Ataques SS7 y Diameter: cómo las fallas de señalización exponen tu teléfono

Tu teléfono puede ser rastreado, tus códigos de doble factor por SMS pueden ser interceptados y tu número puede ser suplantado, todo sin malware, sin un enlace de phishing y sin acceso físico al dispositivo. Estos ataques ocurren dentro de la red de telecomunicaciones, en los protocolos de control entre operadores conocidos como señalización, los descendientes automatizados de las antiguas centralitas telefónicas. La mayoría de los usuarios nunca los ve, y la mayoría de los operadores no puede detenerlos de forma fiable.

Los ataques de señalización no son nuevos. Recientemente, acapararon titulares cuando actores vinculados a Irán presuntamente explotaron tecnología de red obsoleta para localizar los teléfonos de personal estadounidense en Oriente Medio durante la guerra de Irán. Pero la vulnerabilidad existe desde hace décadas y se ha utilizado para delitos mucho más cotidianos, como la interceptación de códigos de un solo uso bancarios. Incluso YouTubers populares lo han demostrado: Veritasium interceptó llamadas y mensajes de un influencer tecnológico utilizando solo su número de teléfono.

Esto sigue ocurriendo

Delincuentes han explotado presuntamente protocolos de señalización en ataques contra cuentas bancarias e infraestructura global de telecomunicaciones.
Citizen Lab expuso dos campañas comerciales de vigilancia de larga duración que abusaban de SS7 y Diameter, con miles de ataques contra objetivos en docenas de países.
El teléfono del congresista Ted Lieu fue hackeado en televisión en vivo vía SS7 en 60 Minutes Australia.
Atacantes han interceptado códigos de un solo uso por SMS para vaciar cuentas bancarias de víctimas.

¿Qué es un ataque de señalización?

Cada llamada, mensaje y sesión de datos móviles requiere que tu operador verifique que eres un cliente de pago y enrute tu tráfico al destino correcto. Los operadores hacen esto con señalización: mensajes de fondo que identifican tu ubicación y reenvían el tráfico en consecuencia. La señalización ha sido el tejido conectivo entre proveedores globales durante décadas y es una de las superficies de ataque más descuidadas en la seguridad móvil.

Dos protocolos hacen la mayor parte del trabajo: SS7 (de los años 70, usado en 2G/3G) y Diameter (su sucesor, usado en 4G y la mayor parte de 5G). Ambos fueron diseñados cuando un pequeño número de grandes operadores podía conectarse al sistema, por lo que asumen que el tráfico que dice provenir de un operador legítimo realmente lo hace. SS7 esencialmente no tiene proceso para autenticar la máquina que realiza una solicitud. Diameter admite una autenticación más fuerte sobre el papel, pero los operadores no siempre despliegan protecciones básicas como el cifrado, y muchos recurren al mismo modelo de confianza de igual a igual.

Un atacante con acceso a la red troncal global de señalización, ya sea mediante un acuerdo de arrendamiento comercial o un operador comprometido, puede enviar mensajes que los operadores de todo el mundo consideran confiables.

Cómo funciona

La señalización permite a un atacante hacer preguntas a tu operador y hacer afirmaciones en tu nombre:

Recolectar tu IMSI. Conociendo tu número, un atacante puede solicitar tu Identidad Internacional de Abonado Móvil (IMSI) con la excusa de enrutar una llamada o SMS. Puede reutilizarse para ataques posteriores durante años.
Localizarte en tiempo real. Las consultas pueden devolver la torre de telefonía a la que te conectaste por última vez. Otras, normalmente reservadas para servicios de emergencia, pueden devolver las coordenadas reales que reporta tu teléfono.
Interceptar comunicaciones. El atacante afirma que has hecho roaming en otra red, por lo que tus llamadas y mensajes se redirigen hacia él. Combinado con un nombre de usuario y contraseña robados, esto entrega tu segundo factor por SMS al atacante en lugar de a ti.
Suplantarte o bloquearte. Con tu IMSI, un atacante puede realizar llamadas o enviar SMS como tú. Una falsa declaración de roaming también puede cortar el servicio a tu teléfono.
Interrumpir redes. Mensajes de señalización deliberadamente mal configurados pueden saturar los sistemas del proveedor.

Nada de esto toca tu dispositivo. Ocurre en transacciones automatizadas que no puedes ver y que no dejan rastro en tu teléfono.

Por qué los firewalls y las comprobaciones de velocidad no son suficientes

Los firewalls de señalización de los operadores bloquean de forma fiable los mensajes enviados o recibidos desde el lugar incorrecto. Para los mensajes correctamente enrutados, a menudo ejecutan una comprobación de velocidad para verificar si podrías haber viajado físicamente desde tu última ubicación conocida a la que ahora se afirma. Si estabas en Nueva York hace una hora y un operador turco dice que estás en su red, la solicitud se deniega.

El problema estructural es que los datos de ubicación del firewall suelen tener horas de antigüedad. En una investigación presentada en la conferencia Wireless Security de 2025, Cape, el operador móvil centrado en la privacidad, midió actualizaciones de Diameter desde una red visitada que llegaban con una frecuencia de solo cada dos a diez horas. Para los suscriptores en EE. UU. y Alemania, más de 250 redes distintas son accesibles dentro de una hora de tiempo de viaje. Un atacante con suficientes identidades de operador eventualmente encontrará una que parezca plausible.

