Bespioneren kan legaal via gsm-netwerk

Twee onderzoekers hebben een manier gevonden om mensen te traceren en bespioneren via het gsm-netwerk. De methode zou zelfs niet eens illegaal zijn.

De mogelijkheid is ontdekt door Nick DePetrillo en Don Bailey. Zij deden woensdag hun verhaal op de beveiligingsconferentie Boston Source.

Om te spioneren moet het nummer van het slachtoffer worden opgezocht in een speciale database, waar operatoren namen aan nummers koppelen.

Met behulp van openbronsoftware van PBX kon DePetrillo het uitgaande beller-ID spoofen als het nummer van zijn slachtoffer. Hij belde naar zichzelf, waardoor het systeem de namen moest opzoeken in de database.

De onderzoekers hebben vervolgens software gemaakt waarmee de nummers en namen aan elkaar worden gelinkt. Zo kunnen ze binnen een aantal weken elke mobiele beller in de VS identificeren. De praktijk zou zelfs niet illegaal zijn of gebruiksovereenkomsten schenden.

Traceren
Een ander deel van hun onderzoek is de locatie van een beller achterhalen. Dat gebeurt via het Home Location Register, dat bijhoudt waar een telefoonnummer zich bevindt. Zo kunnen verschillende netwerken telefoongesprekken aan elkaar doorgeven.

Hier hebben de onderzoekers gewoon toegang gekregen tot het register. In principe mogen alleen telecombedrijven hier gebruik van maken, maar kleine Europese operatoren zouden tegen betaling toegang geven, onder meer voor marketingdoeleinden.

Op die manier kunnen DePetrillo en Bailey nagaan wie zich waar bevindt en hoe hun ‘doelwitten’ bewegen.

Bailey heeft contact opgenomen met een aantal telecomoperatoren over dit probleem, maar zij zeggen dat ze weinig kunnen doen. Er is immers een zekere interoperabiliteit en openheid nodig om wereldwijd gesprekken door te kunnen geven in verschillende landen.

Voicemail
De onderzoekers zeggen verder nog dat ze voicemails kunnen beluisteren en via het Home Location System kunnen nagaan wie naar iemand heeft gebeld. Zo kun je vrij snel een netwerk in kaart brengen van groepen mensen die vaak met elkaar communiceren, inclusief hun locatie op dat moment.

Gevaarlijk voor bedrijven
Volgend DePetrillo lopen vooral bedrijven gevaar om het slachtoffer van deze techniek te worden. Zo kan de topman van een bedrijf in principe getraceerd worden, net zoals de telefoontjes die hij pleegt. Zeker beursgenoteerde bedrijven en banken waarvoor bepaalde informatie cruciaal kan zijn lopen daarom risico.