文章总结： 文档揭露保加利亚监控企业Circles在2018-2023年间向15国出口通信监听系统，其核心技术利用SS7协议漏洞实现不接触目标设备的手机定位、通话拦截及数据获取。曝光四款核心产品包括Landmark定位系统、VOLE实时监听软件、Saphire流量劫持工具和Pixcell伪基站设备，揭示商业监控技术通过合法贸易渠道全球扩散的现状，并指出5G演进中新旧协议兼容性漏洞带来的持续安全威胁。 综合评分： 78 文章分类： 威胁情报,漏洞分析,解决方案,政策法规,供应链安全

一家间谍软件公司的全球生意：向15国出口手机监听系统

原创

Owllntel Owllntel

猫头鹰OSINT

2026年6月18日 18:39 四川

在小说阅读器读本章

去阅读

近年来，围绕商业间谍软件和通信监控技术的国际市场逐渐浮出水面。

最近曝光的一批保加利亚政府出口许可文件，揭示了一家名为Circles的监控企业，在2018年至2023年期间持续向多个国家输出通信监听系统、移动定位平台以及信号情报设备。客户覆盖情报机构、军方、执法部门及部分商业安全实体，形成了一条跨国运行的通信监控供应链。

一家隐藏在NSO集团背后的监控企业

Circles公司最初成立于塞浦路斯，随后将业务重心转移至保加利亚。虽然其知名度远不及NSO集团，但其在商业信号情报领域长期活跃。

其联合创始人之一塔尔·迪利安（Tal Dillian）同时也是另一家知名间谍软件公司Intellexa（总部位于希腊）的创始人。2026年2月26日，迪利安因Intellexa的间谍软件在希腊涉嫌非法监听被雅典法院裁定有罪并正在提起上诉；同时，他因“开发、运营和分销商业间谍软件技术”在2024年遭到了美国政府的全面制裁。

早在2014年，Circles公司就被行业巨头、以色列NSO集团的母公司Q Cyber Technologies全资收购，形成了利益共同体。保加利亚官方文件证实，这批出口许可证的交易对象中，还直接包含了Q Cyber Technologies以及位于以色列本土的NSO集团。

与Pegasus依赖手机系统漏洞实施设备入侵不同，Circles选择了另一条技术路线。其核心能力并非控制手机终端，而是利用国际电信网络本身存在的结构性缺陷获取目标数据。这种模式使其能够在不植入恶意软件、不接触目标设备的情况下，对通信活动进行监测和分析。

核心技术：利用全球通信网络的SS7漏洞

Circles的核心技术高度依赖于全球国际电话基础设施的固有漏洞——即SS7（七号信令系统）协议漏洞。

SS7协议诞生于1975年，用于不同电信运营商之间交换信息和路由电话呼叫。当时全球电信网络由少数垄断运营商构成，彼此之间高度信任，因此SS7设计时并未引入现代意义上的身份认证或访问控制机制。

随后，电信行业的放松管制以及移动通信的兴起，打破了“封闭信任网络”的前提，但SS7仍因兼容旧系统而被长期保留。

由于缺乏认证机制，任何能够接入SS7网络的实体——包括情报机构、购买接入权限的网络犯罪组织，或运营伪装电信业务的监控公司——都可能向目标“归属网络”发送伪造指令，将目标虚假标记为漫游用户。

这一机制会进一步触发一系列数据交互行为，使攻击者能够实现：

• 手机位置追踪；

• 语音通话拦截；

• 短信内容获取；

• 通信关系分析；

• 以及通过短信接收的双因素认证代码拦截。

在现实中，运营商很难区分恶意SS7流量与正常漫游请求，这使得相关攻击既难检测也难阻断。

目前SS7主要应用于2G和3G网络，而4G网络则使用Diameter协议。虽然Diameter引入了身份验证机制，但部分功能仍是可选项，同时4G与SS7网络的互联也带来了新的安全问题。

