SilentAir, il gruppo di spionaggio che si nasconde dentro gli operatori mobili asiatici per intercettare chiamate e SMS a Taiwan

Un gruppo di spionaggio finora sconosciuto avrebbe violato apparecchiature collocate all'interno di operatori di telefonia mobile in Asia e le avrebbe usate per intercettare chiamate e messaggi di testo di persone scelte con cura, soprattutto a Taiwan. A darne notizia è Enea, azienda con sede a Stoccolma che produce software per le telecomunicazioni e la sicurezza informatica. Questa settimana la società ha battezzato il gruppo SilentAir.

Enea sostiene di aver individuato le sorgenti degli attacchi in almeno sei paesi asiatici e valuta con alta confidenza che SilentAir sia un attore statale, cioè un gruppo che lavora per conto di un governo o in stretto coordinamento con esso. Nel linguaggio dell'intelligence «alta confidenza» indica una conclusione ben supportata dalle prove raccolte, ma non una certezza assoluta. Il titolo della fonte aggiunge un dettaglio importante: tra i bersagli ci sono i codici SMS di autenticazione a due fattori.

Un attacco che parte dalla rete dell'operatore

La caratteristica più rilevante della campagna è il punto in cui avviene l'intrusione. Di solito chi spia un telefono deve infettare il dispositivo della vittima, per esempio con un'app malevola. Qui, stando alla ricostruzione, gli apparati compromessi si trovano dentro le reti degli operatori mobili, cioè nell'infrastruttura che instrada chiamate e messaggi prima che arrivino al destinatario. Chi controlla un nodo di questo tipo può osservare il traffico senza che sul telefono compaia alcun segnale d'allarme.

Per questo l'attacco è difficile da scoprire per l'utente. Non serve cliccare su un link sbagliato né installare nulla: basta usare una linea gestita da un operatore la cui rete è stata violata. La fonte parla di intercettazione mirata, non di sorveglianza di massa: gli aggressori avrebbero scelto singole persone. La selezione dei bersagli è un tratto tipico dello spionaggio condotto a livello statale, dove il valore sta nelle persone controllate più che nel numero di vittime.

Quando a essere compromessa è la rete dell'operatore, il telefono della vittima può essere perfettamente pulito e l'intercettazione avviene comunque.

Perché i codici SMS sono un obiettivo

L'autenticazione a due fattori via SMS funziona così: dopo la password, il servizio invia al telefono un codice temporaneo da digitare per completare l'accesso. L'idea è che un ladro di password non possa entrare senza avere anche il telefono. Questo schema, però, si fonda sull'ipotesi che il messaggio viaggi in un canale riservato. Se un attore malevolo si trova dentro la rete dell'operatore e può leggere i testi in transito, quel codice diventa visibile anche a lui.

È un limite noto del metodo, non una scoperta di questa vicenda. Gli esperti da tempo considerano gli SMS una protezione meglio di niente, ma più debole delle chiavi di sicurezza fisiche o delle app di autenticazione. Il caso SilentAir mostra che la debolezza può essere sfruttata concretamente da gruppi con risorse elevate. La fonte che abbiamo a disposizione non precisa quali servizi o account siano stati presi di mira né quanti codici siano stati intercettati, e su questo non facciamo ipotesi.

Taiwan, sei paesi e le domande ancora aperte

La maggior parte delle vittime è a Taiwan, un'area da anni al centro di intense attività di spionaggio informatico. La fonte però non attribuisce il gruppo a un paese specifico e noi non lo facciamo. Il fatto che le sorgenti degli attacchi siano state trovate in almeno sei paesi asiatici suggerisce un'operazione distribuita, che si appoggia a reti di più operatori. Restano da chiarire quali operatori siano stati compromessi, con quali tecniche e per quanto tempo.

Il testo di partenza, almeno nella parte disponibile, non entra nei dettagli tecnici dell'intrusione. È quindi prudente trattare la vicenda come una prima valutazione di un fornitore di sicurezza, destinata a essere confermata o integrata da altri ricercatori e dagli stessi operatori. Per chi si occupa di difesa, la lezione pratica riguarda soprattutto i profili ad alto rischio, come giornalisti, dirigenti e funzionari: per loro affidarsi agli SMS come secondo fattore è una scelta da rivedere, se possibile con strumenti che non passano dalla rete dell'operatore.

Perché conta. La vicenda ricorda che la sicurezza di un account non dipende solo da password e dispositivo, ma anche da infrastrutture fuori dal controllo dell'utente. Se un gruppo statale riesce a insinuarsi nelle reti telefoniche, i codici SMS perdono gran parte del loro valore protettivo per i bersagli di interesse. Per aziende e persone a rischio il consiglio è passare ad app di autenticazione o chiavi fisiche. Per gli operatori la sfida è controllare gli apparati interni, che finora hanno ricevuto meno attenzione dei sistemi esposti al pubblico.