Cyberpediadi Brain
ITDEENESFR

IMSI-catcher: la falsa antenna ripetitrice

Una falsa stazione radio base può inserirsi tra il vostro telefono e la rete. Cosa dicono le fonti su questo rischio e cosa potete fare.

In 30 secondi

Dove succede
Nel raggio di una falsa stazione base, un apparecchio in grado di intercettare il traffico di un telefono dopo che è uscito dal dispositivo1.
Cosa vuole l'attaccante
Porsi tra il telefono e la sua destinazione per catturare il traffico, oppure seguirne la posizione13.
Il riflesso
Preferire le applicazioni che cifrano il proprio traffico, il che può escludere alcune forme di intercettazione, e tenere il sistema aggiornato, il che rende più difficile registrare un'applicazione come fornitore VPN1. Queste due misure non proteggono con certezza da una falsa stazione base.
Se siete molto esposti
La CISA invita le persone «highly targeted» ad applicare senza indugio le buone pratiche della sua guida6.

Di cosa si tratta

Questa scheda riguarda la falsa stazione radio base mobile, spesso chiamata IMSI-catcher. Le fonti del dossier non usano questo termine. MITRE ATT&CK classifica nella famiglia «Adversary-in-the-Middle» l'attaccante che si pone tra due dispositivi collegati in rete e cita, tra i suoi mezzi esterni al telefono, una «rogue base station», cioè una stazione base pirata, oppure un punto di accesso Wi-Fi pirata1.

Per un dipendente il rischio sta qui: il traffico viene intercettato dopo che ha lasciato il telefono, durante il tragitto verso la destinazione1. La scheda si limita a ciò che le fonti del dossier stabiliscono. Descrivono il principio generale e le protezioni, non i dettagli di ogni variante di apparecchiatura.

Domande dirette

Che cos'è un IMSI-catcher?

Le fonti del dossier non usano questa parola. Parlano di una «rogue base station», una stazione base pirata1. MITRE descrive la famiglia di attacchi corrispondente: un avversario si interpone tra dispositivi in rete per manipolare i dati trasmessi o disturbare un terminale1. Le fonti del dossier non definiscono l'IMSI, ma mostrano che interessa ai software spia: la scheda MITRE sulla scoperta della configurazione di rete cita gli identificativi di telefonia come l'IMSI, l'IMEI e il numero di telefono2.

Il mio telefono si collega a qualsiasi antenna?

Le fonti del dossier non descrivono la procedura con cui un telefono si collega a un'antenna. Non dettagliano quindi né il passaggio forzato al 2G né l'autenticazione tra telefono e rete. La guida NIST SP 800-187 tratta la sicurezza della rete LTE (4G) e l'analisi delle minacce che la riguardano4. Il testo della pagina non permette di dire di più in questa sede.

Una falsa stazione base legge i miei messaggi?

Dipende dalla cifratura del traffico di rete da parte delle applicazioni. MITRE scrive che, se le applicazioni cifrano correttamente il loro traffico, i dati sensibili possono restare inaccessibili all'avversario, a seconda del punto in cui avviene la cattura1. La pagina cita due dispositivi: Application Transport Security presso Apple e Network Security Configuration su Android1.

Si può essere localizzati con questo tipo di strumento?

La localizzazione rientra tra gli obiettivi di un attaccante su mobile. MITRE descrive soprattutto il tracciamento tramite applicazioni malevole che ottengono i permessi di localizzazione3. Una sottotecnica di questa pagina si chiama «Impersonate SS7 Nodes»: l'attaccante imita nodi della rete di segnalazione SS7. La pagina non la dettaglia nel testo recuperato3.

1Nei panni dell'attaccante1 min

L'attaccante cerca una posizione di intermediario. Secondo MITRE, questa posizione serve per azioni successive, come la manipolazione dei dati trasmessi o il rifiuto di servizio su un terminale1. Una falsa stazione base mobile la raggiunge fuori dal telefono, secondo la descrizione di MITRE1.

L'identificativo della scheda SIM ha valore per lui. Malware mobili (FakeSpy, SpyDealer, XLoader per Android) e il gruppo APT-C-23 figurano tra gli esempi elencati da MITRE per la raccolta di questi identificativi2. Questi casi riguardano applicazioni installate sul telefono, non una falsa stazione base.

Anche la posizione interessa all'attaccante. MITRE cita il caso di FrozenCell, che ha usato un servizio online di geolocalizzazione tramite celle radio per seguire i propri bersagli3. Anche qui la pagina descrive l'uso di un servizio online, non una falsa stazione base.