随着5G及更高级通信系统的发展，旧协议的兼容性问题仍在持续延伸，使这一攻击面长期存在。

在具备SS7接入能力的情况下，监控系统可以直接在运营商层面获取用户通信数据，而无需接触目标手机。

这意味着不需要安装任何软件，不需要点击恶意链接，不需要物理接触设备，只需电话号码或用户标识即可实施监控。

这种架构使得监控行为更接近“网络级数据提取”，而非传统意义上的终端入侵。

保加利亚文件披露的出口范围

据悉，2018年至2023年期间，保加利亚政府相关出口审批机构持续向Circles签发监控技术出口许可。

这些许可通常有效期为一年，由保加利亚跨部门出口管制委员会批准。该委员会隶属于保加利亚经济与工业部，负责审查和批准本国企业涉及敏感技术的出口申请。

文件记录的出口目的地包括阿塞拜疆、巴林、巴西、多米尼加共和国、萨尔瓦多、加纳、危地马拉、以色列、约旦、马来西亚、墨西哥、摩洛哥、巴拿马、塞尔维亚以及阿联酋。

相关客户覆盖范围十分广泛，既包括国家情报机构和军事部门，也包括警察系统、地区政府机构以及商业实体。

虽然这些文件仅代表“授权出口”，并不等同于实际交付记录，但其范围仍清晰展示了该类监控技术的全球扩散路径。

四款核心产品曝光

文件描述了Circles公司四种类型产品的情况：

1.“Landmark”（地标）定位系统。

根据出口文件介绍，Landmark 是一套基于电信网络的情报综合平台。它不仅能持续跟踪目标的地理位置变化、构建行动轨迹，还能结合其他层面的通信数据形成完整的目标画像，协助情报机构识别目标的社交关系网络、出行规律及跨区域行动路径。

2.VOLE（语音位置赋能器）软件

该软件侧重于动态实时监听。其技术特征在于能够“远程截获”目标手机正在进行及即将发生的呼入与呼出语音通话。在拦截语音流的同时，系统能够同步抓取通话双方在电信网络中的实时位置数据，整个过程无需在目标终端上植入任何恶意程序。

3.“Saphire”（蓝宝石）通信拦截软件

该系统的技术手段更为激进。根据出口商的技术描述，它允许操作员通过远程终端直接向目标移动运营商发送特定指令，强行篡改或重定向目标设备的网络数据路由（如 PDP 上下文或 GTP 隧道）。这一底层操作的核心目的，是为了将该设备后续的所有互联网数据流量重定向至指定节点的服务器，从而实施定向、深度的流量拦截与数据审计。

4.“Pixcell”系列战术级IMSI捕获器

与上述三款依赖全球电信骨干网的远程系统不同，Pixcell 属于临场战术信号情报设备（俗称伪基站）。作为便携式电子侦察工具，它通过模拟真实蜂窝基站信号，强行接管特定局部区域内的网络通信，从而在空中无线端直接拦截特定设备的语音、短信及互联网流量，并实施高精度的测向定位。

结语

保加利亚官方档案所揭示的，只是商业监控技术全球扩散的冰山一角。以 Circles 为代表的监控实体，其商业模式的成功建立在全球电信网络底层协议历史局限性的基础之上。这种“网络级数据提取”绕过了传统终端防御架构，让依赖应用层加密、端到端脱敏的现代移动安全策略在信号情报防御面前显得捉襟见肘。

从宏观态势来看，全球信号情报供应链正呈现出两大特征：

跨国技术网络的生态融合：迪利安等核心人物的交叉持股、Intellexa遭遇的司法裁定以及NSO集团的资本绑定，表明全球商业间谍软件行业已形成跨司法管辖区的“利益与技术共同体”，通过在塞浦路斯、保加利亚、希腊等国转移业务重心，实现监管套利。

供应链扩散的不可逆性：尽管多国政府已针对商业间谍软件收紧出口管制与制裁措施，但保加利亚文件证实，基于合法贸易合规外衣下的技术扩散仍在持续。

随着 5G 独立组网（SA）的演进，尽管安全信任机制得到了进一步强化，但新老协议交替期的兼容性漏洞，以及便携式战术级 IMSI 捕获器的技术迭代，意味着围绕全球通信基础设施的攻防博弈远未结束。对于关键基础设施防护者与政企用户而言，防范此类风险的重心，必须从单纯的“终端设备加固”，升级为面向全球漫游信任网络演进的长期系统性防御。

参考信息：www.bloomberg.com

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：猫头鹰OSINT Owllntel Owllntel《一家间谍软件公司的全球生意：向15国出口手机监听系统》