# Ameaças de segurança SS7 e as categorias GSMA FS.11

> O SS7 foi desenhado para um clube de operadores de confiança, pelo que não tem autenticação ao nível da mensagem — um nó estrangeiro pode consultar ou forjar operações MAP para rastrear localização, intercetar SMS e OTPs, ou redirecionar chamadas. A GSMA FS.11 define uma defesa: classificar as mensagens MAP de entrada em categorias 1, 2 e 3 e filtrar cada uma na fronteira da rede.

- URL canônico: https://www.broadnet.me/pt/reference/ss7-security-threats-fs11
- Idioma: pt
- Última atualização: 2026-07-18
- Editor: BroadNet (https://www.broadnet.me)

As principais classes de ataque SS7 — rastreio de localização, interceção de SMS/OTP, redirecionamento de chamadas e fraude — e como a GSMA FS.11 categoriza as mensagens MAP (categorias 1/2/3) para que as signalling firewalls as possam filtrar.

## Porque o SS7 é explorável

O SS7 assume que cada par de sinalização é um operador de confiança, pelo que as operações MAP não transportam autenticação criptográfica da sua origem. À medida que a interligação se abriu e o acesso se tornou amplamente disponível, um atacante com conectividade SS7 podia enviar consultas e atualizações MAP que uma rede responderia ou sobre as quais atuaria como se viessem de um parceiro legítimo. O resultado é uma classe de ataques que não precisa de acesso ao terminal alvo — apenas da capacidade de enviar mensagens SS7 em direção à rede da vítima.

## As principais classes de ataque

O abuso do SS7 divide-se em algumas categorias reconhecidas. O rastreio de localização usa operações de interrogação para resolver um subscritor a uma célula ou área. A interceção explora os procedimentos de encaminhamento e mobilidade para desviar SMS ou chamadas para o atacante. A fraude e a negação de serviço manipulam o estado ou o barramento do subscritor. Como os códigos de uso único são comummente enviados por SMS, a interceção de SMS mina diretamente a autenticação de dois fatores baseada em SMS.

*Classes de ataque SS7 e operações MAP típicas abusadas*

| Ataque | Operações exploradas | Efeito |
|---|---|---|
| Rastreio de localização | anyTimeInterrogation, provideSubscriberInfo, sendRoutingInfoForSM | Resolver o assinante para célula/área |
| Interceção SMS / OTP | updateLocation (falsificado), redirecionamento mt-ForwardSM | Desviar MT-SMS para o nó do atacante |
| Interceção/redirecionamento de chamadas | updateLocation, provideRoamingNumber, insertSubscriberData | Redirecionar ou monitorizar chamadas |
| Fraude / DoS | cancelLocation, purgeMS, updateLocation | Cancelar o registo do assinante, negar o serviço |
| Roubo de credenciais | sendAuthenticationInfo | Recolha de vetores de autenticação |

## As categorias GSMA FS.11

A GSMA FS.11 (SS7 Interconnect Security Monitoring and Firewall Guidelines) classifica as mensagens MAP de entrada por onde podem legitimamente originar-se, dando aos operadores um livro de regras de filtragem. As mensagens de Categoria 1 nunca deviam ser recebidas numa interligação de outro operador — pertencem ao interior de uma única rede — pelo que são bloqueadas de imediato na fronteira. As mensagens de Categoria 2 só deviam vir da rede de origem do subscritor, pelo que são bloqueadas quando a origem não é a rede de origem. As mensagens de Categoria 3 podem legitimamente chegar de uma rede onde o subscritor está em roaming, pelo que não podem ser bloqueadas apenas pela origem e exigem verificações de plausibilidade e velocidade.

*Categorias de mensagem da GSMA FS.11*

| Categoria | Origem legítima | Ação do firewall | Exemplos |
|---|---|---|---|
| 1 | Somente dentro da própria rede da operadora | Bloqueio na interconexão de entrada | anyTimeInterrogation, sendIMSI, provideSubscriberInfo (entrante) |
| 2 | Somente da rede de origem (home) do assinante | Bloquear se a origem ≠ rede de origem (home) | cancelLocation, insertSubscriberData, deleteSubscriberData |
| 3 | De uma rede visitada onde o assinante realiza roaming | Verificações de plausibilidade e velocidade | updateLocation, sendRoutingInfoForSM, provideRoamingNumber |

## Regras de firewall que implementam a FS.11

Uma signalling firewall aplica a FS.11 em camadas. Na camada SCCP filtra o global title do Calling Party face a listas de permissão/negação e verifica a consistência de GT vs point code. Na camada MAP inspeciona o código de operação e aplica a regra de categoria. Para a categoria 3 acrescenta verificações com estado: uma verificação de velocidade assinala um subscritor que aparenta mover-se entre países distantes mais depressa do que é fisicamente possível, e verificações de consistência comparam a rede servidora alegada com a localização conhecida no HLR. O tráfego de Categoria 1 é simplesmente descartado e registado.

