Jak sprawdzić, czy abonent jest za granicą?

Jak sprawdzić, czy abonent jest za granicą? Najszybszą metodą jest wykonanie połączenia telefonicznego i wsłuchanie się w sygnał oczekiwania, bo zagraniczne centrale sieci komórkowych generują w roamingu inny ton dzwonka niż polskie stacje bazowe. Możesz też wysłać specjalnego linka śledzącego IP, przeanalizować nagłówki raportu doręczenia SMS lub użyć narzędzi OSINT do weryfikacji logowania numeru w rejestrze HLR. Zwykły biling to często za mało. Żeby uzyskać twarde dane o lokalizacji BTS, musisz mieć nakaz prokuratorski. A zwykły człowiek ma do dyspozycji tylko nasłuch sygnałów, socjotechnikę i analizę nagłówków sieciowych.

Siedzimy wczoraj na węźle SS7 do trzeciej nad ranem. Próbujemy namierzyć ruch z kart SIM, które wyjechały poza obszar Unii Europejskiej. Prawda jest zresztą absolutnie taka, że operatorzy telekomunikacyjni rzucają kłody pod nogi przy każdej próbie geolokalizacji bez zgody użytkownika. Zablokowaliśmy porty na firewallu, a i tak pakiety z zapytań o lokalizację przeciekały przez zagraniczne centrale tranzytowe. Kiedyś wystarczyło wysłać proste żądanie do bazy, by dostać na tacy Cell ID stacji bazowej. Dzisiaj to mordercza walka z filtrami anty-spoofingowymi na styku sieci. Więc jeśli ktoś w internecie sprzedaje ci aplikację za dwadzieścia złotych do namierzania numeru, to najzwyczajniej w świecie kłamie. Prawdziwe śledzenie telefonu wymaga dostępu do rdzenia sieci komórkowej.

Po jakim sygnale dzwonka poznać, że abonent jest w roamingu?

Kiedy wybierasz numer, twój telefon wysyła żądanie zestawienia połączenia do centrali (MSC). Centrala odpytuje rejestr HLR (Home Location Register) o to, gdzie aktualnie przebywa abonent. Jeśli system widzi, że karta SIM loguje się do zagranicznego rejestru VLR (Visitor Location Register), przekierowuje tam ruch. I tu pojawia się pierwszy sprzętowy wyciek informacji. Ton oczekiwania, czyli ten charakterystyczny dźwięk pikania w słuchawce, generuje centrala docelowa, do której podpięty jest odbiorca.

W Polsce standardowy sygnał oczekiwania ma częstotliwość 425 Hz. Dźwięk trwa sekundę, po czym następują cztery sekundy ciszy. Znamy ten rytm na pamięć. Wyjeżdżasz do Wielkiej Brytanii? Brytyjskie sieci rzucają w słuchawkę podwójnym, krótkim piknięciem. Jesteś w Niemczech? Sygnał jest ciągły, ale ma inną barwę i odstępy. Francja gra jeszcze inne tony.

Wielu ludzi myśli, że to takie proste. BZDURA. Sygnał zależy od tego, jak dokładnie skonfigurowano routing na styku sieci międzynarodowych. Czasami polski operator wymusza generowanie polskiego sygnału z własnej centrali, żeby nie dezorientować dzwoniącego. Zrobiliśmy na wdrożeniu testów w zeszłym tygodniu analizę ruchu głosowego dla sieci Play. Wyszło nam, że przy połączeniach do Hiszpanii przez bramki SIP, sygnał był całkowicie zniekształcony i maskowany przez polskie serwery brzegowe. Mimo to, w zdecydowanej większości przypadków, stary, analogowy nasłuch dzwonka zdradza, że telefon opuścił kraj. Wystarczy mieć dobre ucho.

Czy raport doręczenia SMS zdradza lokalizację telefonu?

Wysyłasz wiadomość tekstową. Twój telefon prosi sieć o potwierdzenie dostarczenia. To tak zwany Delivery Report. Mechanika tego procesu opiera się na wymianie komunikatów między centrum SMS (SMSC) a telefonem odbiorcy. Jeśli abonent jest za granicą, czas odpowiedzi drastycznie rośnie.

• Prawdziwy raport doręczenia wraca do ciebie prosto z centrum wiadomości operatora docelowego. Jeśli telefon loguje się do sieci roamingowej w Azji, pakiety sygnalizacyjne muszą przejść przez kable podmorskie i węzły wymiany ruchu. Czas pingu rośnie. SMS wysłany do abonenta w Warszawie wraca z raportem w ułamek sekundy. SMS do Tajlandii potrafi generować raport przez pięć sekund. To twardy, mierzalny wskaźnik opóźnienia sieciowego.
• Często w surowych logach z bramek deweloperskich widać przesunięcie strefy czasowej w stemplu doręczenia.
• Brak doręczenia przy włączonym sygnale dzwonka oznacza poważną anomalię, sugerującą wylogowanie z VLR z zachowaniem sztucznego podtrzymania sesji.
• SMS typu Flash wyświetla się od razu na ekranie, wymuszając natychmiastową reakcję bazy.