El informe de Citizen Lab lo muestra en la práctica: el actor al que llama STA1 intentó repetidamente rastrear a un usuario rotando entre once identidades de operador en nueve países para parecer tráfico de roaming legítimo. También alternaron entre SS7 y Diameter, que la mayoría de los operadores defienden con firewalls separados y poca coordinación.

Considera un objetivo que aborda un vuelo de Nashville a Berlín y apaga su teléfono. Un mensaje que se hace pasar por China Mobile afirmando que está en roaming allí es rechazado, porque es físicamente imposible. Un mensaje de un operador en Nassau, Bahamas, cercano, parece plausible, y el operador local puede ser engañado para enrutar sus llamadas y SMS al atacante.

Protégete con un servicio celular privado

Cape es el operador móvil centrado en la privacidad de Estados Unidos que ofrece llamadas, mensajes y datos 4G/5G ilimitados, construido desde cero con la privacidad y la seguridad como núcleo. La mayoría de los operadores rastrean todo: adónde vas, a quién llamas, qué haces. Cape recopila la cantidad mínima de información necesaria para proporcionarte el servicio, elimina los metadatos de llamadas y mensajes después de 24 horas, rota tu identidad de red para evitar el rastreo, se defiende contra ataques basados en SIM y red, y más. La privacidad no debería costar más. Cambia hoy y obtén $29 de descuento de por vida.

Cómo Cape se defiende de los ataques de señalización

Cape es un operador móvil centrado en la privacidad cuyo enfoque es asumir que el sistema global de telecomunicaciones está comprometido y construir protecciones que mantengan las comunicaciones privadas de todos modos. Hay cuatro capas:

Rotación diaria de IMSI. Casi todos los ataques de señalización dirigidos comienzan con un IMSI, y una vez que un atacante tiene el tuyo, sigue siendo útil mientras lo conserves. Un informe de Citizen Lab lo confirma, con los mismos IMSI siendo atacados en operaciones separadas por meses y años. En la mayoría de los operadores, tu IMSI es permanente. Obtienes uno cuando activas tu SIM y lo conservas para siempre. En Cape, tu IMSI rota a diario. Las bases de datos de IMSI recolectados que los vendedores de vigilancia acumulan durante años ya no son útiles contra los suscriptores de Cape.
Sin SS7. Cape no admite SS7 en absoluto, y no hay respaldo SS7 en la red, por lo que los ataques basados en SS7 no tienen dónde aterrizar. Muchos operadores aún luchan por retirar la infraestructura SS7 heredada porque alguna parte de su red que genera ingresos depende de ella.
Bloqueo de red. En lugar de confiar en la idea de una red sobre dónde estás, Cape pregunta a tu dispositivo. Cuando una red extranjera solicita conectarse a tu teléfono, Network Lock consulta la aplicación Cape, que evalúa la afirmación localmente a nivel de país e informa si coincide. Si un atacante intenta conectar tu IMSI desde otro país mientras tu teléfono está en casa, la solicitud se deniega y se te notifica. Los sistemas de Cape solo aprenden si la afirmación coincide, no dónde estás realmente, y Cape nunca recopila ni almacena tu ubicación precisa.
Pruebas de penetración continuas. La mayoría de los firewalls de señalización son herramientas de cumplimiento ajustadas a las recomendaciones básicas de GSMA. Esas recomendaciones se distribuyen a más de 1.200 proveedores miembros, por lo que la misma guía está disponible para atacantes que pueden enviar mensajes de señalización. Cape contrata a firmas externas especializadas en técnicas actuales de explotación de señalización para probar su infraestructura, y luego endurece la red contra lo que encuentran, especialmente cualquier cosa que afecte la privacidad de los suscriptores.

A continuación se compara cómo otros operadores y Cape abordan diferentes ataques:

Rastreo de ubicación en tiempo real: Otros operadores: el teléfono se conecta siempre que obtiene servicio; las comprobaciones de velocidad pueden ser superadas por una suplantación plausible. Cape: Network Lock verifica las solicitudes de conexión contra tu dispositivo.
Recolección y reutilización de IMSI: Otros operadores: el IMSI es permanente y sigue siendo útil indefinidamente. Cape: la rotación diaria hace que los IMSI previamente recolectados sean inútiles.
Ataques basados en SS7: Otros operadores: los atacantes usan varios métodos para evadir los firewalls SS7. Cape: sin soporte SS7.
Ataques basados en Diameter: Otros operadores: los firewalls se basan en las líneas base de GSMA ampliamente publicadas. Cape: firewalls actualizados a partir de pruebas de penetración con técnicas actuales.

No puedes parchear la red troncal de telecomunicaciones, pero puedes elegir tu operador

Seguir todas las mejores prácticas, como usar mensajería cifrada, evitar el Wi-Fi público y habilitar la autenticación de dos factores, todavía deja tu dispositivo dependiendo de redes que nunca fueron construidas pensando en la seguridad. Para las personas que son objetivos, como periodistas, ejecutivos, personal de seguridad y cualquiera cuyas cuentas dependan de la verificación por SMS, el operador es parte del modelo de amenaza.

Cambia a un operador construido para la seguridad de señalización. Obtén más información sobre Cape →

Patrocinado y escrito por Cape.