segurança de sinalização tem um problema de imagem. Parece uma preocupação específica de engenheiros de redes centrais, e os ataques são descritos como exóticos. Mas não são. São baratos, bem documentados e ainda funcionam — e as consequências recaem sobre os assinantes na forma de rastreio de localização, interceção de palavras-passe de uso único e contas bancárias esvaziadas.
Este guia explica o que realmente acontece no plano de sinalização, o que a estrutura GSMA exige que os operadores façam a respeito e porque o firewall de SMS que você já possui não o abrange.
Porque SS7 é explorável?
O sistema SS7 foi projetado para um mundo com algumas centenas de operadoras estatais que se conheciam mutuamente. Não há autenticação entre as redes, pois o projeto não a exigia: se uma mensagem chegava à rede, ela vinha de um par, e os pares eram confiáveis por definição.
A desregulamentação, os hubs de roaming e a revenda transformaram algumas centenas de pares confiáveis em milhares de partes com acesso à sinalização, algumas das quais a revendem. O protocolo não mudou. Um atacante que obtém um título global — e eles podem ser alugados — pode enviar as mesmas consultas que um parceiro de roaming legítimo envia, e a rede recetora não tem como diferenciar criptograficamente.
Os ataques, em termos simples.
A maior parte dos danos no mundo real ocorre em três categorias, e nenhuma delas exige que o utilizador toque no dispositivo do assinante.
- Divulgação de localização. Uma consulta destinada ao roaming — perguntando qual central telefónica está a atender um assinante no momento — devolve um identificador de célula que corresponde a uma área física. Repita a consulta e você terá um histórico de movimentação. O assinante não vê nada.
- Interceção de SMS. Um atacante atualiza o registo da rede sobre a localização de um assinante, fazendo com que as mensagens sejam encaminhadas para o nó do atacante em vez do aparelho. Qualquer código de acesso único enviado por SMS durante esse período é entregue ao atacante. Esse é o mecanismo por trás de invasões de contas que aparentemente burlam a autenticação de dois fatores.
- Divulgação de dados de assinantes. Consultas elaboradas para interoperabilidade legítima devolvem identificadores e dados de perfil que podem ser usados para fraudes posteriores, incluindo os identificadores necessários para tornar plausível uma tentativa de interceção.
A interceção de SMS por meio de sinalização é o motivo pelo qual as palavras-passe de uso único enviadas por SMS funcionam mais como uma verificação de posse do que como um segundo fator robusto — o objeto verificado pode ser realocado sem a intervenção do assinante.
Diameter não resolveu o problema.
Diameter substituiu SS7 no LTE e gerações posteriores, e oferece suporte à segurança de transporte. Na prática, o Diameter interoperador é frequentemente implementado sem esse suporte, e os ataques análogos — localização, interceção, divulgação de dados — reaparecem com nomes de mensagens diferentes. As redes também executam ambas as pilhas lado a lado por anos durante a migração, e as funções de interoperabilidade traduzem entre elas, o que significa que um ataque do lado SS7 pode ser conduzido para um núcleo Diameter por meio de um gateway que confia no que está a traduzir.
Um firewall de sinalização que entende apenas um dos dois protocolos deixa o outro aberto, e a função de interoperabilidade permanece aberta junto com ele.
O que FS.07 e FS.11 pedem
A norma GSMA publica a estrutura de referência que a indústria segue. A FS.11 define as categorias de segurança de interconexão SS7; a FS.07 abrange SMS e a dimensão específica de mensagens. A categorização é o que torna o problema tratável, pois separa o tráfego que nunca é legítimo do tráfego que é legítimo apenas em determinado contexto.
| Categoria | O que abrange | Tratamento |
|---|---|---|
| Categoria 1 | Mensagens que nunca devem chegar de fora da rede doméstica. | Bloqueio na fronteira. Não existe caso legítimo de interconexão. |
| Categoria 2 | Mensagens legítimas somente de uma rede onde o assinante esteja efetivamente em roaming. | Correlacionar com o estado de roaming; rejeitar quando inconsistente. |
| Categoria 3 | Mensagens legítimas de um parceiro em roaming, mas passíveis de abuso em sequência ou volume. | Análise de taxa, velocidade e plausibilidade ao longo do tempo. |
A Categoria 1 é a vitória fácil e a que geralmente fica por fazer. A Categoria 3 é onde reside a engenharia, porque uma única mensagem pode ser totalmente válida, enquanto o padrão ao qual pertence é obviamente um ataque — a mesma consulta para mil assinantes numa hora, vinda de um parceiro com cinquenta utilizadores em roaming.
Porque as verificações de velocidade são mais importantes do que as assinaturas?
A correspondência de assinaturas deteta tipos de mensagens sabidamente maliciosos. Ela não deteta um tipo de mensagem legítimo usado de forma ilegítima, que é a maior parte do problema atual. As perguntas úteis são contextuais: este assinante está plausivelmente naquele país, considerando onde estava há quarenta minutos? O volume de consultas deste parceiro corresponde ao seu acordo de roaming? Este título global começou repentinamente a perguntar sobre assinantes sobre os quais nunca perguntou antes?
Essa análise precisa de estado — registos de roaming, linhas de base históricas por par e a capacidade de correlacionar uma consulta com o que a rede já sabe. Um filtro sem estado não consegue fazer isso, e essa é a razão prática pela qual firewalls de sinalização não são apenas listas de controlo de acesso.
Um firewall de sinalização não é um firewall de SMS.
