# Firewall di segnalazione nel 2026: come appaiono gli attacchi SS7 e Diameter dall'interno di una rete

> SS7 è stato progettato quando si riteneva che ogni rete che lo utilizzasse fosse affidabile. Tale presupposto è ormai superato, ma il protocollo continua a veicolare traffico, e gli attacchi che lo sfruttano sono poco appariscenti, ben documentati e tuttora efficaci.

- URL canonico: https://www.broadnet.me/it/blog/ss7-diameter-signaling-firewall-2026
- Lingua: it
- Ultimo aggiornamento: 2026-10-20
- Editore: BroadNet (https://www.broadnet.me)

- Pubblicato il: 2026-09-10
- Autore: BroadNet Engineering

La sicurezza delle segnalazioni ha un problema di immagine. Sembra una questione specialistica riservata agli ingegneri delle reti centrali, e gli attacchi vengono descritti come esotici. In realtà non lo sono. Sono economici, ben documentati e funzionano ancora, e le conseguenze ricadono sugli abbonati sotto forma di tracciamento della posizione, intercettazione delle password monouso e svuotamento dei conti bancari.

Questa è una guida su cosa accade effettivamente sul piano di segnalazione, cosa richiede agli operatori di fare il framework GSMA al riguardo e perché il firewall SMS che già possedete non lo copre.

## Perché SS7 è sfruttabile?

SS7 è stato progettato per un mondo composto da poche centinaia di operatori statali che si conoscevano tutti. Il progetto non prevedeva alcuna autenticazione tra le reti, perché non era necessaria: se un messaggio arrivava sulla rete, proveniva da un peer, e i peer erano considerati affidabili per definizione.

La deregolamentazione, gli hub di roaming e la rivendita hanno trasformato poche centinaia di peer fidati in migliaia di soggetti con accesso alla segnalazione, alcuni dei quali lo rivendono. Il protocollo non è cambiato. Un malintenzionato che ottiene un titolo globale – e questi possono essere affittati – può inviare le stesse query di un partner di roaming legittimo, e la rete ricevente non ha alcun modo crittografico per distinguerle.

## Gli attacchi, in parole semplici

Tre categorie rappresentano la maggior parte dei danni reali, e nessuna di esse richiede di toccare il dispositivo dell'abbonato.

- Divulgazione della posizione. Una query destinata al roaming, che chiede quale centrale telefonica stia attualmente servendo un abbonato, restituisce un identificatore di cella che si risolve in un'area fisica. Ripetendo la query si ottiene la cronologia degli spostamenti. L'abbonato non vede nulla.
- Intercettazione di SMS. Un malintenzionato aggiorna i dati di rete relativi alla posizione di un abbonato, in modo che i messaggi vengano instradati al nodo del malintenzionato anziché al dispositivo mobile. Qualsiasi codice di accesso monouso inviato tramite SMS durante tale intervallo di tempo viene quindi recapitato al malintenzionato. Questo è il meccanismo alla base dei furti di identità che sembrano eludere l'autenticazione a due fattori.
- Divulgazione dei dati degli abbonati. Le query progettate per l'interoperabilità legittima restituiscono identificatori e dati del profilo che supportano successive frodi, inclusi gli identificatori necessari per rendere plausibile un tentativo di intercettazione.

> L'intercettazione degli SMS tramite segnalazione è il motivo per cui i codici monouso via SMS rappresentano un controllo di possesso piuttosto che un forte secondo fattore di sicurezza: il dispositivo in questione può essere spostato senza il coinvolgimento dell'abbonato.

## Diameter non l'ha risolto

Diameter ha sostituito SS7 per LTE e le generazioni successive, e supporta la sicurezza del trasporto. In pratica, l'interoperatore Diameter viene spesso implementato senza di essa, e gli attacchi analoghi (localizzazione, intercettazione, divulgazione di dati) si ripresentano con nomi di messaggio diversi. Inoltre, durante la migrazione, le reti utilizzano entrambi gli stack in parallelo per anni, e le funzioni di interoperabilità traducono i dati tra di essi, il che significa che un attacco dal lato SS7 può essere veicolato in un core Diameter attraverso un gateway che si fida di ciò che sta traducendo.

Un firewall di segnalazione che comprende solo uno dei due protocolli lascia aperto l'altro, e con esso la funzione di interoperabilità.

