«Les deseamos salud y felicidad»: SMS invisibles a medianoche resultaron ser una prueba de vigilancia

Los hackers convirtieron las redes de los operadores móviles en infraestructura para el espionaje internacional. Investigadores descubrieron intercepciones ocultas de llamadas y SMS, vigilancia de abonados y un nuevo malware que permite controlar equipos infectados mediante el tráfico móvil habitual.

Los especialistas de Enea revelaron la actividad de dos grupos, Liminal Panda y la hasta ahora desconocida SilentAir. El primero está vinculado a China y se especializa en la intrusión de redes de telecomunicaciones. El segundo utiliza nodos infectados de operadores para atacar a abonados en todo el mundo. Los investigadores consideran con baja confianza la relación de SilentAir con operaciones chinas, y su implicación con Liminal Panda no está demostrada por ahora.

Desde principios de 2026, Enea registró varios cientos de intentos de control oculto mediante el malware GTPDoor. Se detectaron rastros de infección al menos en 5–10 operadores móviles, y el número estimado de empresas afectadas podría alcanzar varias decenas. Las principales regiones de actividad incluyen Asia, África y América Latina. Parte de los ataques se logró bloquear con cortafuegos especializados.

Liminal Panda utiliza el protocolo GTP, que garantiza la transmisión de datos en redes móviles. Los investigadores encontraron una nueva versión, GTPDoor v3, que opera a través de GTP-U en lugar del anterior GTP-C. El malware oculta comandos dentro del tráfico de usuario, cuyos volúmenes son notablemente mayores. Ese canal es más difícil de analizar, y los operadores tradicionalmente prestan menos atención a su protección.

El grupo SilentAir actúa de forma distinta. Con la ayuda de protocolos SS7 y Diameter, los atacantes suplantan la información de servicio sobre la ubicación de los abonados para interceptar llamadas y mensajes. Enea detectó nodos de red sospechosos de operadores en al menos seis países asiáticos. Los ataques afectaron a abonados en aproximadamente otra decena de países y territorios, sobre todo en Taiwán.

Llamaron especialmente la atención los SMS invisibles que no aparecen en la pantalla del teléfono. SilentAir enviaba esos mensajes principalmente alrededor de la medianoche, probablemente para comprobar la persistencia del acceso a los abonados. Algunos SMS contenían deseos inocuos de salud y felicidad. Si un operador intermedio eliminaba el indicador de mensaje oculto, el destinatario veía el texto habitual y difícilmente notaba actividad sospechosa.

En casos aislados, los investigadores observaron la recepción de códigos de autenticación de dos factores inmediatamente después de la intercepción de SMS. Entre los objetivos de SilentAir había altos representantes de estructuras gubernamentales y políticas. En el estudio de Enea también se describen coincidencias temporales en los ataques de ambos grupos, aunque por ahora no hay pruebas directas de colaboración.

El peligro de estas operaciones está relacionado con la propia arquitectura del roaming internacional. El acceso a la infraestructura de un operador abre posibilidades de interacción con las redes de otras empresas a través de IPX. Anteriormente, los ataques Liminal Panda ya se vincularon al uso de túneles DNS y herramientas especializadas para penetrar sistemas de telecomunicaciones. Enea recomienda inspeccionar todo el tráfico entre operadores, incluido GTP-U, y renunciar a la confianza automática en las redes asociadas.