カナダのデジタル権利擁護に関する研究機関「シチズン・ラボ」は、世界の通信インフラの脆弱性を悪用し、携帯電話の位置情報を追跡する2つの監視活動を確認したと発表しました。監視技術を提供する業者が、通信事業者になりすましてネットワークに侵入していたということです。
同機関が発表した報告書によりますと、名前が伏せられた監視業者は、正規の通信事業者を装う架空の企業として活動していました。この業者は、世界の携帯電話網を支える技術の既知の欠陥を悪用し、標的となる人物の位置情報を取得していたとしています。
悪用された技術の1つは、「SS7」と呼ばれる古い通信規格です。SS7は認証や暗号化の仕組みを持たないため、長年にわたり政府や監視技術メーカーによって位置情報の特定に悪用される危険性が指摘されていました。
また、新しい通信規格である「Diameter」においても、通信事業者が十分なセキュリティー対策を講じていない場合があり、引き続き悪用が可能になっているということです。
報告書によりますと、これら2つの監視活動は共通して、特定の3つの通信事業者のネットワークを監視の入り口や中継点として悪用していました。具体的には、イスラエルの「019Mobile」、イギリスの「Tango Networks」、そして英仏海峡のチャンネル諸島を拠点とする「Airtel Jersey」の3社です。
Airtel Jerseyの親会社である通信会社「Sure」の最高経営責任者（CEO）は、「個人の位置追跡や通信内容の傍受を目的とする組織に対し、意図的にアクセスを貸し出すことはない」と述べています。また、不適切な通信を監視し遮断する対策を講じていると強調しました。
一方、019Mobileの担当者はシチズン・ラボに対し、「指摘された通信設備が自社のものであるか確認できない」と回答しています。
シチズン・ラボによりますと、1つ目の監視活動は数年間にわたり世界中のさまざまな標的を対象に行われました。豊富な資金を背景に、SS7の脆弱性を悪用し、失敗した場合はDiameterを悪用する手法がとられていたということです。調査に携わった研究者は、イスラエルを拠点とする位置情報ビジネスの事業者が関与している可能性を指摘しています。
2つ目の監視活動では、「SIMjacker」と呼ばれる手法が使われました。特定の標的に対し、利用者には見えない特殊なショートメッセージ（SMS）を送信することで、携帯電話を位置情報追跡の機器として機能させていたとしています。
調査を行った研究者のゲイリー・ミラー氏は、「世界中で起きている数百万件の攻撃のうち、今回焦点を当てたのはわずか2件に過ぎない」と述べ、こうした監視活動は氷山の一角であると警鐘を鳴らしています。