SIM‑карта может открыть браузер на заблокированном телефоне одной командой

SecurityLab обнаружил, что современная SIM‑карта способна выполнить команду, открывающую браузер без разблокировки. Это происходит через механизм SIM Application Toolkit (STK), который позволяет оператору посылать команды напрямую на телефон.

В тестах на Android 12 и 13 команда OPEN_BROWSER, отправленная с SIM‑карты, запустила Chrome и отобразила заданный URL, при этом экран оставался заблокированным.

Операторы используют эту возможность для сервисов вроде мобильных банков, но злоумышленники могут подменить ссылку и провести фишинговую атаку, получив доступ к личным данным.

Защищайся: в настройках Android отключи «SIM‑Toolkit» или «SIM‑приложения», включи PIN‑код на SIM, регулярно обновляй прошивку. Операторы тоже обязаны ограничивать такие команды.

Помни, SIM‑карта — не просто «симка», а микроконтроллер, способный выполнять код независимо от ОС, поэтому её безопасность важна так же, как и защита телефона.