Các nhà nghiên cứu bảo mật của AdaptiveMobile Security đã phát hiện ra một lỗ hổng cho phép thâm nhập và theo dõi điện thoại thông qua SIM card của người dùng. Được đặt tên là Simjacker, AdaptiveMobile tố cáo một công ty theo dõi đã dùng lỗ hổng bảo mật này để theo dõi người dùng điện thoại trong 2 năm qua. Về cơ bản, lỗ hổng này lợi dụng việc SIM của nhiều nhà mạng hỗ trợ ứng dụng trình duyệt S@T. S@T ban đầu được phát triển để khởi động trình duyệt internet, báo chuông và một số tác vụ khác trên điện thoại.
Lỗ hổng Simjacker sẽ gửi một tin nhắn SMS tới điện thoại, trong đó có chứa mã lệnh S@T, từ đó lấy được thông tin số IMEI của thiết bị, rồi lại dùng SMS để gửi thông tin đó cho những chiếc điện thoại dùng để theo dõi. Đáng sợ ở chỗ, quá trình này hoàn toàn không đổ chuông báo cho người dùng, và có thể theo dõi từ iPhone, smartphone Android cho đến cả những thiết bị Internet of Things có lắp SIM.
Như đã nói, lỗ hổng này không phải chỉ mang tính lý thuyết. Công ty được AdaptiveMobile giấu tên đã sử dụng Simjacker ở hơn 30 quốc gia tại Trung Đông, Bắc Phi, châu Á và đông Âu trong ít nhất 2 năm qua, tổng dân cư tại các đất nước này có thể lên tới cả tỷ người. Theo AdaptiveMobile, các nhà mạng hoàn toàn có thể chặn đứng những dòng mã lệnh này để công ty nói trên không thể lợi dụng lỗ hổng đó nữa.
Lỗ hổng Simjacker sẽ gửi một tin nhắn SMS tới điện thoại, trong đó có chứa mã lệnh S@T, từ đó lấy được thông tin số IMEI của thiết bị, rồi lại dùng SMS để gửi thông tin đó cho những chiếc điện thoại dùng để theo dõi. Đáng sợ ở chỗ, quá trình này hoàn toàn không đổ chuông báo cho người dùng, và có thể theo dõi từ iPhone, smartphone Android cho đến cả những thiết bị Internet of Things có lắp SIM.
Như đã nói, lỗ hổng này không phải chỉ mang tính lý thuyết. Công ty được AdaptiveMobile giấu tên đã sử dụng Simjacker ở hơn 30 quốc gia tại Trung Đông, Bắc Phi, châu Á và đông Âu trong ít nhất 2 năm qua, tổng dân cư tại các đất nước này có thể lên tới cả tỷ người. Theo AdaptiveMobile, các nhà mạng hoàn toàn có thể chặn đứng những dòng mã lệnh này để công ty nói trên không thể lợi dụng lỗ hổng đó nữa.
Theo Engadget
