Quince mil setecientos
La cifra es el recuento de operaciones invisibles.
Desde finales de 2022, actores de vigilancia han enviado más de 15.700 consultas de rastreo a través de la red global de señalización móvil, apuntando contra personas de varios países mediante infraestructura de telecomunicaciones que parece — a ojos de todas las redes que toca — tráfico legítimo de itinerancia. Los teléfonos de los objetivos no mostraron ninguna notificación. Sus registros de mensajes no anotaron ningún evento. El rastreo era invisible en la capa del dispositivo porque operaba en la capa de señalización que hay debajo.
El Citizen Lab de la Universidad de Toronto publicó los hallazgos el 23 de abril de 2026 en un informe titulado "Bad Connection", firmado por Gary Miller y Swantje Lange. El informe documenta dos campañas de vigilancia distintas, nombra a tres entidades de telecomunicaciones cuya infraestructura sirvió de pasarela e identifica la propiedad estructural que hace posibles estas campañas: el sistema global de interconexión de telecomunicaciones está construido sobre un modelo de confianza que nunca se diseñó para verificar si el tráfico de señalización es lo que dice ser.
Los operadores fantasma
Las tres entidades nombradas no son agencias de inteligencia. No son proveedores tradicionales de vigilancia. Son compañías de telecomunicaciones con licencias legítimas.
019Mobile es un operador móvil virtual israelí de propiedad privada que se comercializa como Telzar 019. Opera su propia red troncal sobre la red de acceso radio de Partner Communications. La investigación de Haaretz que siguió a la publicación del Citizen Lab — titulada "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide" — documentó decenas de intentos de rastreo enrutados por la infraestructura de 019Mobile. El responsable de TI y seguridad de la compañía declaró que «no se ha identificado ningún riesgo para nuestros clientes» y no pudo confirmar que la infraestructura perteneciera a 019Mobile.
Tango Networks UK es un operador móvil virtual británico, filial de Tango Networks Inc., con sede en Texas. Ofcom le asignó el código de red móvil británico 53 en 2022. Fue utilizado «durante varios años para actividades de vigilancia», según el Citizen Lab. La compañía declinó hacer comentarios.
Airtel Jersey es un operador de las Islas del Canal hoy propiedad de Sure, que a su vez forma parte de Beyon Group, participado en parte por el Reino de Baréin. El consejero delegado de Sure declaró que la compañía «no arrienda acceso a la señalización, ni directamente ni a sabiendas, a organizaciones dedicadas a localizar o rastrear personas».
Ninguna de estas entidades es sobre el papel una empresa de vigilancia. Cada una posee una licencia de telecomunicaciones legítima. Cada una superó el escrutinio regulatorio que exista en su jurisdicción. La denominación de «operador fantasma» procede de su función: empresas reales cuya infraestructura se utiliza — a sabiendas o no — como punto de entrada de confianza para tráfico de vigilancia que la red objetivo acepta porque parece proceder de un par legítimo.
Campaña uno: la identidad rotatoria
La primera campaña explotó tanto SS7 como Diameter con acceso alterno coordinado. Cuando el cortafuegos de una red objetivo bloqueaba las consultas SS7, el sistema conmutaba automáticamente a Diameter. Cuando se bloqueaba Diameter, retrocedía a SS7.
El tráfico de vigilancia rotó por 11 identidades de operador en diez países. Los países cuyas identidades de operador fueron suplantadas incluyen Camboya, China, Israel, Italia, Liechtenstein, Marruecos, Polonia, Suiza, Tailandia y el Reino Unido. Se emplearon tres patrones de enrutamiento distintos para disfrazar el verdadero origen: acceso directo a través de Tango Networks UK hacia la red IPX de BICS, acceso directo a través de 019Mobile hacia la IPX de Comfone, y una vía de identidad suplantada que combinaba nombres de host de AIS Thailand con identificadores de dominio de red de China Unicom, enrutada a través de 019Mobile hacia la IPX de Syniverse.
La IPX — el IP Packet Exchange — es el tejido de interconexión por el que circula el tráfico internacional de itinerancia. Compañías como BICS, Comfone y Syniverse operan las redes IPX. Los operadores fantasma inyectan tráfico de vigilancia en estas redes, que lo enrutan hacia los operadores objetivo como si fueran consultas legítimas de itinerancia. Los proveedores de IPX no verifican necesariamente si el tráfico que pasa por ellos guarda realmente relación con la itinerancia.
El investigador del Citizen Lab Gary Miller evaluó que el proveedor detrás de la Campaña Uno es «probablemente un proveedor comercial de geointeligencia con sede en Israel», con posibles conexiones con Circles, Cognyte y Rayzone.
Campaña dos: el comando invisible
La segunda campaña era cualitativamente distinta. No consultaba a la red la localización del objetivo. Ordenaba a la tarjeta SIM del objetivo que la comunicara.
