La tarjeta SIM no es un simple chip: con un solo comando puede apagar tu móvi

La tarjeta SIM dentro del teléfono suele percibirse como un intermediario inofensivo entre el abonado y el operador de comunicaciones. Investigadores de la Universidad de Birmingham y de Fuzzware demostraron que en algunos dispositivos la tarjeta obtiene capacidades mucho mayores. Una tarjeta SIM maliciosa puede enviar comandos al módem, y las consecuencias varían desde la desconexión del servicio hasta la ejecución de código arbitrario.

El trabajo se presentó en la conferencia USENIX WOOT 2026. Los autores crearon el conjunto de herramientas CATANA y probaron 26 dispositivos, incluidos 18 teléfonos inteligentes y ocho módems para dispositivos de internet de las cosas. En nueve casos el equipo aceptó comandos AT directamente desde la tarjeta SIM. La prueba llevó al descubrimiento de cuatro vulnerabilidades que permitían ejecutar código, leer archivos arbitrarios, desactivar el dispositivo y forzar la conexión a la red 2G.

En el núcleo del problema está el comando RUN AT del conjunto de funciones de las tarjetas SIM. Los comandos AT aparecieron en la época de los módems telefónicos y todavía se usan para controlar los módulos celulares modernos. RUN AT permite que la propia tarjeta SIM envíe dicho comando al módem. Como resultado, la tarjeta obtiene una interfaz de control, y parte de las acciones puede pasar por alto el sistema operativo principal del dispositivo.

Entre los teléfonos inteligentes esta posibilidad se encontró relativamente pocas veces. De las 18 modelos probados, solo tres informaron soportar RUN AT, y en los tres usaban procesadores celulares Qualcomm. En algunos otros aparatos los gestores de tales comandos se conservan en el firmware, pero están bloqueados. La situación es muy distinta en el equipo de internet de las cosas. Seis de los ocho módems probados aceptaban comandos AT desde la tarjeta SIM.

Una de las pruebas más ilustrativas la realizaron con el smartphone OPPO Reno 14 F 5G. CATANA detectó 198 comandos y sus variantes soportados, accesibles a través de la tarjeta SIM. Entre ellos hubo comandos que apagan el teléfono, desconectan el módem celular y limitan la conexión a redes de segunda generación. Tras ese ataque, el smartphone dejaba de ver las redes 4G disponibles y solo se conectaba a 2G.

No era posible restaurar el modo normal con las acciones habituales del usuario. Cambiar al modo avión, desactivar la tarjeta SIM en los ajustes, apagar los datos móviles, seleccionar la red manualmente y cambiar la generación preferida de conexión no eliminaban la restricción impuesta. El cambio forzado a 2G es además peligroso porque esas redes no verifican mutuamente la autenticidad del abonado y de la estación base, lo que facilita ataques con estaciones base falsificadas.

Se detectaron consecuencias más graves en el equipo para internet de las cosas. En la estación de carga AUTEL Maxi US AC W12-L-4G con el módem Quectel EC25-AFX, los especialistas encontraron un error en el procesamiento de comandos AT. Eludir el filtro permitió enviar un comando desde la tarjeta SIM y lograr la ejecución de código arbitrario dentro del módulo celular. Ese acceso es especialmente peligroso para el equipo integrado, ya que el módem comprometido puede convertirse en un punto intermedio para un ataque posterior al sistema principal.

Otro escenario afectó a módems Quectel. Los especialistas consiguieron preparar un sistema de archivos con un enlace simbólico especial, tras lo cual la tarjeta SIM maliciosa obtuvo el contenido del archivo enlazado mediante comandos AT. En la demostración el archivo se envió a un servidor controlado como adjunto de correo electrónico. Los autores encontraron el problema relacionado con los enlaces simbólicos en todos los módulos Quectel probados.

Durante el trabajo también se descubrió un problema específico de Android. Una tarjeta SIM maliciosa podía obligar al smartphone, sin la intervención del propietario, a abrir el sitio del atacante mediante el comando LAUNCH BROWSER. La apertura funcionaba incluso con la pantalla bloqueada. Google registró la vulnerabilidad como CVE-2025-48618 (6.8 Medium) y publicó una corrección.

Los autores informaron de los resultados a Google, Oppo, Quectel, Semtech y Qualcomm en marzo de 2026, y en mayo remitieron la información a la Asociación GSM. Qualcomm preparó una configuración reforzada que por defecto desactiva la interfaz de comandos AT desde la tarjeta SIM. Quectel añadió protección contra el ataque de enlaces simbólicos y continuó trabajando en limitar la propia interfaz. La Asociación GSM sigue el problema con el número CVD-2026-0122.

Los especialistas consideran la solución más fiable la renuncia total a RUN AT y a otras funciones obsoletas que permiten a la tarjeta SIM controlar el dispositivo. Prohibir simplemente el comando no es suficiente. Se propone eliminar el código relacionado del firmware del procesador celular y de la parte de software del dispositivo, para que la interfaz peligrosa no pueda recuperarse por accidente en futuras versiones. Los autores consideran que las tarjetas SIM maliciosas son una amenaza especialmente grave para los dispositivos de internet de las cosas, donde el módem celular a menudo tiene acceso estrecho al resto de componentes del sistema.