Veille menaces / Campagne
SilentAir : des opérateurs mobiles piratés servent à détourner des SMS et à capter des codes de double authentification, Taïwan en cible principale
L'entreprise de sécurité télécom Enea indique qu'un nouvel acteur qu'elle nomme SilentAir envoie des attaques de signalisation SS7 et Diameter depuis des équipements compromis chez des opérateurs mobiles d'au moins six pays d'Asie, qu'elle ne nomme pas. Ces attaques détournent les appels et SMS d'abonnés choisis vers le matériel des attaquants ; Taïwan est la cible principale, parmi une douzaine d'autres pays et territoires. Enea a vu des codes de double authentification interceptés pour certaines cibles. Elle estime avec un niveau de confiance élevé que SilentAir est un acteur étatique, et avec un niveau de confiance faible que son activité correspond à des opérations liées à la Chine.
- Secteur
- Tech et SaaS
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- Aucun nommé
- abonnés visés lors des plus grosses vagues, sur un mois[2]
- Plusieurs milliers
- Comment c'est arrivé
- Selon Enea, les attaques partent d'équipements réseau compromis chez des opérateurs mobiles infectés et sont injectées dans l'IPX, le réseau qui relie les opérateurs entre eux. L'attaque principale est un message UpdateLocation malveillant qui détourne les appels et SMS d'une cible vers du matériel contrôlé par les attaquants. Enea ne dit pas comment les équipements des opérateurs ont été compromis au départ.[1][2] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Les appels et SMS d'abonnés choisis, détournés vers les attaquants. Enea a observé des codes de double authentification interceptés juste après le détournement pour certaines cibles, ce qui, selon elle, laisse penser à des tentatives d'accès à d'autres comptes. Les sources ne disent pas si un compte a été pris.[1][2] Vérifié le 14 nov. 2026
- Qui est touché
- Des opérateurs mobiles d'au moins six pays d'Asie dont des équipements réseau ont été compromis, aucun n'étant nommé, et des abonnés d'opérateurs d'une douzaine d'autres pays et territoires, Taïwan étant la cible principale. The Hacker News fait état de vagues allant d'un ou quelques abonnés à plusieurs milliers sur un mois.[1][2] Vérifié le 14 nov. 2026
- Acteur
- SilentAir →
Chronologie
- Enea publie son rapport : elle suit depuis début 2025 des attaques SS7 et Diameter inhabituelles venant de certains opérateurs asiatiques, avec une activité suspecte encore plus ancienne, par vagues séparées de plusieurs mois de calme. Elle nomme l'acteur SilentAir et le qualifie d'acteur étatique avec un niveau de confiance élevé, lié à des opérations chinoises avec un niveau de confiance faible. Elle juge un lien avec le groupe LIMINAL PANDA possible mais non confirmé. [1]
- The Hacker News rapporte qu'Enea a confirmé, chez un opérateur, du matériel compromis qui envoyait et recevait des commandes d'attaque, et que les indices d'un lien avec la Chine sont un rythme de journée de travail en UTC+8 et l'absence d'attaques contre les réseaux de Chine continentale. [2]