Scoperto un bug VoLTE: tracciati milioni di utenti O2, Giffgaff e Tesco Mobile

Redazione RHC : 31 Maggio 2025 08:25

Un bug del software nel servizio VoLTE ha permesso di tracciare la posizione di decine di milioni di utenti della compagnia di telecomunicazioni britannica Virgin Media O2, tra cui i clienti di Giffgaff e Tesco Mobile, collegati alla stessa infrastruttura.

La vulnerabilità è passata inosservata finché non è stata scoperta dall’ingegnere Dan Williams, dopodiché le informazioni sono state trasmesse all’Information Security Office (ICO) del Regno Unito e all’ente regolatore delle comunicazioni Ofcom.

“Il 27 marzo 2017, O2 UK ha lanciato il suo primo servizio IMS. [1] Soprannominato “4G Calling” dalla rete, ha fornito una migliore qualità vocale e una migliore esperienza di dati in chiamata poiché i clienti non sono passati al 3G quando effettuavano una chiamata. Essendo passato di recente a O2, ero interessato all’implementazione IMS della rete, in particolare ai codec vocali supportati dalla rete per le chiamate effettuate tramite 4G/WiFi Calling. Utilizzando un’applicazione nota come Network Signal Guru (NSG) sul mio Google Pixel 8 con root, ho chiamato un altro cliente O2 (con un dispositivo compatibile con 4G VoLTE) per provare a determinare la qualità audio. Un bug all’interno di NSG sui moderni dispositivi Google Pixel con modem Samsung fa sì che la sezione VoLTE dell’app non compili automaticamente il codec utilizzato per la chiamata in corso, il che significa che ho dovuto esaminare i messaggi di segnalazione IMS non elaborati inviati tra il mio dispositivo e la rete per scoprirlo.” ha riportato Dan Williams sul suo blog.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il problema ha interessato tutti i dispositivi con le chiamate 4G abilitate. Chiunque disponga di una scheda SIM Virgin Media O2 potrebbe ottenere gli identificatori tecnici delle chiamate (prefissi e ID delle celle) e utilizzarli per determinare a quale stazione base era connesso l’abbonato chiamato. Nelle aree densamente popolate, dove le celle sono molto vicine, la precisione della geolocalizzazione potrebbe raggiungere fino a 100 metri quadrati.

Il ricercatore ha affermato di aver inviato una notifica all’operatore a marzo, ma di non aver ricevuto risposta fino a maggio, quando ha pubblicato un post sul blog. Ha espresso delusione per la risposta dell’azienda e ha sottolineato che la sua motivazione era la sicurezza, non il confronto con l’operatore.

Virgin Media O2 ha dichiarato di aver risolto rapidamente il problema dopo essere stata avvisata e che per intervenire era necessaria una formazione tecnica specialistica. Allo stesso tempo, l’operatore ha riconosciuto che la vulnerabilità potrebbe essere esistita fin dall’introduzione del software nel 2023, ma non ha indicato la durata esatta della sua validità.

L’azienda ha sottolineato che gli utenti non devono intraprendere alcuna azione e non è stata trovata alcuna prova che la vulnerabilità sia stata sfruttata al di fuori del blog tecnico dello specialista. I rappresentanti hanno aggiunto che non vi è stata alcuna compromissione della rete esterna e che tutte le informazioni sono disponibili solo all’interno dell’infrastruttura stessa.

Williams condusse un esperimento per dimostrare la portata della minaccia: con l’aiuto di un volontario, anche lui abbonato all’O2, riuscì a determinare la sua posizione approssimativa nel centro di Copenaghen. Ha affermato che disabilitare la funzione di chiamata 4G potrebbe eliminare il rischio, ma su alcuni dispositivi, tra cui l’iPhone, ciò non è possibile.

L’operatore Giffgaff, che utilizza anch’esso l’infrastruttura O2 di Virgin Media, ha rifiutato di rilasciare dichiarazioni. Tesco Mobile, i cui clienti potrebbero essere stati anch’essi colpiti, non ha fornito alcuna risposta alle domande.

L’Ofcom ha affermato che sta indagando sull’incidente e che sta chiedendo all’operatore spiegazioni sulle cause e le conseguenze del problema. L’ICO, da parte sua, ha dichiarato che, dopo aver valutato la situazione e le misure adottate, non intraprenderà ulteriori azioni.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli