Уязвимости SIM-карт: как привычный чип превращается в инструмент для взлома устройств

Собственный инструментарий команды CATana показал, что при компрометации тот же кусок пластика с контактами становится каналом взлома — от рядового смартфона до зарядной станции и промышленного контроллера.

Как SIM становится оружием

Точка входа — штатная функция Proactive SIM, прописанная в спецификациях сотовой связи. Она позволяет модулю отправлять команды напрямую в модем устройства. В доверенной среде это удобный служебный канал; в недружественной — готовый API для атаки.

Через CATana прогнали 26 устройств разных производителей и операционных систем — 18 смартфонов и 8 модулей для интернета вещей, применяемых в зарядных станциях для электромобилей, промышленном оборудовании, подключённых автомобилях и роутерах. На практике вредоносная карта способна:

• принудительно сбросить соединение с 4G на устаревший 2G, где нормального шифрования толком нет;
• слать SMS и инициировать звонки без участия пользователя;
• отключать сотовую связь целиком;
• снимать конфиденциальные данные, включая уникальный идентификатор устройства;
• на части Android-аппаратов — открывать произвольный сайт на заблокированном экране.

Почему спецификации играют на руку атаке

Подвох не столько в самой уязвимости, сколько в том, что часть возможностей, которыми пользуется атака, формально вписана в действующие стандарты. Многие из этих функций проектировались под доверенные модули — и в реалиях, когда SIM может оказаться чужим инструментом, старый «прямой провод» работает уже против владельца.

Сценариев компрометации исследователи выделяют четыре: удалённая эксплуатация через SIM-приложение, физическая замена карты жертвы, аппаратный имплантат и атака на цепочку поставок на этапе производства и распространения модулей. Никакой магии — везде нужен доступ либо к самой карте, либо к её пути до устройства. Поэтому чужая SIM из метро в чужой лоток сама не прыгнет.

Кому реально грозит и что делать

Авторы уведомили GSMA, чипмейкеров и вендоров устройств; часть компаний уже выпускает обновления и усиливает настройки безопасности. Выявленные проблемы отслеживаются под номерами CVE-2025-48618, CVE-2026-57550 и CVD-2026-0122.

Обычному владельцу смартфона прямо сейчас — без паники. Достаточно не принимать SIM из непроверенных источников, не оставлять устройство без присмотра в доступных местах и держать систему в актуальном состоянии. Реальная зона риска — промышленные системы и IoT-узлы, где обычно ограничено количество открытых интерфейсов для внешнего доступа: там SIM-карта зачастую единственный канал наружу, а физический контроль над устройством куда слабее, чем у личного телефона в кармане.