SIM Card Jahat Bisa Jalankan Kode Serangan di Modem Perangkat IoT Seluler

Sebuah SIM card jahat dapat memerintahkan perangkat tempat SIM tersebut dipasang untuk menjalankan kode yang diinginkan penyerang. Pada modul seluler yang tertanam di dalam charger kendaraan listrik (EV), router industri, dan unit telematika mobil, hal ini cukup untuk mengambil alih kendali penuh perangkat tersebut.

Penemuan dan Pengujian Keamanan SIM Card Jahat

Para peneliti dari Universitas Birmingham bersama perusahaan keamanan Fuzzware menguji 26 ponsel dan modul seluler untuk kemampuan ini. Mereka menemukan fitur tersebut aktif pada 9 perangkat, dan berhasil menjalankan kode mereka pada sebuah charger EV komersial.

Dari delapan modul seluler yang diuji, enam menerima perintah tersebut. Hanya tiga dari 18 ponsel yang menerima, yaitu OPPO Find X5, OPPO Reno 14 F 5G, dan ASUS Zenfone 9. Tidak ada iPhone atau Google Pixel yang terdampak.

Kerentanan ini terdapat pada perangkat keras mesin-ke-mesin. Lima dari enam modul tersebut adalah produk Quectel, yang dipasang di charger EV, router industri, dan unit telematika mobil.

Bagaimana Serangan SIM Card Jahat Bisa Terjadi?

Mengetahui nomor korban saja tidak cukup untuk serangan ini. Serangan dimulai dengan SIM card musuh yang sudah berada di slot, bisa disisipkan secara manual, melalui interposer tipis, operator yang terkompromi, atau subversi perangkat lunak maupun proses produksi. Perangkat IoT yang tidak diawasi dengan baki SIM yang mudah diakses dan sedikit antarmuka lain sangat rentan terhadap jenis serangan ini.

Tidak ada satu patch tunggal untuk masalah ini. Kesembilan perangkat yang menerima perintah ini menggunakan prosesor komunikasi Qualcomm. Namun, lima perangkat lain yang juga berbasis Qualcomm tidak terpengaruh, yang diduga karena kustomisasi vendor.

Qualcomm menyatakan telah membuat konfigurasi yang menguatkan keamanan dengan menonaktifkan fitur ini secara default. Sementara Quectel mengklaim sudah mengatasi celah akses file dan terus memperbaiki antarmuka terkait. Namun, keduanya belum menerbitkan advisori publik, dan portal kerentanan Quectel masih memerlukan login untuk akses informasi.

Peneliti menyarankan agar antarmuka ini diperkuat, dihapuskan, atau dinonaktifkan sepenuhnya. Konfigurasi pengamanan ini akan menjadi standar pada perangkat masa depan. Bagi pengelola perangkat IoT seluler, disarankan untuk menanyakan kepada pemasok modul apakah fitur RUN AT aktif di firmware dan apakah bisa dimatikan. Hingga saat ini, belum ada serangan yang dilaporkan menggunakan antarmuka ini.

Teknis Serangan dan Dampaknya

Perintah yang menjadi masalah adalah perintah proaktif dari SIM card yang dapat memerintahkan modem menjalankan perintah AT, bahasa kontrol modem yang sudah ada sejak modem Hayes Smartmodem tahun 1981. Setiap vendor biasanya menambahkan perintah khusus pada AT command, sehingga SIM card mendapat akses sebagai konsol umum.

"Kemampuan proaktif SIM dan permukaan serangan yang terbuka secara eksplisit didefinisikan dalam spesifikasi teknis komunikasi seluler," kata Marius Muench, asisten profesor ilmu komputer di Universitas Birmingham. Ia menegaskan bahwa ini bukan pelanggaran standar, melainkan fitur standar yang disalahgunakan.

Faktor arsitektur perangkat membuat masalah ini lebih serius. Hampir semua modul yang diuji memiliki prosesor aplikasi kecil bersama radio, biasanya menjalankan Android di ARM Cortex-A7, yang meneruskan perintah AT yang tidak dikenali oleh radio ke sistem operasi. Dengan demikian, SIM jahat bisa mengendalikan komputer Linux mini yang ada di perangkat.

Salah satu studi kasus menggunakan charger komersial Autel model MAXI US AC W12-L-4G yang berisi modul Quectel EC25AFXDGA. Daemon atfwd_daemon di modul ini meneruskan teks yang dikendalikan penyerang ke panggilan shell melalui format string yang tidak aman. Filter karakter yang seharusnya mencegah eksekusi shell berhasil dilewati oleh karakter newline, sehingga eksekusi kode berhasil hanya melalui perintah dari SIM card.

