SilentAir、モバイルネットワーク内部から通話とSMSを傍受

通信ソフトウェア・サイバーセキュリティ企業のEneaは、侵害した携帯電話事業者のインフラを通じて通話やテキストメッセージを傍受する、これまで知られていなかった攻撃グループの活動について詳細を明らかにしました。主な標的は台湾です。

Eneaはこのグループを「SilentAir」として追跡しています。同社は、国家レベルの新たな攻撃グループであると高い確度で評価しています。

また、Eneaの研究者は確度は低いものの、SilentAirの活動は中国と関係のある作戦と一致するとみています。根拠として、攻撃者が台湾に関心を示していること、中国の標的が確認されていないこと、攻撃の時間帯が中国のタイムゾーンの勤務時間と整合していることを挙げています。

SilentAirは、主にSS7、場合によってはDiameterを使ってシグナリング攻撃を仕掛けます。攻撃の拠点は、携帯電話事業者のネットワーク上で乗っ取ったノードです。標的宛ての着信通話とSMSメッセージを、侵害したノード経由に振り向けるとともに、加入者の情報を収集します。

標的の位置情報も追跡できますが、活動全体に占める割合はわずかです。一方、受信者の端末に表示されないサイレントSMSも送信しています。これは、先に仕掛けた傍受が成功したかどうかを確認する目的とみられます。

Eneaは2025年初めからこの攻撃を監視してきました。さらに調査を進めたところ、それ以前にも不審な活動があったことが判明しています。

乗っ取られたノードは、少なくともアジア6カ国の事業者に属しています。このグループは台湾のほか、十数の国と地域を標的にしており、東アフリカ、中央アジア、中東、欧州の人物を狙うこともありました。標的には、政界や政府の要人も含まれています。 

報告書は、Liminal Pandaの2026年の活動も取り上げています。CrowdStrikeは、確度は低いものの、このグループを中国と関係のある作戦と関連付けています。Eneaによると、携帯電話事業者がトラフィックの交換に使う相互接続ネットワーク「IPX」を積極的に悪用していることが確認されている攻撃グループは、Liminal Pandaだけです。

Eneaは2026年第1四半期以降、複数の携帯電話事業者の顧客環境で、Liminal PandaのバックドアGTPDoorを検知し、ブロックしました。コマンド&コントロール（C2）サーバーへ秘密裏に接続しようとする試みは、合計で数百件に上ります。

Eneaは、5〜10社の事業者で感染の可能性を確認したとしています。特にアジア、アフリカ、中南米を中心に、感染事業者の総数は数十社に達する可能性があるとの見方です。

Eneaによると、SilentAirとLiminal Pandaには関連がある可能性があります。ただし、両者を結び付けられるほど十分な証拠はありません。