Hackers kunnen beschermde persoonlijke berichten in WhatsApp en Telegram meelezen, telefoongesprekken afluisteren en de locatie van iedere mobiele telefoongebruiker bepalen. Daarvoor hebben ze alleen het telefoonnummer van hun slachtoffers nodig. Het woord hacker kun je dus net zo goed vervangen door politie of overheid, afhankelijk van de mate van je paranoia.
Dit is mede mogelijk dankzij een zwakke plek in het zogenaamde Signalling System No. 7 – afgekort SS7 – dat verschillende mobiele netwerken wereldwijd met elkaar verbindt.
Videos by VICE
Het bestaan van deze zwakke plek was al eerder bekend – de Duitse hacker Karsten Nohl ontdekte het gat in het systeem al in 2014 en demonstreerde dit destijds al meerdere malen in de Verenigde Staten, Groot-Brittannië en Duitsland op Tech-conferenties en live op televisie. Toch blijven onze mobieltjes tot op de dag van vandaag kwetsbaar en blijkt het moeilijker dan gedacht om het probleem met SS7 te fixen.
Het grootste gevaar voor de normale gebruiker is waarschijnlijk de kans dat verificatiecodes worden onderschept. Berichtenapps gebruiken die verificatiecodes om accounts van gebruikers te beschermen.
In deze twee video’s laten hackers zien hoe makkelijk dit systeem kan worden opgeheven dankzij de zwakke plek van SS7 en zo een inbreker je persoonlijke berichten op WhatsApp en Telegram kan volgen.
Het mobiele netwerk wordt daarbij zo misleid dat hij gelooft dat de inbreker en het slachtoffer hetzelfde telefoonnummer hebben. Door het telefoonnummer van het slachtoffer in te voeren in een gebruikersinterface, kan het bijbehorende IMSI-nummer worden gelezen. Daarna kan de inbreker de verificatiecode ontvangen per SMS die je voor toegang tot je WhatsApp of Telegram account moet invoeren. Zo heeft hij volledige toegang tot het account.
Deze inbraak wordt beschouwd als een zogenaamde man-in-the-middle aanval. De encryptie van berichten van gebruiker naar gebruiker of de app zelf worden namelijk niet beïnvloedt.
Zolang er niks verandert in de standaarden van wereldwijde mobiele netwerken, zal dit probleem blijven bestaan. We willen natuurlijk geen paniek zaaien, maar het zou fijn zijn als bijvoorbeeld iemand van de branchevereniging voor mobiele netwerk operators zich wat meer zou inzetten om de zwakke plek die twee jaar geleden werd ontdekt te fixen.