La técnica se conoce como SIMjacker, documentada por primera vez en 2019 por Cathal Mc Daid, de AdaptiveMobile Security. Explota la aplicación S@T Browser incrustada en las tarjetas SIM — un componente heredado diseñado para permitir a los operadores móviles enviar mensajes de servicio a los terminales. El ataque envía un SMS binario con un formato específico a la tarjeta SIM del objetivo. La SIM procesa el comando sin mostrar ninguna notificación al usuario, sin registrar ningún evento en el registro de mensajes y sin requerir interacción alguna. La tarjeta SIM responde entonces con los datos de localización del teléfono.
El Citizen Lab documentó más de 15.700 intentos de rastreo de ese tipo desde finales de 2022. Desde un único Global Title — un identificador de señalización — se registraron más de 1.700 ataques a la privacidad entre octubre de 2023 y abril de 2025. El noventa y dos por ciento del tráfico procedente de ese identificador estaba vinculado a rastreo de localización.
La superficie de ataque de SIMjacker es la propia tarjeta SIM. No requiere acceso a internet. No requiere instalar una aplicación. No requiere interacción del usuario. Solo requiere que el objetivo tenga una tarjeta SIM en un teléfono conectado a cualquier red móvil. Todo teléfono con tarjeta SIM está en la superficie de ataque, no por una mala configuración, sino por diseño.
Lo que el usuario no puede hacer
El hallazgo estructural es que el objetivo de una vigilancia por SS7, Diameter o SIMjacker no puede mitigar el riesgo con sus propias acciones.
Usar una VPN no ayuda. El ataque opera en la capa de señalización, por debajo de la pila IP. La VPN cifra el tráfico de datos; el tráfico de señalización que informa de la localización es independiente del tráfico de datos y es invisible para la VPN.
Usar mensajería cifrada no ayuda. Signal, WhatsApp y Matrix protegen el contenido de los mensajes. Los ataques por SS7 y SIMjacker no acceden al contenido. Extraen la localización. El cifrado es irrelevante porque el ataque no interactúa con la capa de datos.
Cambiar de teléfono no ayuda. El ataque apunta a la tarjeta SIM y al número de teléfono, no al terminal.
Usar un navegador centrado en la privacidad no ayuda. El ataque no interactúa con el navegador, con el sistema operativo ni con ninguna aplicación.
La única mitigación del lado del usuario es retirar la tarjeta SIM por completo — lo que elimina la conectividad celular y no es una defensa practicable para los miles de millones de personas que dependen del teléfono móvil.
La lección arquitectónica: cuando la superficie de ataque es la propia capa del operador, la defensa debe operar fuera de esa capa.
El protocolo que iba a arreglar esto
Diameter se diseñó en la década de 2000 como sustituto de SS7, específicamente para abordar las debilidades de seguridad que hacen posibles los ataques en la capa de señalización. Diameter incluye mecanismos de autenticación, capacidades de cifrado y controles de acceso de los que SS7 carece.
El hallazgo del Citizen Lab es que los operadores «en gran medida no han logrado implementar» estas protecciones. El despliegue de Diameter en las redes 4G y 5G sigue apoyándose en el mismo modelo de confianza entre pares que hace vulnerable a SS7. Los operadores que construyeron la red nueva importaron el modelo de confianza viejo.
Esto significa que la migración de 3G a 4G y a 5G — la actualización de infraestructura que supuestamente iba a cerrar la vulnerabilidad de señalización — no la ha cerrado. Los protocolos cambiaron. El modelo de confianza, no. Los operadores fantasma explotan el modelo de confianza, no el protocolo.
La GSMA, el organismo global de estandarización de los operadores móviles, publicó un Code of Conduct for Global Title Leasing — un código de conducta sobre el arrendamiento de Global Titles — dos años antes del informe del Citizen Lab. El código es voluntario. El Citizen Lab constató que no tiene «firmantes significativos».
El paralelo del programa espía
El mismo mes en que el Citizen Lab publicó "Bad Connection", el ecosistema del programa espía continuaba con su propio patrón de explotación de la capa intermediaria.
El 22 de mayo, el DHS dijo a NPR que el ICE no tiene "no relationship" —ninguna relación— con Paragon Solutions, el fabricante israelí de programas espía comerciales cuya herramienta Graphite puede infiltrarse remotamente en dispositivos y acceder a mensajes cifrados sin que el objetivo pulse ningún enlace. Pero el DHS declinó aclarar si el ICE puede seguir accediendo a herramientas desarrolladas por Paragon a través de un tercero. El contrato con Paragon figuraba como "closed out" —cerrado— el 20 de enero en los registros federales de contratación. Pero ya había sido reactivado una vez antes — en agosto de 2024, bajo la administración Trump — tras una pausa previa.
El director en funciones del ICE, Todd Lyons, reconoció en una carta del 1 de abril que había aprobado el uso de «herramientas tecnológicas punteras» para la lucha antiterrorista y contra el fentanilo. La declaración del DHS — "ICE has no relationship with Paragon Solutions, Inc. or with the company that acquired them", el ICE no tiene ninguna relación con Paragon Solutions, Inc. ni con la compañía que la adquirió — está cuidadosamente redactada para abordar el contrato directo dejando sin abordar el acceso a través de terceros.
