Заброшенный домен ENUM позволил перехватывать звонки на военные базы

Немецкая специалистка по кибербезопасности Лина обнаружила критическую уязвимость в системе ENUM, которая позволяет перехватывать или перенаправлять телефонный трафик по протоколу SIP для кодов +290, +246 и +247. Эти коды относятся к острову Святой Елены (британская заморская территория в Атлантике), Диего-Гарсия (военная база США в Индийском океане) и острову Вознесения (британская территория с совместными объектами Великобритании и США).

Эксперт изучала зоны ENUM в пространстве e164.arpa и выявила три заброшенные зоны. Они использовали два сервера имён: первый уже не работал, а домен второго, enum.org.uk, оказался просрочен. Исследовательница ИБ зарегистрировала домен за 5 евро и получила возможность отвечать на DNS-запросы для всех трёх территорий. 

На начальном этапе тестирования зона острова Святой Елены не показала активности за сутки. Однако последующий анализ журналов всех трёх зон выявил масштабный трафик. Сервер исследователя зафиксировал 100 170 запросов для Диего-Гарсии, 99 902 для острова Вознесения и 9 133 для Святой Елены. С учётом второго сервера общий объём запросов оценивается примерно в 400 тысяч.

Каждый ENUM-запрос содержал телефонный номер в перевёрнутом формате, что позволяло восстановить полный номер. Вместе с номером фиксировались время обращения и IP-адрес отправителя DNS-запроса. Большинство запросов к зонам Диего-Гарсия и Вознесения поступало через американскую телеком-инфраструктуру. При этом журналы не подтверждают, что каждый запрос соответствовал реальному телефонному разговору.

Сервер Лины отвечал отрицательно на все запросы, поэтому звонки продолжали маршрутизироваться по обычной телефонной сети. Обнаружив аномальный трафик, специалист остановила сервер, удалила журналы и уведомила британский Национальный центр кибербезопасности (NCSC). В июле 2025 года администратор зон сообщил RIPE NCC, что делегирования +246, +247 и +290 много лет не поддерживались, и запросил их полное удаление. Контроль над доменом enum.org.uk передали британскому NCSC для предотвращения дальнейших атак на ENUM-инфраструктуру в регионах с военными объектами США и Великобритании.