SilentAir : APT détourne SS7 pour espionner Taiwan

Ce qui s'est passé

Le 11 novembre 2026, la firme suédoise de sécurité télécom ENEA a publié un rapport de recherche détaillant les activités d'un groupe qu'elle a baptisé SilentAir, révélant une campagne d'espionnage sophistiquée exploitant les faiblesses architecturales des protocoles de signalisation mobiles SS7 et Diameter. Cette publication a rapidement été couverte par The Hacker News, Infosecurity Magazine et le bulletin Risky Biz, en raison du niveau de sophistication technique de l'opération et de son ciblage géopolitiquement sensible centré sur Taiwan.

SS7 (Signaling System 7) est le protocole fondamental qui régit les échanges entre opérateurs téléphoniques depuis les années 1980 : il orchestre l'acheminement des appels, la livraison des SMS, la localisation des abonnés itinérants et la facturation entre opérateurs. Son successeur partiel pour les réseaux 4G/LTE, le protocole Diameter, remplit des fonctions similaires dans une architecture plus moderne mais reste architecturalement ancré dans les mêmes principes de confiance implicite entre acteurs du réseau. Ces deux protocoles ont été conçus dans une ère où le réseau téléphonique était un club fermé d'opérateurs mutuellement confiants — une hypothèse caduque dans un monde où l'accès à des passerelles SS7 peut se négocier sur des marchés clandestins ou via des opérateurs complaisants dans certaines juridictions.

Selon ENEA, SilentAir a compromis des équipements de signalisation — vraisemblablement des Home Subscriber Servers (HSS) ou des passerelles SS7 — au sein d'au moins six opérateurs de téléphonie mobile en Asie. Ces compromissions ont permis au groupe d'envoyer de faux messages de mise à jour de localisation (Location Update Request), faisant croire au réseau que certains abonnés taïwanais s'étaient déplacés dans une zone sous le contrôle des équipements compromis. Conséquence directe : les appels et SMS destinés à ces abonnés ont été silencieusement redirigés vers les nœuds sous contrôle de SilentAir avant d'être parfois retransmis à leurs destinataires légitimes.

La technique des SMS "silencieux" — des messages de test qui s'envoient sans apparaître dans la messagerie de l'abonné mais déclenchent une mise à jour de localisation dans le réseau — a également été observée dans la campagne. ENEA pense que ces SMS servaient à vérifier si les interceptions précédentes avaient correctement fonctionné, en validant la position actuelle de la cible dans le réseau de signalisation. Cette utilisation de SS7 comme canal de reconnaissance opérationnelle est caractéristique des groupes étatiques disposant de ressources techniques avancées et d'une connaissance approfondie des architectures télécom internes.

L'analyse forensique des logs de signalisation montre que le groupe a intercepté des codes d'authentification à deux facteurs (2FA) envoyés par SMS immédiatement après certaines redirections, ce qui suggère fortement un objectif d'accès à des comptes en ligne protégés par cette méthode d'authentification. Des personnalités politiques, des représentants gouvernementaux et des figures de la société civile taïwanaise figureraient parmi les cibles identifiées, selon les indications indirectes fournies par ENEA sans divulguer l'identité des victimes spécifiques.

L'attribution à la Chine repose sur plusieurs indicateurs convergents analysés par ENEA avec un niveau de confiance modéré : le ciblage géographique centré sur Taiwan et les abonnés voyageant dans des zones d'intérêt stratégique pour Pékin, les horaires d'activité du groupe correspondant au fuseau horaire UTC+8, et des pauses dans l'activité coïncidant avec les jours fériés officiels chinois comme le Nouvel An lunaire et la Fête nationale. Un possible chevauchement technique avec le groupe Liminal Panda, précédemment documenté par CrowdStrike pour des opérations similaires ciblant les télécoms asiatiques, a été identifié mais reste non confirmé par des tiers indépendants.

ENEA indique avoir notifié les opérateurs dont les équipements ont servi de vecteurs d'attaque. La firme affirme que SilentAir a été "perturbé pour l'instant" sans préciser si les équipements compromis ont été intégralement nettoyés. L'absence de communications officielles de la part de ces opérateurs ou des gouvernements affectés contraste avec la gravité des faits décrits et reflète la réticence habituelle du secteur télécom à reconnaître publiquement des compromissions d'infrastructures critiques de signalisation.