Esses dois sistemas são frequentemente confundidos porque ambos são chamados de firewalls e ambos envolvem mensagens. Eles operam em níveis diferentes e defendem contra ameaças distintas.
| Firewall SMS | Firewall de sinalização | |
|---|---|---|
| Avião | Tráfego de aplicações/mensagens | Sinalização SS7 e Diameter |
| Vê | Conteúdo da mensagem, ID do remetente, encaminhamento, volume | Consultas de interconexão e procedimentos de rede |
| Paradas | Rotas cinzentas, spam, smishing, fuga de A2P, perda de receita | Rastreio de localização, interceção de SMS, roubo de dados de assinantes |
| Estrutura | Dimensão de mensagens GSMA FS.07 | Categorias GSMA FS.11 / FS.07 |
Uma operadora precisa de ambos. O SMS firewall protege a receita de mensagens e os assinantes contra conteúdo abusivo; o firewall de sinalização protege os assinantes da camada de rede subjacente. Nenhum substitui o outro, e uma auditoria que constate a presença de um deles não deve ser interpretada como garantia de que o outro também está implementado.
O que envolve o destacamento
- Estabeleça uma linha de base de tráfego antes de bloquear qualquer coisa. Você não pode separar o tráfego anómalo do normal sem saber o que é normal para cada parceiro de interconexão.
- Ative primeiro o bloqueio de Categoria 1. É a ação de maior confiança e menor risco disponível e não requer correlação.
- Adicione a correlação de Categoria 2 com o estado de roaming, que é onde a maioria das tentativas de interceção são detetadas.
- Introduza regras de velocidade e plausibilidade da Categoria 3 no modo de monitorização, ajuste e, em seguida, aplique.
- Cubra Diameter e a função de interoperabilidade, não apenas SS7 — um ataque que chega a uma pilha e é traduzido para a outra ignora uma implantação de pilha única.
- Envie a saída para algum lugar onde um humano a leia. Um firewall que bloqueia silenciosamente não lhe ensina nada sobre quem está a sondar o seu sistema.
Perguntas frequentes
O que é um firewall de sinalização SS7?
Um elemento de rede na borda de sinalização que inspeciona o tráfego de interconexão SS7 e Diameter e aplica as categorias GSMA — bloqueando mensagens que nunca deveriam chegar de fora da rede, correlacionando aquelas que são legítimas apenas quando um assinante está genuinamente em roaming e aplicando análise de velocidade ao restante.
Qual a diferença para um firewall SMS?
Eles protegem planos diferentes. Um firewall de SMS inspeciona o tráfego de mensagens em busca de rotas cinzentas, spam e fuga de receita A2P. Um firewall de sinalização inspeciona os procedimentos SS7 e Diameter subjacentes, protegendo contra rastreio de localização, interceção de SMS e divulgação de dados do assinante. As operadoras precisam de ambos.
O que são GSMA, FS.07 e FS.11?
Os documentos de referência GSMA para segurança de interconexão. O FS.11 abrange as categorias de interconexão SS7 e o FS.07 abrange a dimensão de SMS e mensagens. A sua principal contribuição é o modelo de categorias que separa o tráfego nunca legítimo do tráfego legítimo apenas num contexto de roaming específico.
Os atacantes ainda poderão rastrear a localização em SS7 em 2026?
Sim, em redes que não implementaram filtragem categorizada. As consultas envolvidas são procedimentos comuns de roaming, portanto, uma rede que não as correlaciona com o estado real de roaming não consegue distinguir um atacante de um parceiro. É exatamente para isso que servem os mecanismos de tratamento de Categoria 1 e Categoria 2.
O Diameter resolve o problema de segurança SS7?
Não por si só. O Diameter suporta segurança de transporte, mas implantações entre operadoras frequentemente o omitem, e ataques equivalentes existem com nomes de mensagens diferentes. As redes também executam ambas as pilhas em paralelo durante a migração, portanto, uma função de interoperabilidade pode transportar um ataque do lado SS7 para um núcleo Diameter.
Um firewall de sinalização impede fraudes de troca de SIM?
Não — a troca de SIM é um ataque de engenharia social ao próprio processo de aprovisionamento da operadora, não um ataque de sinalização, portanto, precisa ser combatida nos controlos de atendimento ao cliente e portabilidade. Um firewall de sinalização impede o resultado tecnicamente semelhante, obtido de maneira diferente: redirecionando a entrega de mensagens por meio de interconexão, em vez de por meio de um novo SIM.
Bloquear o tráfego de sinalização interromperá o roaming para os meus assinantes?
Não, desde que seja implementada na ordem correta. As mensagens de Categoria 1 não possuem justificativa legítima para interconexão, portanto, bloqueá-las imediatamente é seguro. As regras de Categoria 2 e 3 devem ser executadas em modo de monitorização, comparando-as com uma linha de base de tráfego real, e ajustadas antes da aplicação. É por isso que a definição da linha de base vem primeiro.
A conclusão
Os ataques de sinalização persistem porque o protocolo pressupõe uma confiança que já não existe e porque as consultas envolvidas são indistinguíveis do roaming legítimo, a menos que sejam correlacionadas com o que a rede já sabe. As categorias GSMA tornam isso viável. Comece com a Categoria 1, correlacione a Categoria 2 com o estado do roaming, estabeleça uma linha de base antes de impor a Categoria 3 e abranja Diameter e a função de interoperabilidade, em vez de apenas SS7.
Relacionado: firewall de sinalização para operadores, SMS firewall e o que é a fraude de SIM swap.