2Cosa si vede sullo schermo1 min

Le fonti del dossier non descrivono alcun segno visibile specifico della falsa stazione base. Non menzionano né il passaggio della rete al 2G, né la batteria che si scarica, né chiamate o SMS persi. Nessuno di questi sintomi può quindi essere presentato come indizio accertato.

Esiste tuttavia un punto di attenzione sul versante delle chiamate, senza un legame accertato con una falsa stazione base. Per le applicazioni Android, MITRE descrive un avversario che può effettuare, inoltrare o bloccare chiamate senza il consenso dell'utente, per esempio per ascoltare o per deviare le chiamate del proprietario5.

3Sotto il cofanoTeam IT1 min

Il testo di MITRE sulla cattura del traffico distingue due situazioni. Nella prima, un'applicazione malevola si dichiara client VPN per reindirizzare il traffico del dispositivo verso risorse dell'avversario. Questo richiede il consenso dell'utente su Android e su iOS, e un'autorizzazione speciale di Apple su iOS1. Nella seconda, l'avversario agisce fuori dal telefono, con una stazione base o un punto di accesso Wi-Fi pirata, e cattura il traffico lungo il percorso1. In una rete locale esistono altri metodi, come l'avvelenamento della cache ARP o lo spoofing DHCP1.

Sul versante degli identificativi, Android ha irrigidito l'accesso. Da Android 10, solo le applicazioni preinstallate, quelle dell'operatore, l'applicazione SMS predefinita e le applicazioni di proprietario del dispositivo o del profilo possono leggere gli identificativi di telefonia, tra cui l'IMSI2. Su iOS, la raccolta di informazioni sulla configurazione di rete non è possibile senza accesso root2.

Le protezioni elencate da MITRE contro l'intercettazione sono di due tipi: cifrare il traffico di rete e usare una versione recente del sistema, perché le versioni recenti rendono più difficile registrare un'applicazione come fornitore VPN1.

4AutopsieCasi reali1 min

Le fonti del dossier non riportano alcun incidente di IMSI-catcher datato e attribuito. Due documenti datati fanno da riferimento.

Dicembre 2017: la guida NIST sulla sicurezza LTE

Il NIST ha pubblicato la versione finale della scheda SP 800-187, «Guide to LTE Security», nel dicembre 20174. Il documento presenta il funzionamento delle reti LTE e la loro architettura di sicurezza. Analizza poi le minacce e le contromisure4. La pagina non dice che questa guida tratti di false stazioni base.

Marzo 2026: la guida della CISA sulle comunicazioni mobili

La CISA ha rivisto il 13 marzo 2026 la sua guida di buone pratiche per le comunicazioni mobili6. Risponde ad attività di spionaggio condotte da attori legati a Stati, in particolare attori legati al governo cinese che prendono di mira infrastrutture di telecomunicazioni commerciali6. Si rivolge alle persone «highly targeted», come alti responsabili del governo, dell'esercito o della politica6. La CISA invita queste persone ad applicare senza indugio le buone pratiche della guida6. La pagina non cita false stazioni base.

5I gesti che contano1 min

Le fonti del dossier sostengono tre gesti. Il primo: aggiornare il sistema, perché le versioni recenti rendono più difficile registrare un'applicazione come fornitore VPN1 e limitano l'accesso agli identificativi di telefonia su Android2. Il secondo: preferire le applicazioni che cifrano il proprio traffico, il che può escludere alcune forme di intercettazione1. Il terzo: se la vostra posizione vi espone, leggere e applicare la guida della CISA6. Disattivare il 2G non è un consiglio che le fonti del dossier consentano di formulare.

Scheda

Identificativo
CP-083
Ala
1. Attacchi e tecniche
Competenza Brain
Proteggere i dispositivi (secure_devices)
Riflesso Brain
cr-050
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
6 fonti verificate il 3 novembre 2026
Fonti6 fonti
  1. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1638 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1638/ (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «System Network Configuration Discovery, Technique T1422 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1422/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Location Tracking, Technique T1430 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1430/ (consultato il 3 novembre 2026)
  4. NIST, «SP 800-187, Guide to LTE Security | CSRC», 21 dicembre 2017. https://csrc.nist.gov/pubs/sp/800/187/final (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Call Control, Technique T1616 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1616/ (consultato il 3 novembre 2026)
  6. CISA, «Mobile Communications Best Practice Guidance | CISA». https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «IMSI-catcher: la falsa antenna ripetitrice», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/imsi-catcher-falsa-antenna-ripetitore/

BibTeX 
@misc{brain_cp083_it_2026,
  author = {Brain},
  title = {IMSI-catcher: la falsa antenna ripetitrice},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/imsi-catcher-falsa-antenna-ripetitore/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0