Correva l’anno 2008 quando il ricercatore Tobias Engel mise in guardia in merito ad alcune vulnerabilità nel protocollo SS7 che permettevano di geolocalizzare un dispositivo partendo dal mero numero di telefono. Da allora innumervoli inchieste si sono susseguite nel tempo, la tecnologia è progredita e le apparecchiature telefoniche si sono evolute ma ciononostante il problema è rimasto pressoché irrisolto. L’ormai prossima implementazione della direttiva in tema di cybersicurezza denominata Nis 2 prevista entro il 17 ottobre 2024 riuscirà a cambiare questo così preoccupante scenario?
Digitando su Google “tracciamento telefono” i primi risultati di ricerca (“sponsorizzazioni” di Google) sono tutti siti che offrono di geolocalizzare, talvolta persino in maniera gratuita, un telefono cellulare. Ma com’è possibile tutto ciò e soprattutto perché, se il problema è noto, nessuno si attiva per porvi rimedio?
Correva l’ormai lontano dicembre 2008 quando il ricercatore Tobias Engel durante il Chaos Communication Congress di Berlino, un evento annuale organizzato dal Chaos Computer Club che raduna hacker e informatici da tutto il mondo, localizzava la posizione di una persona del pubblico semplicemente chiedendogli di condividere il proprio numero di telefono.
La ricerca di Engel evidenziò in particolare le vulnerabilità del sistema di interconnessione tra gli operatori telefonici non tanto da un punto di vista informatico, quanto ancor prima dal punto di vista concettuale di design e di fiducia negli operatori che prendono parte al sistema.
I nostri cellulari, infatti, comunicano costantemente dettagli sulla loro posizione alle circostanti celle telefoniche ed è il motivo per cui, ad esempio, se ci spostiamo in un paese straniero, subito riceviamo un SMS con la comunicazione del cambio tariffario del gestore telefonico e dell’attivazione del cosiddetto roaming.
Il tracciamento della posizione permette nello specifico all’operatore nazionale di reindirizzare il traffico delle chiamate verso il differente Paese in cui ora si trova l’utente e, al contempo, consente all’operatore estero di tener conto dei costi del roaming nonché di garantire la corretta ricezione.
Tutto ciò avviene per mezzo dello Standard Signalling System 7 , un protocollo sviluppato sul finire degli anni ’80 per le reti telefoniche 2G e 3G che permette le comunicazioni tra i vari Global title, ovvero degli indirizzi univoci che servono per instradare chiamate, messaggi SMS e altri servizi su diverse reti in tutto il mondo.
L’introduzione del protocollo Diameter – che in larga parte conserva pregi e difetti del precedente protocollo SS7 – e il contestuale progresso tecnologico delle reti internet – in primis l’introduzione nel 2012 della rete 4G – non hanno risolto il problema. Permane ad oggi, sebbene si stia cercando gradualmente di dismettere le tecnologie più obsolete, la possibilità di scalare da una rete 4G o 5G a reti di livello inferiore per assicurare comunque la ricezione del segnale e di conseguenza il collegamento tra i moderni smartphone e i sistemi di rete precedenti.
Al contempo, il numero di soggetti che possono avere accesso ai Global title è negli anni aumentato a dismisura, come dimostra un’inchiesta pubblicata dal “The Daily Beast”. Fingendosi un cliente interessato all’acquisto di un Global title da parte di una società di telecomunicazioni europea, il Daily Beast ha scoperto come bastino poco più di 9 mila dollari per avere accesso alla rete globale.
Un vero e proprio business è così iniziato a proliferare. Come racconta il Washington Post, molte aziende di sorveglianza hanno pubblicizzato la possibilità di “localizzare qualsiasi numero di telefono nel mondo”.
[Anche] per arginare l’utilizzo illecito di questi sistemi di geolocalizzazione dei cellulari, l’Unione Europea è intervenuta adottando, nel 2018, il Codice europeo delle comunicazioni elettroniche. Il Codice impone, in particolare, agli operatori di adottare misure adeguate in tema di cybersecurity e segnalare al contempo eventuali incidenti alle autorità nazionali competenti.
Dal punto di vista “privato”, un importante tentativo di autoregolamentazione si è avuto nell’anno 2023 con l’adozione da parte della GSMA, ovvero la principale associazione di operatori telefonici, del Codice di condotta per l’affitto dell’accesso alla rete. Tale Codice propone di responsabilizzare legalmente chiunque conceda in affitto i propri Gt per gli utilizzi che ne farà il locatario, costringendo così il locatore ad effettuare le dovute verifiche e i dovuti controlli prima di permettere l’accesso alla rete globale.
L’ultimo importante intervento normativo sul tema si è avuto con la Direttiva UE 2022/2555, anche detta NIS 2 (Network and information security), che dovrà essere attuata entro il 17 ottobre 2024. Questa nuova normativa europea mira a consolidare le misure in materia di cybersicurezza già introdotte con la precedente direttiva NIS 1, recepita nel nostro ordinamento con il decreto legislativo 18 maggio 2018, n. 65 entrato in vigore dal 24 giugno 2018.
Con specifico riferimento al settore delle telecomunicazioni, resterà affidato all’Agenzia per la Cybersicurezza Nazionale (Acn), che già se ne occupa nell’ambito del Codice delle comunicazioni elettroniche, il compito di monitorare gli operatori telefonici.
Una sempre maggiore attenzione si sta diffondendo sul tema tanto che, in un rapporto sulla sicurezza e la resilienza delle infrastrutture di comunicazione del 21 febbraio 2024, pubblicato dagli Stati membri dell’Unione europea con il supporto della Commissione e dell’Enisa, si è evidenziato come uno scenario ad alto rischio proprio quello relativo a possibili attacchi che sfruttino le vulnerabilità del sistema SS7 per la geolocalizzazione di bersagli sensibili e/o per l’intercettazione delle telecomunicazioni.
In conclusione, sebbene la vulnerabilità nel protocollo SS7 scoperta da Tobias Engel nel 2008 sia rimasta per buona parte irrisolta, è al contempo aumentata l’attenzione del mondo intero sui potenziali rischi per la democrazia e la pace, che tale vulnerabilità può comportare ove illecitamente utilizzata per scopi criminali. Allo stato attuale, non rimane che attendere l’attuazione della direttiva NIS 2 nella speranza che le misure adottate dal legislatore nazionale nel decreto attuativo possano risultare efficaci e sufficienti ad arginare un così serio problema.
Osservatorio sullo Stato Digitale by Irpa is licensed under CC BY-NC-ND 4.0