Dalam kasus ponsel OPPO Reno 14 F 5G, perintah AT+COPS=0,,,0 memaksa ponsel menggunakan jaringan 2G tanpa bisa dibatalkan, membuka risiko downgrade yang memungkinkan simulasi stasiun base palsu karena jaringan 2G tidak memiliki otentikasi timbal balik.

Perintah lain dapat mematikan ponsel atau modemnya. Alat yang dikembangkan tim bernama CATana menemukan 198 perintah AT yang dapat diakses melalui SIM di ponsel OPPO tersebut.

Studi lain menunjukkan pembacaan file sembarangan di modul Quectel EG25-G menggunakan daemon TFTP yang berjalan dengan hak root tanpa validasi tautan simbolik, yang kemudian dikirim keluar menggunakan perintah SMTP modul. Namun, ini memerlukan adanya tautan jahat di filesystem modul terlebih dahulu.

Respon Industri dan Status Perbaikan

Kelompok peneliti juga pernah menunjukkan bahwa SIM jahat dapat membuka halaman web yang dikendalikan penyerang di ponsel Android terkunci tanpa interaksi pengguna, termasuk Pixel 6, 8, dan 9. Google sudah memperbaiki celah tersebut dengan CVE-2025-48618 pada Desember 2025.

Tim meyakini semua modul Quectel seri EC25, EG25, dan RM52xN terdampak, dan kemungkinan modul lain berbasis Qualcomm juga berisiko. Modul-modul ini banyak ditemukan di mobil, charger kendaraan, terminal pembayaran, dan perangkat IoT lainnya. Namun, pembaruan firmware Quectel tidak dirilis secara publik sehingga sulit untuk melakukan verifikasi skala besar.

Temuan ini telah dilaporkan ke Google, Oppo, Quectel, Semtech, dan Qualcomm sejak Maret 2026, serta ke GSMA pada Mei 2026. Kerentanan ini tercatat sebagai CVE-2026-57550 dan CVD-2026-0122 oleh GSMA, meskipun belum muncul di daftar CVE resmi. Oppo dan Google menganggap temuan ini informatif dan berada di luar cakupan program bug bounty mereka.

Semtech mengonfirmasi kerentanan dan berencana mengirimkan patch yang dibuat oleh Qualcomm. Quectel juga mengonfirmasi dan menyatakan perbaikan telah dilakukan di firmware terbaru walau belum mengumumkan versi terdampak dan perbaikan secara terbuka.

Kerentanan serupa pernah ditemukan pada daemon yang sama sebagai CVE-2021-31698 pada tahun 2021.

Sampai 10 Agustus 2026, belum ada advisori publik dari kelima vendor terkait penelitian ini, dan belum ada laporan eksploitasi nyata.

Analisis Redaksi

Menurut pandangan redaksi, temuan ini merupakan peringatan serius bagi industri IoT seluler yang mengandalkan modul seluler berkemampuan tinggi. Perangkat IoT seperti charger EV dan telematika kendaraan yang digunakan secara luas sangat rentan jika fitur SIM card yang berjalan secara proaktif tidak dikendalikan ketat. Bahaya terbesar berasal dari kemampuan SIM untuk mengakses konsol modem dan prosesor aplikasi, yang sejatinya membuka pintu bagi eksekusi kode berbahaya tanpa interaksi pengguna.

Meski belum ada serangan nyata yang dilaporkan, potensi eksploitasi dalam skala besar sangat mungkin muncul, terutama karena perangkat IoT sering diletakkan di lokasi terbuka dan kurang pengawasan. Produsen perangkat dan pemasok modul harus segera menilai risiko ini dan menonaktifkan fitur RUN AT jika tidak diperlukan, serta memperbarui firmware dengan patch keamanan.

Ke depan, publik dan pengelola armada IoT harus waspada terhadap update firmware dan advisori resmi dari vendor, serta mempertimbangkan audit keamanan modul seluler yang digunakan. Penanganan serius terhadap kerentanan ini bisa menjadi kunci untuk menghindari serangan siber yang dapat melumpuhkan infrastruktur penting seperti jaringan pengisian kendaraan listrik dan sistem telematika kendaraan.

Untuk informasi lebih lengkap, baca laporan asli di The Hacker News dan pantau update dari vendor terkait.