móvil con el resto del mundo crea que quien está haciendo la petición es alguien en quien puede confiar.
Ese es el escenario que describe Citizen Lab en su investigación “Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors”, publicada en abril de 2026. El estudio analiza dos campañas de vigilancia y reconstruye cómo determinados actores utilizaron SS7, Diameter, identidades de operadores legítimos y proveedores de interconexión para intentar localizar objetivos concretos.
Lo interesante no es que SS7 tenga problemas de seguridad, algo conocido desde hace años. Lo realmente interesante es cómo esas debilidades se integran en operaciones sofisticadas donde el atacante cambia de protocolo, identidad y ruta para encontrar un camino que todavía funcione.
No estamos ante el típico exploit → shell. Estamos ante algo más sutil: el abuso de una infraestructura que ya confía en nosotros.
Una red invisible sobre la red
Cuando hacemos una llamada, enviamos un SMS o viajamos al extranjero, nuestro teléfono desencadena una enorme cantidad de intercambio de información entre operadores. La infraestructura de señalización permite autenticar abonados, gestionar roaming, conocer su localización y enrutar comunicaciones.
Durante décadas, una parte fundamental se construyó sobre SS7 (Signalling System No. 7) y protocolos como MAP. Con 4G apareció Diameter, que continúa desempeñando un papel importante en el roaming y el core móvil.
Aunque Diameter introdujo mecanismos de seguridad más modernos, las redes siguen necesitando relaciones de confianza entre operadores y proveedores de interconexión.
Cuando un atacante consigue utilizar una identidad que el resto de la infraestructura considera legítima, puede no necesitar explotar una vulnerabilidad convencional. Puede simplemente utilizar una funcionalidad legítima para realizar una operación que nunca debería haber podido realizar.
Es, en cierto modo, un Living off the Land de las telecomunicaciones.
Y una de las cosas que puede preguntarse a esa infraestructura es:
¿Dónde está este abonado?
STA1: cuatro horas persiguiendo a un objetivo
La primera campaña investigada por Citizen Lab recibe el nombre de Surveillance Threat Actor 1 (STA1).
El 25 de noviembre de 2024, los investigadores observaron una secuencia de mensajes de señalización dirigidos contra un abonado de un operador de Oriente Medio, posteriormente identificado como un abonado VVIP.
Durante aproximadamente cuatro horas, el atacante fue cambiando de protocolo e identidad mientras intentaba atravesar las defensas: primero SS7, después Diameter, de nuevo SS7 y finalmente Diameter.
Citizen Lab identificó 11 identidades de operadores pertenecientes a nueve países diferentes.
Entre las operaciones observadas aparecen mecanismos clásicos de localización mediante SS7, como Provide Subscriber Information (PSI) y AnyTimeInterrogation (ATI). Dependiendo de la configuración de la red, estas operaciones pueden proporcionar información relacionada con el abonado y su localización.
El atacante no necesita ejecutar código en el teléfono ni explotar Android o iOS. Necesita conseguir que una red responda a una consulta que, en circunstancias normales, solo debería poder realizar un operador autorizado.
Por eso resulta más apropiado hablar de abuso de confianza que de explotación convencional.
El protocolo puede funcionar perfectamente.
El problema es que quien está haciendo la pregunta no debería poder hacerla.
Diameter: cuando la identidad también puede ser un arma
Después de varios intentos mediante SS7, STA1 comenzó a utilizar Diameter. Citizen Lab observó mensajes Insert-Subscriber-Data-Request (IDR) procedentes de diferentes infraestructuras antes de que el actor regresara nuevamente a SS7.
Uno de los detalles más interesantes es la manipulación de campos como Origin-Host, Origin-Realm y Route-Record.
Estos valores permiten identificar el origen de un mensaje y seguir parte de su recorrido. Sin embargo, Citizen Lab observó combinaciones inconsistentes entre Origin-Host y Origin-Realm, aparentemente utilizadas para presentar el tráfico como procedente de otro operador y conseguir una ruta alternativa hacia el objetivo.
No estamos necesariamente ante una vulnerabilidad que termine en RCE. El protocolo puede estar funcionando como fue diseñado.
El atacante está explotando algo mucho más difícil de parchear:
la confianza depositada en los metadatos que identifican al emisor.
Además, las anomalías encontradas en Route-Record proporcionan indicios de manipulación del camino. La conclusión es importante: la propia topología de interconexión forma parte de la superficie de ataque.
IPX: el Internet de las operadoras
Los operadores utilizan proveedores IPX (IP Exchange) para transportar tráfico entre redes, incluida la señalización de roaming. Esto introduce intermediarios adicionales en la cadena de confianza.
Citizen Lab identificó diferentes proveedores IPX en los caminos observados, entre ellos BICS, Comfone y Syniverse.
Desde el punto de vista de seguridad, no basta con saber qué operadores están autorizados. También hay que conocer qué infraestructura y qué rutas deberían utilizar.
