SilentAir: un actor espía dentro de las redes móviles intercepta llamadas, SMS y códigos de doble factor

La seguridad del móvil de empresa depende de algo que la empresa no controla: la red del operador. La firma Enea ha identificado a SilentAir, un actor que lleva comprometiendo operadoras móviles desde antes de 2025 para interceptar llamadas y mensajes, y ha seguido en paralelo la evolución de LIMINAL PANDA, otro actor de nexo chino ya conocido, dentro de la red de interconexión que hace posible el roaming mundial.

Según la investigación de Enea, Taiwán es el objetivo principal de SilentAir, pero sus fuentes se reparten en al menos seis países asiáticos y sus objetivos en una docena de países y territorios, con VIPs políticos y gubernamentales entre los vigilados. En algunos casos, los investigadores observaron códigos de doble factor interceptados y usados de inmediato, lo que apunta a intentos de entrar en otras cuentas de las víctimas. De LIMINAL PANDA, Enea detectó cientos de comunicaciones encubiertas y pruebas que sitúan entre cinco y diez operadoras infectadas, con decenas más potencialmente afectadas; su nueva versión del implante GTPDoor usa el canal de datos GTP-U, lo que dificulta aún más su detección.

La raíz del problema es el modelo de confianza heredado de la interconexión móvil: los protocolos de señalización SS7, Diameter y GTP se diseñaron para un ecosistema de operadoras que se fiaban unas de otras, y los abusos de SS7 documentados desde 2014 no han bastado para cambiarlo. Enea atribuye ambas actividades a operaciones de nexo chino, aunque admite que los vínculos entre los dos actores son posibles pero no están confirmados, y concluye que las defensas aisladas de cada operadora no bastan frente a amenazas que viajan por el roaming.

No hay víctimas españolas acreditadas en esta investigación, y conviene decirlo claro. El interés para el lector de aquí está en la técnica y en la tendencia: esta misma semana contábamos la conexión entre los ciberataques a gobiernos y telecos de 21 países, y los operadores y sus proveedores ya han sido vía de entrada en España. La red móvil es infraestructura crítica aunque no figure en el organigrama de seguridad de la empresa.

Y hay una lectura práctica que no exige esperar a nadie: si los códigos que llegan por SMS pueden ser interceptados dentro de la propia red, la doble autenticación por mensaje de texto protege menos de lo que su difusión sugiere, sobre todo cuando las contraseñas más usadas pintan un panorama desastroso. Las aplicaciones de autenticación y las llaves físicas existen precisamente para esto; que el SMS siga siendo la opción por defecto dice más de la comodidad que de la seguridad.