SIM kartlara zararsız birer çip gibi yaklaşıyoruz ancak bunlar tam donanımlı birer minyatür bilgisayar. Şu anda bile sizin aleyhinize çalışıyor olabilirler.
Baltimore’da düzenlenen 2026 USENIX WOOT Conference on Offensive Technologies etkinliğinde, Birmingham Üniversitesi ve güvenlik şirketi Fuzzware araştırmacıları, kötü amaçlı veya ele geçirilmiş SIM kartlarının hücresel cihazlar için gözden kaçırılan ciddi güvenlik riskleri oluşturduğunu ortaya çıkardı.
Bu açık, telefonları, elektrikli araç (EV) şarj cihazlarını ve kritik endüstriyel ekipmanları sessiz sedasız ele geçirebiliyor.
Araştırmacılar, “CATana” adını verdikleri özel bir araç kullanarak akıllı telefonlar ile elektrikli araç şarj cihazlarında, bağlı araçlarda ve endüstriyel ekipmanlarda kullanılan IoT modüllerini içeren 26 cihazı test etti. Çalışmaya farklı üreticiler ve işletim sistemleri dahil edildi.
Birmingham Üniversitesi Bilgisayar Bilimleri Bölümünde Dr. Öğr. Üyesi Marius Muench, “Buradaki büyüleyici kısım, bir SIM’in proaktif yeteneklerinin ve bunun sonucunda ortaya çıkan saldırı yüzeyinin hücresel iletişim teknik standartlarında açıkça tanımlanmış olması; bu da ‘standartlara uygun’ saldırılara yol açıyor.” dedi.
Özellik Kaynaklı Kusur
Bu kusur bir kodlama hatası değil, bir özellik. “Proactive SIM” olarak bilinen yerleşik özellik, bir SIM kartın doğrudan cihazın modemine komut göndermesine olanak tanıyor. Bu yetenekler arasında geçmişten kalan güçlü bir kalıntı yer alıyor: AT komutları.
1980’lerde çevirmeli modemleri kontrol etmek için geliştirilen AT komutları, bir cihazın hücresel donanımı için maymuncuk görevi görüyor. Bir SIM bu talimatları verdiğinde modem sorgulamadan itaat ediyor.
Bu eski yapının ne kadar tehlikeli olduğunu kanıtlamak için araştırma ekibi CATana adında bir analiz araç seti geliştirdi. Ekip, 18 tüketici akıllı telefonu ile bağlı araçlara ve EV şarj istasyonlarına entegre edilmiş sekiz hücresel IoT modülü de dahil olmak üzere gerçek dünyadan 26 cihazı teste tabi tuttu.
Bazı test cihazlarının SIM karttan gelen AT komutlarını işlediğini doğrulayan araştırmacılar, CATana ile bu arayüzde ciddi güvenlik açıkları ortaya çıkardı.
Araştırmacılar yalnızca SIM ile modem arasındaki arayüzü istismar ederek, herhangi bir kullanıcı etkileşimine ihtiyaç duymadan cihazlar üzerinde sessizce tam kontrol sağlayabildi. Üstelik istedikleri kodu çalıştırabildi, hassas donanım kimliklerini çalabildi, kilitli Android telefonların kötü amaçlı bağlantıları açmasını sağlayabildi, bağlantı güvenliğini 4G’den savunmasız 2G ağlarına düşürebildi ve cihazların bağlantısını uzaktan kesebildi veya cihazları tamamen kapatabildi.
Görünmeyen Giriş Noktaları
Tek hedef akıllı telefonlar değil. Bu tehdit, şehirlerimize güç veren internet bağlantılı altyapılar için muhtemelen çok daha vahim.
Endüstriyel yönlendiriciler, EV şarj cihazları ve otonom araç sistemleri kasıtlı olarak birer kale gibi tasarlanıyor. Mühendisler harici USB bağlantı noktalarını kilitliyor ve uzaktan yazılım girişini engelliyor. Yine de neredeyse tamamı kocaman bir arka kapıyı ardına kadar açık bırakıyor: SIM yuvası.
Bir saldırganın SIM kartı değiştirmek için her zaman fiziksel erişime ihtiyacı bulunmuyor. Kötü niyetli SIM’ler, enfekte olmuş SIM yazılım güncellemeleri, uzaktan yönetim platformlarını kötüye kullanan sahte hücresel operatörler veya üretim sırasındaki tedarik zinciri müdahaleleri yoluyla dolaşıma girebiliyor.
Fuzzware şirketinden Kristian Covic, “Kötü niyetli SIM’ler gözden kaçırılan bir saldırı vektörüdür.” dedi.
Bulguların etkilenen çip üreticileri, cihaz tedarikçileri ve GSMA ile gizlice paylaşılmasının ardından sektörün ana oyuncuları, sahte AT komutlarını etkisiz hale getirmek için yazılım güncellemeleri ve güçlendirilmiş yapılandırmalar sunmaya başladı.
Siber güvenlik uzmanları ve sızdırılan belgeler kötü niyetli SIM kartların tehlikelerini uzun süredir ortaya koysa da SIM’ler standart güvenlik tehdit modellerine nadiren dahil edildiği için bu riskler büyük ölçüde giderilmeden kalıyor fakat araştırmacılar, sektördeki farkındalığın nihayet bu gözden kaçan açığı ele almaya doğru kaymaya başladığını belirtiyor.
Bu güncellemeler dünyadaki her akıllı telefona ve akıllı şarj cihazına ulaşana kadar, telefonunuzun içindeki küçücük çip önemli bir gerçeği hatırlatmaya devam edecek: Siber güvenlikte mutlak güven, en büyük güvenlik açığıdır.
Kaynak: https://interestingengineering.com/innovation/sim-card-vulnerabilities-mobiles-ev-chargers