Un mensaje aparentemente legítimo puede resultar sospechoso si aparece desde una ruta que no coincide con las relaciones de interconexión conocidas.
La pregunta deja de ser simplemente “¿quién está enviando esto?” y pasa a ser: ¿Quién está autorizado a realizar esta petición, desde dónde y por qué camino?
El fingerprint del atacante
Aunque el atacante utilice identidades legítimas, no significa que sea invisible.
Citizen Lab encontró patrones en los Transaction Identifiers de SS7 que permitían relacionar consultas aparentemente procedentes de redes distintas. También identificó estructuras particulares en los Session-ID de Diameter.
Uno de los detalles más llamativos aparece en STA2, donde el IMSI del objetivo estaba embebido directamente dentro del Session-ID.
Es un buen ejemplo del valor del threat hunting. Un atacante puede cambiar de IP, operador o ruta, pero resulta mucho más difícil cambiar simultáneamente la forma en que su plataforma genera identificadores y construye mensajes.
Los errores de implementación terminan convirtiéndose en una especie de firma de la herramienta de vigilancia.
STA2: cuando la SIM se convierte en el espía
La segunda campaña, STA2, introduce otro vector: la propia SIM.
La técnica está relacionada con SIMjacker, conocida desde 2019. En determinadas SIM que soportan S@T Browser, es posible enviar comandos mediante SMS especialmente construidos para que sean procesados por la tarjeta.
El atacante envía un SMS binario y la SIM puede interpretar determinados comandos, entre ellos algunos capaces de obtener información de localización.
Citizen Lab observó mensajes compatibles con este mecanismo, incluyendo TP-PID = 127, TP-DCS = 0x16 y estructuras TLV en el payload.
La consecuencia es especialmente inquietante: la SIM puede convertirse en un sensor remoto de localización sin necesidad de instalar spyware convencional en el teléfono.
Y la escala resulta todavía más llamativa: Citizen Lab identificó más de 15.700 intentos de localización, con actividad que se remonta al menos a octubre de 2022.
STA2 combinaba SS7, SMS maliciosos y Diameter. Cuando un mecanismo fallaba, había otro disponible.
No parece una simple prueba de concepto, sino una capacidad operacional mantenida durante años.
El verdadero exploit es la confianza
Después de analizar ambas campañas, resulta demasiado sencillo concluir que el problema es simplemente que SS7 es inseguro.
El problema real es más profundo.
Las redes móviles fueron diseñadas alrededor de un modelo de confianza entre operadores. Ese modelo era necesario para que el roaming funcionase a escala global, pero el ecosistema actual es mucho más complejo: operadores virtuales, proveedores IPX, intermediarios, acuerdos de roaming y empresas especializadas en vigilancia.
La cadena de confianza se ha hecho enorme.
Desde esta perspectiva, el ataque recuerda a un supply-chain attack aplicado al plano de señalización. El atacante no tiene por qué romper directamente la infraestructura del objetivo. Puede utilizar un elemento de la cadena que ya tenga autorización para llegar hasta ella.
¿Cómo detectar a un Ghost Operator?
La defensa no consiste simplemente en instalar un parche.
Los signalling firewalls deben aplicar políticas restrictivas sobre las operaciones de localización, autenticación y modificación de información de abonados. Pero filtrar únicamente por IP u operador no es suficiente.
Los equipos de seguridad deberían correlacionar Origin-Host, Origin-Realm, MCC/MNC, peer de interconexión y ruta esperada. También resulta especialmente sospechoso un mismo IMSI recibiendo consultas desde múltiples operadores en poco tiempo, cambios rápidos entre SS7 y Diameter, Session-ID anómalos, Route-Record inesperados o SMS binarios dirigidos a la SIM.
El principio es el mismo que aplicamos al detectar una infraestructura C2. No buscamos únicamente una dirección IP. Buscamos el comportamiento de la herramienta.
Ghost Operators
Quizá esa sea la principal lección de Bad Connection.
Las campañas descritas por Citizen Lab representan una versión de Living off the Land y supply-chain attack aplicada al mundo de las telecomunicaciones. El atacante no necesariamente trae su propia infraestructura. Utiliza la nuestra. No necesita necesariamente comprometer nuestro teléfono. Utiliza las funciones de nuestra red. No necesita necesariamente atravesar un firewall mediante un exploit. Busca un camino que ya esté permitido.
Y por eso el problema no es únicamente que SS7 sea antiguo o que Diameter pueda ser manipulado. El problema es que hemos construido una red global en la que una parte importante de la seguridad depende de saber quién está autorizado a preguntar.
Cuando un atacante consigue hacerse pasar por quien tiene permiso para preguntar, la pregunta más peligrosa deja de ser “¿cómo explotó el sistema?”.
Pasa a ser otra: ¿Quién le enseñó que podía entrar?
La investigación completa puede consultarse en Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors, publicada por Citizen Lab. Leer la investigación de Citizen Lab
Comentarios
Publicar un comentario