Siber güvenlik araştırmacıları, SIM kartların aslında tam donanımlı küçük birer bilgisayar olduğunu öne sürüyor. Baltimore'da düzenlenen 2026 USENIX WOOT Saldırgan Teknolojiler Konferansı'nda bu konuya ilişkin dikkat çekici bilgiler paylaşıldı.
Birmingham Üniversitesi ve Fuzzware güvenlik şirketinden uzmanlar, SIM kartlar altyapısındaki bir güvenlik açığı sayesinde akıllı telefonların, elektrikli araç şarj istasyonlarının ve kritik sanayi ekipmanlarının gizli bir şekilde ele geçirilebildiğini kanıtladı.
Araştırmacılar güvenlik açıklarını tespit edebilmek için "CATana" ismini verdikleri özel bir analiz aracı geliştirdi. Bu araç sayesinde 18 akıllı telefon ve 8 hücresel IoT modülü dâhil olmak üzere toplam 26 cihazın testi gerçekleştirdi.
Siber saldırı riski sistem hatasından kaynaklanmıyor
Gerçekleştirilen testler sonucunda ortaya çıkan güvenlik açığının bir yazılım hatasından değil, doğrudan sistemin kendi özelliğinden kaynaklandığı belirlendi. "Proactive SIM" ismi verilen bu özellik, SIM kartın cihazın modemine doğrudan komut göndermesine izin veriyor. Bu özelliğin 1980'lerden kalma AT komut altyapısını kullandığı ve modemlerin SIM karttan gelen talimatları sorgulamadan uyguladığı ortaya çıktı.
Uzaktan tam kontrol tehlikesi söz konusu
Saldırganların bu arayüzü kullanarak hedef cihazlarda tam kontrol sağlayabildikleri belirtiliyor. Kullanıcı etkileşimi olmadan cihazlarda kilitli ekranlar açılabiliyor, zararlı bağlantılar açılabiliyor ve özel kimlik bilgileri ele geçirilebiliyor.
Ayrıca bağlantı güvenliği de 4G'den savunmasız 2G ağlarına düşürülebiliyor. Hatta cihazlar uzaktan bile tamamen kapatılabiliyor. Siber güvenlik tehdidi sadece telefonlarla da sınırlı kalmıyor. USB portları kilitli olan elektrikli araç şarj istasyonları ve akıllı şehir altyapıları da SIM yuvası üzerinden savunmasız hale gelebiliyor.
Zararlı SIM kodları tedarik zinciri müdahaleleri veya sahte operatör güncellemeleri ile hedef cihazlara kolaylıkla sızabiliyor. Araştırmacıların uyarıları üzerine çip üreticileri ve GSMA güvenlik güncellemeleri yayınlamaya başladılar.