要点
- 通信会社の内部の機器が使われ、特定の人の通話と SMS が傍受されていた。Enea（スウェーデンの通信セキュリティ会社）が報告した。
- 傍受の直後に、一部の標的へ2段階認証のコードが届いていた。ほかのアカウントを乗っ取ろうとした可能性がある。
- 主な標的は台湾の利用者だが、関連が疑われる機器はアジアの少なくとも6か国で見つかった。SMS 認証そのものの弱さを示す話だ。
何が起きたか
Enea は2026年11月11日、新しい攻撃者「SilentAir」についての報告を公開した（12日に要点を追記）。Enea は、SilentAir を犯罪集団や民間の監視業者とは違う「国家レベル」の攻撃者だと、高い確度で評価している。一方、中国との結びつきについては、確度は低いとしている。
手口の大枠はこうだ。通信会社どうしをつなぐ国際的な中継網がある。攻撃者は、通信会社の内部の機器から、この中継網に偽の指示を流す。すると標的の電話の通話や SMS が、攻撃者の側へ回される。Enea は、ある1つの通信会社の内部で、機器が攻撃の指示を出し、また受け取る様子を観測した。これで、攻撃が通信会社の内部から行われていたと確認した。SilentAir に関連するとみられる疑わしい機器は、アジアの少なくとも6か国の通信会社で見つかった。ほかにも疑いはあるが、確認はされていない。
傍受されたのは、選ばれた人の通話と SMS だ。Enea は、傍受の直後に2段階認証のコードが届いた例が一部の標的にあったと述べている。コードでアカウントに入ろうとした可能性を示す、という見方だ。ただし報告は、乗っ取られたアカウントが実際にあったかどうかには触れていない。
Enea が見た SilentAir の攻撃のうち、傍受は18.3%を占めた。前回、一般的な監視業者について調べたときの2.1%と比べると、およそ9倍の高さだ。標的には政治家や政府関係者がいた。国別では台湾が最も多い。ほかは東南アジアと東アジアの別の網が中心で、東アフリカ、中央アジア、中東、欧州にも少数の標的がいた。中国の通信網や利用者は狙われていない。攻撃は波のように集中して起き、1か月で数千人を狙った例もあった。
Enea は、実際の規模は観測できた範囲より大きい可能性があるとしている。侵された通信網の内側にいる加入者も狙われたかもしれないが、その通信は見えなかった。攻撃者が使ったとみられるマルウェアも解析できていない。国名・通信会社名・標的の名前は公表されていない。
日本の利用者への影響
日本の通信会社が侵されたという報告は、確認できていない。報告が挙げる標的の地域にも、日本は名指しされていない。ただし「東アジア」の標的があるとされ、詳しい内訳は分からない。
一方で、SMS は通信会社の網を通って届く。海外の網を経由するローミング中の人や、海外の人とやり取りする組織は、同じ種類の弱点の影響を受けうる。標的には要人も含まれるが、数千人規模を狙った波もあった。一般の利用者が狙われないとは言えない。ここはこちらの見立てだが、過度に怖がる必要はないものの、SMS 認証に頼り続けるべきではないと考える。
今すぐやること
- 銀行・メール・SNS・仕事のアカウントで、2段階認証が SMS になっていないか確認する。
- 対応しているサービスは、パスキー（端末の生体認証などで入る、パスワード不要の仕組み）に切り替える。
- パスキーが使えないサービスは、認証アプリ（スマホ上で数字を出すアプリ）か、物理のセキュリティキーに変える。
- SMS を残すしかない場合は、回復用の電話番号を含めて見直し、不審な通知がないか日頃から見る。
- 政治・報道・企業の重要な立場にいる人は、海外出張時の通信と認証の方法を、組織の担当者に相談する。
背景
SMS や通話をつなぐ古い仕組みの SS7 は、通信会社を互いに信頼する前提で作られた。新しい Diameter も同様の問題を抱える。偽の指示で SMS を横取りする手口は、以前から知られている。
今回の特徴は、外から指示を送るだけでなく、通信会社の内部の機器が使われている点だ。Enea は、通信会社の網の入口で守るだけでは足りず、内部の通信も監視するよう勧めている。中継網は信用できないものとして扱うことも勧めている。
Enea は同じ調査で、GTPDoor という既知の侵入用ソフトの新しい型も見つけた。GTPDoor は、通信会社を狙う別の集団 LIMINAL PANDA のマルウェアだ。2024年2月に、研究者の HaxRob が公開されていた2つの版を解析して報告している。SilentAir と LIMINAL PANDA の関係は、「ありうるが未確認」とされる。SilentAir の攻撃に GTPDoor が使われたとは、報告で確認されていない。
技術者向けの詳細
- 公開元: Enea「The Enemy Within: Tracking LIMINAL PANDA and SilentAir through mobile networks」（2026-11-11、11-12 更新）。
- 攻撃の種類の割合（SilentAir / 一般的な監視業者）: 情報収集 7.21% / 61.89%、傍受 18.30% / 2.07%、位置追跡 0.22% / 30.90%、その他 74.27% / 5.13%。
- 経路: SS7 と Diameter の信号を、通信会社の内部の機器から IPX に注入。
- 機器: SilentAir 関連の疑わしい機器が少なくとも6か国で見つかった。ほかにも疑いあり。内部機器が攻撃の指示を出し、受けるのを確認できたのは1つの通信会社。
- GTPDoor（LIMINAL PANDA 側）: GTP-C を使う Unix 系の遠隔操作ソフト。新型 v3 は GTP-U を使う。感染は5〜10の通信会社、世界で数十社の可能性（Enea の推定）。Enea の GTP ファイアウォールが2026年第1四半期から顧客の網で検知し遮断。
- 確度: 国家レベルは高、中国との整合は低、LIMINAL PANDA との関連は未確認。
- 限界: SilentAir が使ったとみられる実行ファイルは解析できていない。SCTPE（SIGweaver）とは挙動が完全には一致しない。
- Enea の通信会社向け勧め: GTP-C・GTP-U の防御と SS7・Diameter の防御の連携、内部の信号の分析、IT 全体の防御との統合、外部委託のコアネットワークへの注意。
