Enea, société suédoise de logiciels télécoms et de cybersécurité, vient de documenter SilentAir : un groupe qui détourne des équipements piratés au sein d’opérateurs mobiles asiatiques pour intercepter appels et SMS de personnes ciblées, surtout à Taïwan. Dans certains cas, des codes de double authentification par SMS ont été interceptés quelques instants après le détournement.

Des équipements d’opérateurs retournés contre leurs abonnés

Enea estime, avec un niveau de confiance élevé, que SilentAir est un acteur étatique. Le rapport, relayé par SecurityWeek, The Hacker News et Infosecurity Magazine, situe les nœuds détournés chez des opérateurs d’au moins six pays asiatiques. Ni les pays, ni les opérateurs, ni les cibles ne sont nommés. Enea affirme avoir prévenu les opérateurs concernés et juge le groupe perturbé pour l’instant, mais capable de revenir. Savoir si le matériel compromis a été nettoyé : le rapport ne le dit pas, d’après The Hacker News.

Le mécanisme exploite la confiance entre opérateurs. Les opérateurs s’appuient sur les protocoles de signalisation SS7 et Diameter pour acheminer appels et SMS et gérer l’itinérance ; SilentAir passe surtout par SS7, parfois par Diameter. Ces messages circulent sur un réseau d’interconnexion partagé, l’IPX, où les opérateurs se font largement confiance. Depuis ses équipements piratés, SilentAir envoie au réseau d’origine de la victime un message de type UpdateLocation (ou son équivalent Diameter) prétendant que le téléphone est désormais desservi par le nœud compromis. Si le réseau d’origine accepte, les appels et SMS entrants sont réacheminés vers les attaquants.

Le rapport décrit aussi des SMS « silencieux », que le téléphone n’affiche pas. Ils servent en partie de test : si le message arrive au nœud piraté plutôt qu’au téléphone, l’interception fonctionne. Enea note que ces messages contenaient des phrases de type spam, souvent en anglais, probablement comme déguisement : si un opérateur sur le trajet retire l’attribut « silencieux », le destinataire croit à une publicité et l’ignore.

Ce que l’on sait, et ce que l’on ne sait pas

Les chiffres donnent la mesure de la singularité du groupe. L’interception représente 18,3 % des attaques observées de SilentAir, contre 2,1 % chez une société de surveillance typique, d’après les recherches antérieures d’Enea citées par The Hacker News. Le suivi de localisation, lui, ne pèse que peu.

Les attaques arrivent par salves : de quelques abonnés à plusieurs milliers sur un mois, avec des pauses pouvant durer plusieurs mois. Au-delà de Taïwan, une douzaine d’autres pays et territoires ont été visés, selon SecurityWeek. Les cibles se trouvent surtout sur d’autres réseaux d’Asie du Sud-Est et d’Asie de l’Est, et parfois en Afrique de l’Est, en Asie centrale, au Moyen-Orient et en Europe. Des responsables politiques et gouvernementaux figurent parmi les personnes visées. Dans de rares cas, des équipements situés dans plusieurs pays ont opéré ensemble contre de telles cibles, ce qui pointe, selon Enea, vers un seul pilote.

Le tableau reste incomplet. Les codes 2FA interceptés laissent penser à une tentative de prise de contrôle d’autres comptes, mais le rapport ne dit pas qu’un compte ait été réellement pris. Pour les appels vocaux, il ne donne pas de preuve comparable. Enea ne voit pas non plus le trafic des abonnés des opérateurs piratés eux-mêmes, qui ont pu être visés. Enfin, le malware que le groupe est soupçonné d’utiliser n’a pas pu être analysé.

Chine, Liminal Panda : des liens hypothétiques

L’attribution reste prudente. Enea relie SilentAir à des opérations proches de la Chine avec un faible niveau de confiance, sur trois indices : l’intérêt pour Taïwan, l’absence de cibles chinoises et une activité calée sur la journée de travail en UTC+8 (démarrage à 9 h, quasi-arrêt le week-end, ralentissement pendant les fêtes chinoises).

Le rapport examine aussi l’activité en 2026 de Liminal Panda, un groupe que CrowdStrike rattache lui aussi, avec une confiance faible, à des opérations proches de la Chine. Enea le présente comme le seul acteur connu pour exploiter activement l’IPX. Depuis le premier trimestre 2026, l’entreprise a repéré et bloqué la porte dérobée GTPDoor chez plusieurs de ses clients opérateurs ; au total, elle a intercepté plusieurs centaines de tentatives de joindre discrètement des serveurs de commande. Elle évoque des infections potentielles chez cinq à dix opérateurs, et estime que le total pourrait atteindre plusieurs dizaines, notamment en Asie, en Afrique et en Amérique latine. Chez plusieurs opérateurs piratés, des attaques de SilentAir ont eu lieu pendant une infection connue de Liminal Panda ; à d’autres moments, rien n’indique que les deux groupes aient agi ensemble. Ils visent la même région d’Asie, mais Liminal Panda n’a pas de focalisation connue sur Taïwan. Enea juge le lien possible mais non établi.

Autre rapprochement : le comportement de SilentAir correspond en partie à celui de SCTPE, un cheval de Troie Linux peu connu qui tourne dans le noyau et sert à émettre et recevoir du trafic SS7 et Diameter. L’autorité singapourienne IMDA décrit le même outil sous le nom SIGweaver dans un avis officiel, et indique que CrowdStrike l’a identifié le 21 janvier et le rattache à Liminal Panda avec une confiance modérée.

Pourquoi le SMS reste un second facteur fragile

Le message à retenir pour les lecteurs français n’est pas que Taïwan est visé. C’est que le SMS transite par un réseau d’interconnexion qui repose sur la confiance entre opérateurs : qu’un seul équipement soit piraté, et il peut réclamer les messages d’abonnés d’un autre réseau. Un code reçu par SMS peut être détourné sans que le téléphone, le mot de passe ou l’application de l’utilisateur ne soit touché : l’attaque se joue chez l’opérateur. Enea ne signale pas d’abonnés français parmi les cibles, mais l’Europe figure bien parmi les zones touchées de façon occasionnelle.

Pour les comptes sensibles, mieux vaut donc, quand le service le propose, remplacer le SMS par une application d’authentification générant des codes sur l’appareil, ou, mieux encore, par une clé de sécurité physique ou une clé d’accès (passkey). Ces méthodes ne dépendent pas du réseau de l’opérateur. Le SMS reste préférable à l’absence de double authentification, mais il ne devrait plus être le seul rempart d’une messagerie, d’une banque ou d’un compte d’administration.

Reste à voir si Enea ou des opérateurs publieront des éléments permettant d’identifier les réseaux compromis, et si SilentAir, perturbé pour l’instant, reprend ses salves.

Sources

• SilentAir Hackers Intercept Calls, SMS From Inside Mobile Networks, SecurityWeek, 13 novembre 2026
• SilentAir Hijacks Asian Telecom Networks to Intercept SMS 2FA Codes and Spy on Taiwanese Users, The Hacker News, 13 novembre 2026
• Hacked Asian Telcos Used to Intercept Taiwanese Calls and Texts, Infosecurity Magazine, 12 novembre 2026