El patrón del operador fantasma y el patrón de la contratación de programas espía comparten una propiedad estructural: entidades de apariencia legítima que sirven de intermediarias para capacidades de vigilancia que el objetivo final no puede detectar, no puede bloquear y de las que nunca fue informado. La telco fantasma enruta las consultas de rastreo por la red de señalización. El proveedor de programas espía enruta el acceso a través de un intermediario contractual. En ambos casos, la capa intermediaria es la superficie de ataque.
Lo que ve la red de señalización
La red global de señalización móvil — la infraestructura SS7 y Diameter que conecta a todos los operadores móviles del mundo — procesa estas consultas de vigilancia como tráfico rutinario de itinerancia. Cuando un teléfono viaja de una red a otra, la red visitada envía mensajes de señalización a la red de origen para autenticar al abonado y enrutar las llamadas. Esta es la función legítima del sistema de señalización.
Los operadores fantasma inyectan consultas idénticas a las consultas legítimas de itinerancia. La red no puede distinguir entre una autenticación legítima de itinerancia y una consulta de vigilancia disfrazada de tal. El modelo de confianza da por supuesto que toda entidad con acceso a la señalización es un operador legítimo con una necesidad operativa legítima de consultar a los abonados de otra red.
El número de entidades con acceso a la señalización es grande y creciente. Todo operador móvil, todo operador móvil virtual y todo concentrador de señalización conectado a la red IPX puede potencialmente inyectar consultas. La superficie de ataque se amplía con cada nueva entidad que obtiene acceso a la señalización. El código de conducta voluntario de la GSMA no ha frenado esa expansión.
La respuesta arquitectónica
La defensa frente a la vigilancia en la capa de señalización es la misma que esta publicación ha documentado frente a la censura en la capa del operador, las intrusiones en plataformas obligatorias y el rastreo del lado del servidor: operar fuera de la capa intermediaria.
Redes en malla que no requieren tarjeta SIM. Redes superpuestas entre pares que no se enrutan por la infraestructura de señalización del operador. Transporte por satélite que evita por completo la red móvil. Comunicación basada en Wi-Fi que no interactúa con el sistema SS7/Diameter.
Briar se comunica por Bluetooth y Wi-Fi sin conectividad celular. Meshtastic construye redes en malla sobre radios LoRa. Reticulum proporciona red criptográfica independiente de la capa del operador. La red superpuesta entre pares de URnetwork abstrae el transporte del operador.
Ninguna de estas herramientas requiere tarjeta SIM. Ninguna es visible para la red de señalización. Ninguna puede rastrearse mediante SS7 ni SIMjacker, porque no atraviesan la infraestructura que esos sistemas vigilan.
Los 15.700 intentos de rastreo documentados por el Citizen Lab operaron a través de la capa del operador. Los transportes que operan fuera de ella fueron invisibles para todos y cada uno de ellos.
El modelo de confianza es la vulnerabilidad
La conclusión es estructural, no técnica.
La falta de autenticación de SS7 es una decisión de diseño de los años setenta que persiste porque el coste de sustituirla supera el incentivo de cualquier operador individual para actuar. Los controles de seguridad no aplicados de Diameter son un diseño de la década de 2000 que los operadores declinaron implementar porque el modelo de confianza ya estaba instalado. El código de conducta voluntario de la GSMA es una respuesta de la década de 2020 que los operadores declinaron firmar porque las consecuencias del incumplimiento son cero.
Los operadores fantasma explotan un modelo de confianza que lleva más de una década documentado como vulnerable, que ha sido objeto de múltiples informes del Citizen Lab desde 2018, que ha sido señalado por los propios grupos de trabajo de la GSMA y que sigue estructuralmente inalterado. La vulnerabilidad persiste no porque se desconozca, sino porque corregirla exigiría que todos los operadores de la red global impusieran autenticación en la capa de señalización — un problema de coordinación que ningún actor por sí solo puede resolver y que ningún organismo regulador tiene autoridad para imponer.
Quince mil setecientos intentos de rastreo. Ninguna notificación en el teléfono de ningún objetivo. Ningún rastro en ningún registro de mensajes. Ninguna defensa disponible para ningún objetivo mediante ninguna acción a su alcance. La infraestructura de señalización que conecta todas las llamadas móviles del mundo es la infraestructura de vigilancia. El modelo de confianza que hace funcionar la red es el modelo de confianza que hace funcionar la vigilancia.
La arquitectura que opera fuera de ese modelo de confianza es la arquitectura que no está en la superficie de ataque.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura. La red superpuesta de URnetwork no se enruta por la infraestructura de señalización SS7 ni Diameter. No requiere tarjeta SIM. No es visible para la red de señalización que explotan los operadores fantasma.
https://ur.io
Referencias (8 fuentes)
Referencias
- Citizen Lab: Bad Connection
- TechCrunch: Surveillance vendors caught abusing access to telcos
- Haaretz: Ghost Operators
- Commsrisk: Investigation Shows Telcos Enable Spying
- CyberScoop: Surveillance campaigns exploit telecom vulnerabilities
- NPR: DHS says ICE has no relationship with Paragon
- NPR: What we know about US government spyware
- GBlock: Surveillance vendors tracking phones through carrier networks