Attraverso una SIM è possibile prendere il controllo dello smartphone: scoperta una pericolosa falla di sicurezza

Una ricerca dell'Università di Birmingham e Fuzzware dimostra che una SIM card compromessa può inviare comandi al modem per eseguire codice, leggere file, disabilitare la connettività e forzare il downgrade al 2G. Il rischio interessa soprattutto dispositivi IoT, router industriali e sistemi telematici. Qualcomm e altri produttori stanno già introducendo contromisure.

I ricercatori dell’Università di Birmingham e di Fuzzware hanno scoperto che una SIM card infetta può inviare comandi al modem che gli consentono di eseguire codice arbitrario, leggere file, disabilitare la connessione e forzare lo smartphone a passare alla modalità 2G. Questo problema potrebbe essere pericoloso per le apparecchiature IoT, come le stazioni di ricarica per veicoli elettrici, i router industriali e i sistemi telematici per autoveicoli.

I ricercatori hanno creato il toolkit CATana, che consente di testare quali comandi AT una scheda SIM può inviare a un modem e le relative conseguenze. Utilizzando questo toolkit, i ricercatori hanno testato 26 dispositivi: 18 smartphone e otto modem IoT. È emerso che l’interfaccia AT era accessibile dalla scheda SIM su nove dispositivi: sei degli otto modem e tre smartphone (Oppo Find X5, Oppo Reno 14 F 5G e Asus Zenfone 9).

Una ricerca dell’Università di Birmingham e Fuzzware dimostra che una SIM card compromessa può inviare comandi al modem per eseguire codice, leggere file, disabilitare la connettività e forzare il downgrade al 2G. Il rischio interessa soprattutto dispositivi IoT, router industriali e sistemi telematici. Qualcomm e altri produttori stanno già introducendo contromisure.

Secondo gli esperti, il problema deriva dal comando RUN AT, parte del set di comandi proattivi della SIM. I comandi AT sono un insieme di istruzioni di controllo del modem in uso dagli anni ’80, che nel corso del tempo hanno ricevuto numerose estensioni da parte dei produttori. Questi comandi consentono alla scheda SIM di comunicare con il dispositivo stesso, mentre RUN AT istruisce il modem a eseguire il comando AT. Non si tratta di un bug o di una funzionalità non documentata: questo meccanismo è richiesto dalle specifiche cellulari. Nonostante ciò, i ricercatori ritengono che questa interfaccia pericolosa debba essere disabilitata o completamente dismessa.

I ricercatori hanno dimostrato l’attacco più pericoloso utilizzando una stazione di ricarica Autel commerciale con un modulo Quectel EC25-AFX. In questo caso, i ricercatori hanno sfruttato una vulnerabilità di command injection nell’ambiente Linux del modem e sono riusciti a eseguire codice arbitrario.

Sul dispositivo Oppo Reno 14 F 5G, i ricercatori hanno scoperto 198 comandi AT accessibili tramite SIM e relative varianti. Tra questi, comandi per spegnere il dispositivo, disabilitare il modem e forzare il downgrade alla rete 2G. Quest’ultimo effetto persisteva anche dopo aver attivato la modalità aereo, disabilitato la scheda SIM e modificato le impostazioni di rete. Poiché la rete 2G non prevede l’autenticazione reciproca, tali downgrade potrebbero semplificare notevolmente gli attacchi con stazioni base contraffatte.

Un altro exploit ha permesso ai ricercatori di leggere file arbitrari dal modulo Quectel EG25-G e trasmetterli a un server remoto tramite AT+QSMTP. Tuttavia, questo attacco richiedeva più di una semplice scheda SIM malevola; era necessario anche un collegamento simbolico appositamente creato nel file system del modulo.

Gli esperti sottolineano che un attacco di questo tipo richiede il controllo della scheda SIM stessa. Questa può essere fisicamente sostituita, compromessa tramite software o durante il processo di produzione, oppure controllata da un operatore di telecomunicazioni hackerato o senza scrupoli. Per questo motivo, i ricercatori considerano i dispositivi IoT non presidiati con uno slot per la scheda SIM accessibile come obiettivi particolarmente appetibili per tali attacchi.

Gli autori del rapporto evidenziano anche un altro problema: una SIM card malevola era in grado di aprire un sito web controllato da un malintenzionato senza alcuna interazione da parte dell’utente, persino su uno smartphone Android bloccato (nello specifico, Pixel 6, 8 e 9). Nel dicembre 2025, gli ingegneri di Google hanno corretto questo bug, identificato come CVE-2025-48618, ma la distribuzione degli aggiornamenti ai dispositivi Android rimane discontinua anche nel 2026.

I ricercatori hanno notificato ai rappresentanti di Google, Oppo, Quectel, Semtech e Qualcomm tutti i problemi scoperti già a marzo 2026, e alla GSMA (GSM Association) a maggio. Di conseguenza, il problema dell’interfaccia aperta SIM AT è ora monitorato con gli identificativi CVE-2026-57550 (Qualcomm) e CVD-2026-0122 (GSMA).

Qualcomm ha già sviluppato ulteriori misure di sicurezza che disabiliteranno per impostazione predefinita l’accesso della scheda SIM ai comandi AT. Quectel ha annunciato una soluzione per il problema di lettura dei file, ma sta ancora lavorando alla risoluzione del problema dell’interfaccia stessa.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response