Anegdota z biura. Miałem kiedyś sytuację na osiedlu w Ząbkach pod Warszawą. Próbowaliśmy zlokalizować zgubiony sprzęt firmowy. Wszyscy myśleli, że telefon leży gdzieś w rowie, a systemy monitoringu HLR pokazywały logowanie w okolicach Monachium. Wyobrażacie sobie tę panikę w dziale IT? Ktoś po prostu zabrał kartę SIM do prywatnego telefonu i pojechał na urlop w Alpy. Wtedy zrozumiałem, jak bardzo zawodne są te korporacyjne aplikacje śledzące za grube tysiące. Płacisz za interfejs, a pod spodem to zwykły ping do bazy SS7 robiony przez tanie API z Indii. Więc nie ufajcie wykresom, tylko surowym logom sprzętowym z BTS.

Jak sprawdzić rejestr HLR i VLR numeru telefonu?

Bazy HLR to serce każdej sieci komórkowej. Przechowują absolutnie każdą informację o twoim koncie, usługach i aktualnym położeniu na poziomie centrali MSC. Zapytanie HLR (HLR Lookup) to technika używana przez marketerów do czyszczenia baz danych, by nie wysyłać SMS-ów na martwe numery. Ale dla nas to potężne narzędzie inwigilacji sieciowej.

Używamy do tego protokołu MAP (Mobile Application Part). Wysyłasz pakiet SendRoutingInfoForSM. Centrala musi odpowiedzieć, czy numer jest aktywny i w jakiej sieci aktualnie przebywa. Dostajesz w odpowiedzi kod MCC (Mobile Country Code) i MNC (Mobile Network Code). Polska ma kod 260. Jeśli zrobisz zrzut z bramki HLR i w polu MCC zobaczysz 234, wiesz od razu, że abonent przebywa w Wielkiej Brytanii. Bez dzwonienia. Bez wysyłania widocznych wiadomości.

Darmowe bramki w internecie po prostu sprawdzają prefiks numeru w lokalnych bazach UKE. Kłamią. Żeby dostać prawdziwe dane z VLR, potrzebujesz płatnego dostępu do usług hurtowych SS7. Zablokowali to w zeszłym roku na większości węzłów tranzytowych ze względów bezpieczeństwa. Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku zabezpieczeń telekomunikacyjnych.

Czy poczta głosowa włącza się inaczej za granicą?

Zastanawiacie się zresztą, dlaczego to przekierowanie na pocztę trwa czasem dziesięć sekund? Sam się nad tym borykałem dzisiaj u siebie we wtorek rano analizując zrzuty z sieci rdzeniowej. Pakiet głosowy musi pokonać trasę z Polski do zagranicznej centrali VLR i wrócić z informacją o zajętości lub braku zasięgu. To fizyka, której nie oszukasz.

Jeśli abonent wyłączy telefon w Polsce, centrala HLR wie o tym natychmiast. Dzwonisz i w ułamku sekundy słyszysz polski komunikat “Abonent jest czasowo niedostępny”. Jeśli jednak telefon loguje się w hiszpańskim Orange i tam traci zasięg w tunelu, polska centrala musi najpierw zapytać hiszpański VLR o status. To generuje martwą ciszę w słuchawce trwającą od kilku do kilkunastu sekund, zanim usłyszysz automat. Długi czas zestawiania połączenia przed odrzuceniem to najbardziej brutalny i szczery dowód na to, że karta SIM walczy z zagranicznymi nadajnikami BTS.

Link śledzący IP jako ostateczna broń OSINT

Nie masz dostępu do węzłów SS7. Nie umiesz analizować logów z bramek SMS. Co ci zostaje? Socjotechnika połączona z generatorem linków śledzących. To metoda stara jak internet, ale wciąż działa z przerażającą skutecznością na niczego nieświadomych użytkownikach sprzętu mobilnego.

Tworzysz specjalny link za pomocą narzędzi typu Grabify lub CanaryTokens. Zmieniasz domenę na coś zaufanego. Wysyłasz ten adres abonentowi przez WhatsApp, Signal lub zwykły SMS, dodając chwytliwy tekst. “Zobacz te zdjęcia z wczoraj” albo “Twoja paczka utknęła w magazynie”. Abonent klika. Jego przeglądarka w telefonie wysyła żądanie HTTP GET do twojego serwera. W tym ułamku sekundy serwer zapisuje jego publiczny adres IP, nagłówek User-Agent oraz dane o rozdzielczości ekranu. To jest bez mała najgorsza opcja z wszystkich dla prywatności ofiary.

Bierzesz ten adres IP i wrzucasz do bazy MaxMind GeoIP lub rejestru RIPE. Widzisz, że właścicielem puli adresowej jest Vodafone Italy. Masz stuprocentową pewność. Abonent pije kawę w Rzymie. Pamiętaj tylko, by wziąć poprawkę na VPN. Jeśli ktoś używa tunelowania ruchu przez serwery NordVPN w Polsce, zobaczysz warszawskie IP, mimo że fizycznie leży na plaży w Grecji. Zmieniliśmy te zasady na robocie w zeszłym miesiącu, bo pracownicy notorycznie omijali blokady regionalne uruchamiając firmowe laptopy przez prywatne hotspoty z aktywnym WireGuardem.

