Есть вариант с фейковой BTS. Можно цепануть на неё пользователя и перехватить ключ шифрования (kc). Трафик от телефона до BTS будет идти плейн текстом, а от BTS до опсоса с нужным шифрованием
Не могли более детально описать данный способ.В сети информации так и не нашел(