Expertos descubren una vulnerabilidad de las tarjetas SIM en dispositivos IoT y cargadores de vehículos eléctricos
Expertos de la Universidad de Birmingham y de la empresa alemana Fuzzware han afirmado que las tarjetas SIM maliciosas pueden tomar el control total de dispositivos, desde teléfonos inteligentes hasta routers industriales y estaciones de carga para vehículos eléctricos. El foco está en una función estándar llamada Proactive SIM, parte de la especificación de las redes móviles. Normalmente, Proactive SIM permite que la tarjeta SIM dé órdenes al dispositivo en el que está instalada, en lugar de limitarse a identificar al abonado en la red.
El problema se debe a un comando específico, RUN AT. Este comando hace que el módem ejecute los llamados comandos AT, un antiguo lenguaje de control de módems que apareció en la época del Hayes Smartmodem de 1981. Así, la tarjeta SIM obtiene una consola de control si el dispositivo no cuenta con protecciones fiables.
Los investigadores —Tomasz Piotr Lisowski, el doctor Marius Münch (Birmingham) y Christian Zowig (Fuzzware)— crearon su propia herramienta, CATana, para estudiar las consecuencias de esta vulnerabilidad. Probaron 26 dispositivos: 18 teléfonos inteligentes y 8 módulos de comunicaciones móviles, y descubrieron que la interfaz SIM AT está disponible en 9 de ellos. La mayoría de los dispositivos vulnerables se concentra en equipos diseñados para la comunicación entre máquinas (el llamado M2M, machine-to-machine): 6 de los 8 módulos aceptaron el comando malicioso, frente a solo 3 de los 18 teléfonos probados (Oppo Find X5, Oppo Reno 14 F 5G y Asus Zenfone 9). No se trata de una repetición de un ataque a gran escala como Simjacker, pero sí de una amenaza bastante seria.
Un dato general: los 9 dispositivos vulnerables utilizan un procesador o módem Qualcomm, aunque otros 5 dispositivos basados en Qualcomm no son vulnerables; probablemente cuentan con las protecciones correspondientes. Los resultados de la investigación se comunicaron a Google, Oppo, Quectel, Semtech y Qualcomm en marzo de 2026, y a la GSMA en mayo. Qualcomm ya ha desarrollado una configuración segura que desactiva por defecto la interfaz peligrosa y que se utilizará en futuros dispositivos.
Hay un matiz importante: para aprovechar la vulnerabilidad, el atacante debe tener acceso físico a la tarjeta SIM; conocer el número de teléfono no basta. Esto limita considerablemente la amenaza para los teléfonos inteligentes. Sin embargo, el problema afecta más a los equipos IoT, como las estaciones de carga y los dispositivos industriales: a menudo están poco protegidos, la bandeja de la SIM puede quedar accesible y sustituir la tarjeta es más sencillo.
La conclusión es curiosa: mientras los teléfonos inteligentes modernos se protegen activamente contra este tipo de ataques, el mundo de los dispositivos para máquinas (IoT, M2M) sigue estando poco protegido. Y precisamente estos equipos, los menos propensos a recibir actualizaciones, resultaron ser el blanco más fácil.
PEREC.RU
Hoy casi todos los dispositivos inteligentes aseguran a sus usuarios que su seguridad está por las nubes. Sin embargo, tras el telón de este teatro digital llevan tiempo agazapados viejos agujeros de seguridad de los que nadie quiere acordarse. Ahí está, por ejemplo, la historia de los nefastos comandos AT, inventados casi en la misma época que los teléfonos móviles con antena. Quién iba a pensar que ahora se podía acceder a ese vestigio directamente desde una tarjeta SIM mediante Proactive SIM, que existe por necesidad y no para jugar.
Los investigadores han hurgado a fondo, y con razón. Según ellos, la mayoría de los teléfonos inteligentes actuales sí está protegida frente a esta sorpresa, pero los equipos para el internet de las cosas y los cargadores de vehículos eléctricos, por ingenuidad o por avaricia de sus fabricantes, no saben defenderse. Lo más elegante es que no hace falta ningún hackeo remoto: basta con tener acceso físico. Sacas la SIM, pones la tuya y ¡listo! Que los móviles estén casi a salvo no consuela mucho: las actualizaciones de software son un problema aún mayor en esos equipos.
Y mejor aún, la respuesta del mercado. Qualcomm se ha puesto las pilas y ha incorporado la protección al software; a los demás parece importarles poco. Mientras tanto, contamos los dispositivos vulnerables y esperamos el próximo caso de sabotaje digital en una electrolinera para todoterrenos premium. Prometen que a partir de ahora todo estará bien «por defecto», pero, como siempre, confiar en que actualicen el equipo instalado en el sótano o en el tejado de una fábrica es como esperar que la abuela del banco de la plaza se ponga de repente a estudiar ciberseguridad. Parece que, de momento, la vulnerabilidad depende solo de la pereza humana, pero eso es temporal.
