В атаках на сотовых операторов по всему миру заподозрили китайских хакеров. Их целью могли стать минимум 13 компаний

Что произошло

С 2019 года как минимум 13 мобильных операторов из разных стран подверглись атакам китайских хакеров из группы LightBasin. Такие данные приводит американская компания CrowdStrike, работающая в сфере информационной безопасности.

• Им удалось получить личную информацию об абонентах, хранящуюся в телефонных компаниях, и метаданные о входящих и исходящих вызовах.
• Группа LightBasin спонсируется китайским правительством, утверждают эксперты CrowdStrike. Хакеры собирают информацию, «которая может представлять значительный интерес для разведывательных организаций».
• Специалистам удалось установить причастность взломщиков из КНР, раскрыв пароли, используемые LightBasin, в которых, как оказалось, использовалась система пиньинь — латинизированная запись китайских иероглифов.

Тенденция

Китайских хакеров все чаще обвиняют в атаках на различные объекты, в том числе в России.

• В 2018 году хакеры взломали не менее 10 телекоммуникационных компаний, получив данные о счетах, звонках, геолокации, а также пароли. По данным американо-израильской компании Cybereason Inc., специализирующейся на кибербезопасности, целью операции Operation Soft Cell был сбор информации об отдельных правительственных чиновниках, политиках или сотрудниках правоохранительных органов.
• Корпорация Microsoft обвинила китайских хакеров из группировки Hafnium в атаках на американские компании, работающие в разных сферах промышленности, юридические фирмы, высшие учебные заведения и неправительственные организации через уязвимость почтового сервиса Exchange Server.
• Пострадать от действий взломщиков могли более 20 тыс. организаций на территории США и еще десятки тысяч по всему миру.
• В 2020 году фирма FireEye, работающая в сфере кибербезопасности, заявила, что связанные с китайским правительством хакеры месяцами пользовалась уязвимостью в VPN-сервисе от Pulse Secure, чтобы взламывать правительственные учреждения, оборонные предприятия и финансовые институты в Европе и США.
• Китайская хакерская группировка ThunderCats могла иметь отношение к атакам на российские ведомства в 2020 году. Эти сведения содержатся в докладе американской ИТ-компании Sentinel Labs. Вывод основан на  анализе используемого хакерами вредоносного программного обеспечения Mail-O. Специалисты считают его вариантом программы, используемой группировкой TA428, в которую входит ThunderCats.

Контекст

За последние годы происходили и крупные утечки данных сотовых операторов.

• В августе 2021 года второй по числу абонентов американский оператор связи T-Mobile US Inc., принадлежащий немецкой компании Deutsche Telekom AG, подтвердил факт кражи личных данных 49 млн клиентов.
• Взломщики получили доступ к именам, номерам страховок и водительских удостоверений, а также узнали даты рождения клиентов.
• В начале октября телекоммуникационная компания Syniverse, обслуживающая около 300 мобильных операторов, сообщила, что на протяжении нескольких лет неизвестные имели несанкционированный доступ к ее базе данных.
• Хакеры могли получить доступ к данным о звонках, включая местонахождение участников разговора, а также содержание текстовых СМС-сообщений, рассказал бывший сотрудник компании.

Почему это важно

Информация, полученная взломщиками от мобильных операторов, может быть использована как в целях шпионажа, так и для мошенничества.

• В мае 2021 года эксперты заявили о возможной массированной атаке на счета россиян. Предполагалось, что хакеры воспользуются уязвимостью мобильной связи, которая позволит перехватить СМС для авторизации в банковских приложениях. Компании, специализирующиеся на кибербезопасности, сообщили, что в даркнете был продан доступ к коммутатору одного из сотовых операторов. Пострадать могли все абоненты, провайдеры которых заключили договор о сотрудничестве (роуминге) с этим оператором.
• Получив доступ к сетям мобильных операторов, как это было в случае с Operation Soft Cell, хакеры могут не только скачать гигабайты данных об абонентах, но и отключить связь. 
• «У них есть все логины и пароли. Они могут делать все, что захотят. С их уровнем доступа завтра они могут обрушить сеть, если пожелают», — заявил Амит Серпер, глава отдела исследований безопасности Cybereason.
• Некоторые преступники также пользуются данными мобильных операторов, которые продают сами сотрудники компаний. Их часто покупают телефонные мошенники для кражи денег с банковских карт жертв.