## Ciò che chiedono FS.07 e FS.11

Il documento GSMA pubblica il quadro di riferimento utilizzato dal settore. Il documento FS.11 definisce le categorie di sicurezza per le interconnessioni SS7; il documento FS.07 copre gli SMS e la dimensione specifica della messaggistica. La categorizzazione è ciò che rende il problema gestibile, perché separa il traffico che non è mai legittimo dal traffico che è legittimo solo in un determinato contesto.

| Categoria | Cosa copre | Trattamento |
|---|---|---|
| Categoria 1 | Messaggi che non dovrebbero mai arrivare dall'esterno della rete domestica | Blocco al confine. Non sussiste alcun caso legittimo di interconnessione. |
| Categoria 2 | Messaggi validi solo da una rete in cui l'abbonato è effettivamente in roaming | Correlare con lo stato di roaming; rifiutare in caso di incoerenza. |
| Categoria 3 | Messaggi legittimi provenienti da un partner in roaming, ma che possono essere usati in modo improprio per sequenza o volume. | Analisi di tasso, velocità e plausibilità nel tempo. |

La categoria 1 è quella più facile da vincere e quella che più spesso viene trascurata. La categoria 3 è quella in cui risiede l'ingegneria, perché un singolo messaggio può essere perfettamente valido mentre lo schema a cui appartiene è chiaramente un attacco: la stessa query per mille abbonati in un'ora, da un partner con cinquanta utenti in roaming.

## Perché i controlli di velocità sono più importanti delle firme

La corrispondenza delle firme individua i tipi di messaggi noti per essere dannosi. Non individua i tipi di messaggi legittimi utilizzati illegittimamente, che rappresentano la maggior parte del problema attuale. Le domande utili sono contestuali: è plausibile che questo abbonato si trovi in quel paese, considerando dove si trovava quaranta minuti fa? Il volume di richieste di questo partner corrisponde al suo accordo di roaming? Questa rivista globale ha improvvisamente iniziato a chiedere informazioni su abbonati di cui non aveva mai chiesto prima?

Tale analisi richiede uno stato: record di roaming, baseline storiche per ciascun peer e la capacità di correlare una query con ciò che la rete già conosce. Un filtro senza stato non può farlo, ed è questa la ragione pratica per cui i firewall di segnalazione non sono semplici liste di controllo degli accessi.

## Un firewall di segnalazione non è un firewall SMS

Questi due concetti vengono spesso confusi perché entrambi vengono chiamati firewall ed entrambi implicano la messaggistica. Operano su piani diversi e proteggono da minacce differenti.

|  | Firewall SMS | Firewall di segnalazione |
|---|---|---|
| Aereo | Traffico di applicazioni/messaggi | Segnalazione SS7 e Diameter |
| Vede | Contenuto del messaggio, ID mittente, instradamento, volume | Query di interconnessione e procedure di rete |
| Fermate | Percorsi grigi, spam, smishing, perdite A2P, perdita di entrate | Tracciamento della posizione, intercettazione di SMS, furto di dati degli abbonati |
| Struttura | dimensione di messaggistica GSMA FS.07 | categorie GSMA FS.11 / FS.07 |

Un operatore ha bisogno di entrambi. Il protocollo [SMS firewall](https://www.broadnet.me/operators/sms-firewall) protegge i ricavi derivanti dalla messaggistica e gli abbonati da contenuti offensivi; il protocollo [firewall di segnalazione](https://www.broadnet.me/operators/ss7-firewall) protegge gli abbonati dal livello di rete sottostante. Nessuno dei due sostituisce l'altro e un audit che ne rilevi la presenza non deve essere interpretato come indicativo della presenza dell'altro.

## Cosa comporta l'implementazione

1. Stabilisci un valore di riferimento per il traffico prima di bloccare qualsiasi cosa. Non è possibile distinguere tra traffico anomalo e traffico normale senza sapere qual è il traffico normale per ciascun partner di interconnessione.
2. Abilita prima il blocco di Categoria 1. È l'azione più affidabile e a minor rischio disponibile e non richiede correlazione.
3. Aggiungi la correlazione di categoria 2 rispetto allo stato di roaming, che è dove vengono intercettati la maggior parte dei tentativi di intercettazione.
4. Introduci le regole di velocità e plausibilità di Categoria 3 in modalità monitor, calibrale e poi applicale.
5. Coprire Diameter e la funzione di interconnessione, non solo SS7: un attacco che arriva su uno stack e viene tradotto nell'altro aggira un'implementazione a singolo stack.
6. Invia l'output a un luogo dove possa essere letto da un essere umano. Un firewall che blocca silenziosamente non ti dice nulla su chi ti sta spiando.