Legalne metody geolokalizacji z poziomu operatora i bilingu

Abonent to zazwyczaj twój pracownik, członek rodziny lub dłużnik. Z perspektywy prawa telekomunikacyjnego, żaden operator w Polsce nie poda ci informacji o lokalizacji stacji bazowej, do której loguje się dany numer. Zwykły biling generowany pod koniec okresu rozliczeniowego zawiera wprawdzie pozycje z roamingu międzynarodowego, ale dane te spływają z opóźnieniem.

Pliki TAP (Transferred Account Procedure) służą do wymiany informacji o kosztach między operatorami. Gdy abonent dzwoni z zagranicy, zagraniczna sieć wysyła plik TAP do polskiego operatora. Przetworzenie tego trwa. Zobaczysz to na rachunku po kilku dniach. Czasem w systemach pre-paid widać natychmiastowe blokady środków na koncie za transfer danych w strefie poza UE. Zalogowanie się do aplikacji operatora (np. Mój Orange, Play24) i sprawdzenie bieżącego zużycia pakietów w roamingu to najszybsza administracyjna metoda weryfikacji.

Dobrym pomysłem jest wymuszenie na pracowniku instalacji narzędzia MDM (Mobile Device Management) na służbowym smartfonie. Zablokuj mu uprawnienia do wyłączania usług lokalizacyjnych w profilu Android Enterprise. To ucina wszelkie dyskusje o tym, gdzie znajduje się sprzęt podczas rzekomego zwolnienia lekarskiego. Masz podgląd na żywo na współrzędne GPS raportowane prosto z modułu satelitarnego telefonu, z pominięciem całej warstwy komórkowej.

Co zrobić, gdy wszystkie metody zawodzą?

Czasem trafiasz na ścianę. Telefon jest wyłączony, poczta głosowa nieaktywna, a linki śledzące ignorowane. W takich sytuacjach analitycy OSINT sprawdzają aktywność na komunikatorach. WhatsApp pokazuje status “Ostatnio widziany”. Jeśli wiesz, że abonent normalnie śpi o 23:00 polskiego czasu, a nagle jest aktywny o 4:00 rano przez kilka dni z rzędu, masz mocną przesłankę o zmianie strefy czasowej. Weryfikujesz tło na zdjęciach wrzucanych na media społecznościowe. Szukasz odbić w okularach, nietypowych gniazdek elektrycznych na ścianach lub analizujesz cienie rzucane przez budynki, by obliczyć kąt padania słońca. Ale to już praca dla maniaków geolokalizacji obrazowej.

Sprawdź sam swoje własne logi z BTS. Zadzwoń na swój zapasowy numer z innej karty i zmierz ping na bramce. Przestań wierzyć w magiczne aplikacje z reklam. Analiza surowych danych daje ci przewagę na rynku.

FAQ – Najczęściej zadawane pytania

• 1. Czy dzwoniąc za granicę, sygnał w słuchawce jest inny?
  Tak, zagraniczne centrale telefoniczne generują inny ton oczekiwania. Często ma on inną częstotliwość, długość piknięć i przerwy między nimi w porównaniu do standardowego polskiego sygnału 425 Hz.
• 2. Czy widać na bilingu, że ktoś jest w roamingu?
  Na oficjalnym, miesięcznym rachunku pojawią się opłaty lub pakiety z sekcji roamingu międzynarodowego. W systemach online operatora można to czasem zauważyć na bieżąco w zakładce zużycia danych.
• 3. Jak namierzyć telefon za granicą po numerze?
  Zwykły obywatel nie ma dostępu do dokładnej geolokalizacji BTS po numerze. Może jedynie skorzystać z zapytań HLR, linków śledzących IP (tzw. IP loggers) lub weryfikacji sygnału dzwonka.
• 4. Czy SMS za granicę dochodzi wolniej?
  Z reguły tak. Pakiety muszą przejść przez międzynarodowe węzły tranzytowe. Czas powrotu raportu doręczenia wiadomości tekstowej jest zauważalnie dłuższy niż w ruchu krajowym.
• 5. Czy poczta głosowa zdradza pobyt za granicą?
  Czasem tak. Jeśli telefon jest włączony i straci zasięg w obcym kraju, czas przekierowania na pocztę głosową jest dłuższy. Sam komunikat zazwyczaj pozostaje w języku polskim.
• 6. Co to jest zapytanie HLR?
  To techniczne zapytanie do bazy danych operatora, sprawdzające status numeru. Zwraca informacje o kodzie kraju (MCC) i sieci (MNC), w której aktualnie loguje się karta SIM.

Bibliografia

1. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
2. Europejski Urząd Organów Łączności Elektronicznej – https://berec.europa.eu
3. Naukowa i Akademicka Sieć Komputerowa – https://nask.pl
4. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
5. Związek Importerów i Producentów Sprzętu Elektrycznego i Elektronicznego Branży RTV i IT – https://zipsee.pl