La portée géographique potentielle de l'opération reste difficile à évaluer précisément. ENEA rapporte des tentatives d'interception visant des abonnés dans une douzaine de pays différents, même si Taiwan est de loin le principal pays ciblé. Des citoyens taïwanais en déplacement en Europe, en Amérique du Nord ou en Asie du Sud-Est auraient pu être interceptés dès lors qu'ils utilisaient des réseaux partenaires des opérateurs compromis, les protocoles SS7 et Diameter fonctionnant en réseau de confiance à l'échelle mondiale entre opérateurs interconnectés.

Cette opération s'inscrit dans une série d'incidents liés aux protocoles télécom en 2026. Plus tôt dans l'année, les autorités américaines avaient révélé que des hackers liés à la Chine — dans le cadre de la campagne Salt Typhoon — avaient compromis plusieurs opérateurs télécom américains pour intercepter les communications de personnalités politiques. SilentAir représente une évolution tactique de ces approches, exploitant non pas les systèmes internes d'un opérateur cible, mais les protocoles d'interconnexion eux-mêmes depuis des opérateurs tiers compromis dans des pays aux standards de cybersécurité télécom moins stricts.

Pourquoi c'est important

Cette campagne rappelle avec force que les protocoles SS7 et Diameter constituent une vulnérabilité structurelle connue depuis les révélations du chercheur Karsten Nohl en 2014. Malgré douze ans d'alertes répétées des chercheurs, des régulateurs et des organismes de normalisation comme le GSMA, l'exposition reste systémique. La raison est économique et architecturale : remplacer SS7 nécessiterait une coordination mondiale entre plusieurs milliers d'opérateurs, avec des coûts de transition astronomiques et aucun opérateur n'ayant d'incitation individuelle à agir en premier. Ces attaques continueront tant que l'écosystème téléphonique mondial demeurera ancré dans ces protocoles hérités des années 1980.

Pour les entreprises et les individus, le message opérationnel est clair : l'authentification à deux facteurs par SMS n'est pas une garantie de sécurité pour les cibles à risque élevé. Les organisations qui protègent des comptes sensibles — messageries d'entreprise, accès VPN, portails de gestion d'infrastructures critiques — ne devraient pas utiliser le SMS comme second facteur si elles estiment faire partie du profil de ciblage d'acteurs étatiques. Les alternatives robustes incluent les tokens hardware conformes FIDO2/WebAuthn (YubiKey, etc.), les applications d'authentification TOTP (Google Authenticator, Aegis), et les passkeys qui éliminent complètement le risque lié au canal téléphonique.

Du point de vue géopolitique, cette opération s'inscrit dans un contexte de tensions persistantes autour de Taiwan et témoigne de la nature cyber des conflits contemporains à basse intensité. Les opérations de renseignement de signal (SIGINT) qui nécessitaient historiquement des moyens lourds d'interception physique peuvent désormais être conduites à distance via des protocoles de télécommunication non sécurisés. Les gouvernements et leurs agences de sécurité nationale font face au défi de protéger leurs personnels contre des adversaires capables d'exploiter l'infrastructure civile mondiale comme vecteur d'espionnage à faible visibilité.

Pour les opérateurs télécom européens, cet incident renforce l'urgence de déployer les protections de signalisation recommandées par l'ENISA et le GSMA : firewalls SS7 avec filtrage des messages de localisation anormaux, monitoring continu des flux de signalisation inter-opérateurs, et migration progressive vers des architectures 5G SA (Standalone) dotées de mécanismes d'authentification mutuelle éliminant les vecteurs d'attaque SS7 les plus courants. L'ANSSI avait publié en 2023 un guide de recommandations sur la sécurisation des cœurs de réseau mobile dont l'application reste insuffisante selon de nombreux acteurs du secteur.

Ce qu'il faut retenir

• SilentAir a exploité des failles structurelles de SS7 et Diameter depuis des opérateurs compromis pour intercepter appels, SMS et codes 2FA ciblant des personnalités taïwanaises.
• Le SMS comme second facteur d'authentification est insuffisant pour les cibles à risque étatique : FIDO2/WebAuthn et TOTP applicatif sont les alternatives à adopter immédiatement.
• Les opérateurs télécom doivent accélérer le déploiement de firewalls SS7 et de monitoring de signalisation pour limiter leur utilisation comme vecteurs d'attaque involontaires.