## Domande frequenti

### Che cos'è un firewall di segnalazione SS7?

Un elemento di rete al confine di segnalazione che ispeziona il traffico di interconnessione SS7 e Diameter e applica le categorie GSMA, bloccando i messaggi che non dovrebbero mai provenire dall'esterno della rete, correlando quelli legittimi solo quando un abbonato è effettivamente in roaming e applicando l'analisi della velocità ai restanti.

### In cosa si differenzia da un firewall SMS?

Difendono piani diversi. Un firewall SMS ispeziona il traffico di messaggistica alla ricerca di percorsi non ufficiali, spam e perdite di ricavi A2P. Un firewall di segnalazione ispeziona le procedure SS7 e Diameter sottostanti, proteggendo dal tracciamento della posizione, dall'intercettazione degli SMS e dalla divulgazione dei dati degli abbonati. Gli operatori hanno bisogno di entrambi.

### Cosa significano GSMA, FS.07 e FS.11?

I documenti di riferimento GSMA per la sicurezza dell'interconnessione. FS.11 copre le categorie di interconnessione SS7 e FS.07 copre la dimensione SMS e messaggistica. Il loro contributo centrale è il modello di categoria che separa il traffico non legittimo dal traffico legittimo solo in uno specifico contesto di roaming.

### Nel 2026, gli hacker saranno ancora in grado di tracciare la posizione su reti con prefisso SS7?

Laddove le reti non hanno implementato il filtraggio categorizzato, sì. Le query coinvolte sono normali procedure di roaming, quindi una rete che non le correla allo stato di roaming effettivo non può distinguere un attaccante da un partner. Questo è precisamente ciò che la gestione di Categoria 1 e Categoria 2 mira a impedire.

### Il problema di sicurezza Diameter risolve quello di SS7?

Non da solo. Diameter supporta la sicurezza del trasporto, ma le implementazioni inter-operatore spesso la omettono, ed esistono attacchi equivalenti con nomi di messaggio diversi. Le reti eseguono inoltre entrambi gli stack in parallelo durante la migrazione, quindi una funzione di interoperabilità può veicolare un attacco lato SS7 in un core Diameter.

### Un firewall di segnalazione è in grado di bloccare le frodi di scambio SIM?

No, lo scambio di SIM è un attacco di ingegneria sociale al processo di provisioning dell'operatore, non un attacco di segnalazione, quindi deve essere contrastato tramite i controlli di assistenza clienti e portabilità. Un firewall di segnalazione impedisce di ottenere un risultato tecnicamente simile in un altro modo: reindirizzare la consegna dei messaggi attraverso l'interconnessione anziché tramite una nuova SIM.

### Il blocco del traffico di segnalazione interromperà il roaming per i miei abbonati?

Non se viene implementato nell'ordine corretto. I messaggi di categoria 1 non hanno un caso di interconnessione legittimo, quindi bloccarli immediatamente è sicuro. Le regole di categoria 2 e 3 dovrebbero essere eseguite in modalità di monitoraggio rispetto a una baseline di traffico reale ed essere calibrate prima dell'applicazione, motivo per cui la definizione della baseline viene prima.

## Il punto chiave

Gli attacchi di segnalazione persistono perché il protocollo presuppone una fiducia che non esiste più e perché le query coinvolte sono indistinguibili dal roaming legittimo a meno che non vengano correlate a ciò che la rete già conosce. Le categorie GSMA rendono questo problema gestibile. Iniziate con la Categoria 1, correlate la Categoria 2 allo stato di roaming, stabilite una base di riferimento prima di imporre la Categoria 3 e coprite Diameter e la funzione di interoperabilità piuttosto che solo SS7.

Correlati: [firewall di segnalazione per operatori](https://www.broadnet.me/operators/ss7-firewall), [SMS firewall](https://www.broadnet.me/operators/sms-firewall) e [cos'è la frode SIM swap](https://www.broadnet.me/answers/what-is-sim-swap-fraud).