Vulnerabilità di sicurezza: le reti mobili hanno trasmesso codici identificativi dei dispositivi senza protezione

Negli standard RFC 7255 e nelle prescrizioni dell'associazione di categoria GSMA, i gestori di telefonia mobile e i produttori di dispositivi sono invitati da anni ad anonimizzare l'IMEI prima della trasmissione. L'inchiesta suggerisce che nelle reti esaminate questa protezione non sia stata attuata in modo sistematico. Nei documenti GSMA, indirizzati ai gestori di telefonia mobile, si legge testualmente: "Da die IMEI das Mobilgerät identifiziert, könnte sie potenziell dazu genutzt werden, Nutzer zu identifizieren und zu verfolgen, und zwar zum Zweck der Überwachung und der Auswertung von Anrufdaten, sofern sie unverschlüsselt übermittelt wird."

Gli operatori coinvolti

Sulla base delle informazioni disponibili, sono interessati grandi operatori tedeschi. Vengono citati Deutsche Telekom, Vodafone e Telefónica, che in Germania opera con il marchio O2. Per quanto tempo la vulnerabilità sia rimasta attiva e quali flussi di dati fossero concretamente accessibili è oggetto del servizio giornalistico in corso.

Conseguenze per le autorità di sicurezza

La vulnerabilità solleva interrogativi per il lavoro delle autorità di polizia e di sicurezza. Anche il Servizio di informazione costituzionale (Verfassungsschutz) utilizza, per le indagini sui dati di movimento, informazioni sulle telecomunicazioni; una conferma diretta che la falla sia stata sfruttata a fini di intelligence non emerge dalle inchieste pubblicate.

Il deputato al Bundestag della CDU Roderich Kiesewetter, che lavora nelle commissioni parlamentari sulla sicurezza, giudica la rivelazione grave. Vi scorge un problema strutturale del settore: gli operatori non avrebbero applicato con coerenza le prescrizioni, sebbene i rischi fossero noti. Kiesewetter chiede un rapido chiarimento su quali dati siano effettivamente stati esposti e su chi abbia avuto accesso.

Cosa possono fare le utenti e gli utenti

Le autorità per la protezione dei dati e la Bundesnetzagentur stanno verificando quali misure regolatorie siano necessarie. Resta aperto se le attuali prescrizioni siano sufficienti o se i singoli operatori abbiano violato le leggi sulla protezione dei dati e sulle telecomunicazioni. Secondo gli osservatori, è ipotizzabile anche un esame parlamentare della questione al Bundestag.

Per le consumatrici e i consumatori la vulnerabilità è rilevante soprattutto quando cambiano spesso dispositivo o utilizzano SIM in paesi diversi. Proprio in questi casi, infatti, l'identificazione tramite numero di telefono perde il proprio effetto protettivo, mentre l'IMEI resta un identificativo legato al dispositivo. L'inchiesta non contiene al momento indicazioni concrete che singole persone siano state spiete in modo mirato.

I gestori, nelle prime reazioni, rimandano alle verifiche tecniche in corso e alle misure di crittografia esistenti nelle aree centrali della rete. Le cause precise dell'insufficiente anonimizzazione dell'IMEI non sono ancora chiare. È chiaro, invece, che la GSMA aveva segnalato i rischi al settore già anni fa, senza che ciò abbia finora portato a una soluzione diffusa.

Nel complesso il caso mostra quanto le reti mobili dipendano dalla fiducia in misure di protezione standardizzate. Quando le predisposizioni tecniche sono sì specificate, ma non implementate con coerenza, si creano falle che possono rimanere a lungo invisibili agli estranei. È probabile, quindi, che la revisione della questione vada oltre la singola vulnerabilità di sicurezza e riguardi anche il modo in cui la vigilanza e l'autoregolamentazione del settore possano essere controllate in modo più efficace in futuro.

Parallelamente all'analisi tecnica si pongono domande politiche: quali autorità erano al corrente della vulnerabilità e da quando, e perché non è stata risolta prima? Una posizione del governo federale non era disponibile al momento della chiusura editoriale.

Gli esperti sottolineano che l'attuale pubblicazione offre anche un'opportunità per le utenti e gli utenti: chi è informato può adeguare il proprio uso dei dispositivi e prestare attenzione agli aggiornamenti software più recenti. Si raccomanda di mantenere sempre aggiornato il telefono cellulare e, in caso di sospetta attività di rete insolita, di contattare il proprio operatore.