Volgens beveiligingsonderzoekers konden hackers twee jaar lang de locatie van vrijwel iedere telefoon volgen via een SMS-gebaseerde aanvalsmethode genaamd Simjacker. De kwetsbaarheid die dat mogelijk maakte, werd met name misbruikt voor surveillance, aldus de onderzoekers tegenover ZDNet.
Bij de Simjacker-aanval verstuur een hacker een SMS-bericht naar je telefoonnummer. Daarin zitten verborgen SIM Toolkit-instructies, die ondersteund worden door een applicatie die op je SIM_kaart zit. Die applicatie wordt door providers gebruikt om bijvoorbeeld informatie over je telefoonrekening te sturen.
De hackers gebruiken deze app om de telefoon zo ver te krijgen om locatiegegevens te versturen. Ook geeft je telefoon zogenaamde IMEI-codes. De data wordt via een SMS-bericht naar een apparaat van een derde partij gestuurd, waar een aanvaller je locatie opslaat.
Vervelend is dat de aanval niet opvalt. Je ziet geen SMS-berichtjes in je inbox of outbox. Daardoor kunnen aanvallers je continu SMS-berichten sturen, om zo je locatie te volgen. En dat kan maandenlang.
Vrijwel iedere fabrikant
De aanval, die ontdekt werd door onderzoekers van AdaptiveMobile Security, werkt bovendien niet alleen bij specifieke telefoons. De onderzoekers zeggen dat telefoons van vrijwel iedere fabrikant het slachtoffer zijn geworden van de aanval. Het gaat om telefoons van onder meer Apple, Samsung, Google Huawei, Motorola en ZTE.
AdaptiveMobile denkt dat er een bedrijf achter de aanvallen zit, maar het is niet bekend welk bedrijf dat is. We weten dus ook niet of het gebruikt wordt om bijvoorbeeld criminelen en terroristen te volgen, of om juist politieke tegenstanders en bijvoorbeeld activisten te volgen. De aanvallen komen echter wel dagelijks in grote hoeveelheden voor.
Toch is er ook nog wat goed nieuws. De aanval gebruikt namelijk complexe binaire code die als SMS geleverd wordt, wat betekent dat een netwerkbeheerder zijn apparatuur zo in kan stellen dat dergelijke data niet meer door het netwerk heen kan. Zo kan de SMS niet bij jou aankomen, maar gewone berichtjes wel.