SilentAir nghe lén cuộc gọi, SMS từ bên trong mạng di động

Công ty phần mềm viễn thông và an ninh mạng Enea vừa công bố báo cáo chi tiết về một nhóm tấn công mới có tên SilentAir, chuyên chặn bắt cuộc gọi điện thoại và tin nhắn văn bản thông qua hạ tầng của các nhà mạng di động bị xâm nhập. Đài Loan là mục tiêu chính của nhóm này.

Mạng viễn thông bị xâm nhập

Enea đánh giá với độ tin cậy cao rằng SilentAir là một tác nhân cấp nhà nước mới. Các nhà nghiên cứu cũng tin tưởng ở mức thấp rằng hoạt động của nhóm này có thể gắn với các chiến dịch liên quan đến Trung Quốc, dựa trên ba lý do: sự quan tâm đặc biệt đến Đài Loan, việc không có mục tiêu nào ở Trung Quốc, và thời điểm tấn công khớp với giờ làm việc theo múi giờ Trung Quốc.

Chiếm quyền nút mạng để can thiệp tín hiệu

SilentAir tiến hành các cuộc tấn công vào tín hiệu báo hiệu (signaling), chủ yếu qua giao thức SS7 và đôi khi qua Diameter, từ những nút mạng mà chúng đã chiếm quyền tại các nhà mạng di động. SS7 và Diameter là các giao thức nền tảng mà nhà mạng dùng để trao đổi thông tin định tuyến cuộc gọi và tin nhắn giữa các mạng với nhau.

Các cuộc tấn công định tuyến cuộc gọi đến và tin nhắn SMS của mục tiêu đi qua nút mạng bị xâm nhập, đồng thời thu thập thông tin chi tiết của thuê bao. Nhóm tấn công còn có thể theo dõi vị trí của mục tiêu, nhưng hoạt động này chỉ chiếm một phần nhỏ trong tổng thể.

Đáng chú ý, SilentAir gửi các tin nhắn SMS câm — loại tin nhắn không hiển thị trên điện thoại của người nhận — có thể nhằm kiểm tra xem các nỗ lực chặn bắt trước đó có thành công hay không.

Enea cho biết đã theo dõi các cuộc tấn công từ đầu năm 2025, và quá trình điều tra sâu hơn phát hiện dấu hiệu hoạt động đáng ngờ từ trước thời điểm đó.

Mục tiêu trải rộng khắp nhiều khu vực

Các nút mạng bị chiếm quyền thuộc về các nhà mạng tại ít nhất sáu quốc gia châu Á. Ngoài Đài Loan, nhóm này đã nhắm vào hàng chục quốc gia và vùng lãnh thổ khác, đôi khi nhắm vào cả người dân ở Đông Phi, Trung Á, Trung Đông và châu Âu. Các nhân vật chính trị và chính phủ nổi bật nằm trong số những mục tiêu bị nhắm tới.

Liminal Panda và lỗ hổng qua mạng kết nối IPX

Báo cáo của Enea cũng đề cập đến hoạt động trong năm 2026 của Liminal Panda, một nhóm mà CrowdStrike đánh giá ở mức độ tin cậy thấp là có liên quan đến Trung Quốc. Theo Enea, đây là tác nhân duy nhất được biết đến đang tích cực khai thác IPX — mạng kết nối mà các nhà mạng di động dùng để trao đổi lưu lượng với nhau.

Từ quý I/2026, Enea đã phát hiện và chặn backdoor GTPDoor của Liminal Panda tại nhiều khách hàng là nhà mạng di động. Tổng cộng, công ty ghi nhận hàng trăm nỗ lực kết nối bí mật tới các máy chủ điều khiển (command-and-control).

Enea cho biết đã thấy khả năng lây nhiễm tiềm tàng tại khoảng 5 đến 10 nhà mạng, và ước tính con số thực tế có thể lên tới vài chục, đặc biệt ở châu Á, châu Phi và Mỹ Latinh.

Theo Enea, SilentAir và Liminal Panda có thể có liên hệ với nhau, dù bằng chứng hiện chưa đủ mạnh để khẳng định.

Góc nhìn

Với các kỹ sư và doanh nghiệp Việt Nam, câu chuyện của SilentAir cho thấy rủi ro không chỉ nằm ở phía ứng dụng hay thiết bị đầu cuối mà còn ở lớp hạ tầng viễn thông — nơi giao thức SS7 và Diameter vốn được thiết kế từ thời chưa tính đến các mối đe dọa hiện đại. Khi kẻ tấn công đã đứng được bên trong mạng của nhà mạng, các biện pháp bảo vệ phía người dùng như mã hóa đầu cuối hay xác thực hai lớp trở nên ít hiệu quả hơn với cuộc gọi và SMS truyền thống.

Đối với doanh nghiệp phụ thuộc vào SMS để xác thực (OTP), đây là lời nhắc thực tế về việc đa dạng hóa kênh xác thực và không xem SMS là lớp bảo vệ duy nhất. Về phía các đơn vị vận hành mạng, việc giám sát lưu lượng báo hiệu bất thường và kiểm soát chặt chẽ quyền truy cập vào các nút mạng là những bước cần được ưu tiên, bởi một nút bị chiếm quyền có thể ảnh hưởng tới toàn bộ thuê bao đi qua nó.