*Lógica ilustrativa de firewall FS.11*

```text
on inbound MAP message from interconnect peer P:
  if opcode in CATEGORY_1:        drop + alert   # never valid across interconnect
  if opcode in CATEGORY_2:
        if P != subscriber.homeNetwork: drop + alert
  if opcode in CATEGORY_3:        # e.g. updateLocation, SRI-SM
        if velocityImplausible(subscriber, P): drop + alert
        if !consistentWithHLR(subscriber, P):  drop + alert
  else: allow + log
```

## Defesa em camadas

Nenhum controlo isolado é suficiente. A filtragem FS.11 é complementada pela orientação FS.19 equivalente a Diameter para LTE e por controlos de SMS-firewall (GSMA IR.70/interoperação de SMS) contra spam e rotas cinzentas. Os operadores emparelham uma signalling firewall com monitorização contínua, para que padrões inéditos que passam pelas regras estáticas ainda surjam como anomalias. A mitigação estratégica para a interceção de SMS especificamente é reduzir a dependência de OTPs por SMS, mas para as redes que os têm de transportar, a filtragem de fronteira continua a ser a defesa primária.

## Perguntas frequentes

### Porque é que o SS7 é inseguro?

O SS7 foi construído para um conjunto pequeno e de confiança de operadores e nunca acrescentou autenticação da origem das mensagens. Assim que o acesso à interligação se tornou amplamente disponível, um atacante capaz de enviar mensagens SS7 podia fazer-se passar por uma rede legítima e ter consultas MAP respondidas ou executadas — sem necessidade de acesso ao terminal alvo.

### Quais são as categorias GSMA FS.11?

A FS.11 ordena as mensagens MAP de entrada por origem legítima. A Categoria 1 nunca deve atravessar uma interligação e é bloqueada. A Categoria 2 só deve vir da rede de origem do subscritor e é bloqueada caso contrário. A Categoria 3 pode chegar de uma rede visitada, pelo que precisa de verificações de plausibilidade e velocidade em vez de um bloqueio total.

### Como é que uma firewall SS7 impede a interceção de SMS?

Filtra as operações SendRoutingInfoForSM e UpdateLocation que os atacantes usam para redirecionar o MT-SMS. Verifica a origem face à relação origem/visitada, aplica verificações de velocidade para que um subscritor não possa aparecer em dois países distantes ao mesmo tempo, e descarta tráfego implausível ou de categoria 1.

### O que é uma verificação de velocidade?

Uma verificação de velocidade (ou plausibilidade) compara a localização recém-alegada de um subscritor com a sua última localização conhecida e o tempo entre elas. Se a viagem implícita é fisicamente impossível — por exemplo atualizações de roaming de dois continentes com segundos de intervalo — a mensagem é tratada como forjada e bloqueada.

### Uma firewall SS7 substitui o abandono dos OTPs por SMS?

Não — reduz a exposição mas não a elimina. A filtragem de fronteira é a defesa primária para redes que têm de transportar OTPs por SMS, mas a mitigação mais forte contra a interceção é reduzir a dependência de códigos de uso único por SMS onde exista um fator mais forte disponível.

## Fontes

- [GSMA FS.11 — SS7 Interconnect Security Monitoring & Firewall Guidelines](https://www.gsma.com/security/resources/fs-11-ss7-interconnect-security-monitoring-and-firewall-guidelines/)
- [GSMA IR.82 — SS7 Security Network Implementation Guidelines](https://www.gsma.com/)

## Relacionados

- [Referência de operações MAP](https://www.broadnet.me/pt/reference/map-operations)
- [Fluxo de entrega MT-SMS SS7](https://www.broadnet.me/pt/reference/ss7-mt-sms-delivery-flow)
- [Segurança de sinalização SS7](https://www.broadnet.me/pt/answers/ss7-signaling-security)
- [Firewall SS7 (operadoras)](https://www.broadnet.me/pt/operators/ss7-firewall)
- [Plataforma de sinalização e CDR](https://www.broadnet.me/pt/platforms/signaling-cdr)