2 milliards de smartphones et d’appareils connectés menacés par une faille des eSIM connue depuis 6 ans

Des experts en cybersécurité ont démontré comment une faille touchant 2 milliards d’eSIM peut être exploitée par des pirates. C’est d’autant plus problématique que la vulnérabilité en question est connue depuis 2019.

C’est pratique les eSIM, ces versions numériques des bonnes vieilles cartes SIM équipant nos smartphones, mais aussi certains de nos objets connectés. Pas besoin de s’embêter avec les histoires de format nano, micro ou autres, et pas besoin de se demander où est-ce qu’on a bien pu mettre ce fichu outil pour ouvrir le compartiment adéquat. Après des débuts un peu chaotiques, il est désormais très facile de s’en procurer une. Vous pouvez même transformer une carte SIM en eSIM directement depuis votre mobile Android ou iOS.

Cela n’en fait pas un outil infaillible pour autant. Comme les autres systèmes numériques, les eSIM présentent des failles de sécurité que les pirates peuvent exploiter. Les chercheurs en cybersécurité font d’ailleurs attention à signaler celles qu’ils parviennent à repérer afin qu’elles soient rapidement comblées. Security Explorations l’a fait en 2019. La firme a vu un problème au niveau de la technologie Java Card utilisée dans énormément de eSIM (eUICC). Problème : Oracle, la société qui aurait pu corriger le tir, n’a jamais rien fait.

Cette faille de sécurité touche 2 milliards d’eSIM, elle est pourtant connue depuis 2019

Aujourd’hui, près de 2 milliards d’objets connectés, dont des smartphones, sont en danger. Les équipes de Security Explorations ont piraté une carte Kigen eUICC en exploitant la faille découverte il y a 6 ans. Une fois la clé cryptographique extraite, elles ont téléchargé les profils eSIM non chiffrés d’une centaine d’opérateurs dans le monde, dont des français comme Orange ou Bouygues Telecom.

À partir de là, il est possible d’intercepter les appels et SMS reçus par l’appareil cible, d’installer des malwares dessus à distance, voire de désactiver l’eSIM originale. L’entreprise en a fait la démonstration concrète après avoir cloné une eSIM d’Orange Pologne.

Le rapport a été remis à Kigen et là encore, l’impact de la faille a été minimisé, comme en 2019. Kigen affirme que seuls les eSIM de tests sont touchées, donc pas celles qui équipent nos appareils. Un correctif a tout de même été déployé.

De son côté, Security Explorations maintient que la faille touche toutes les eSIM conformes aux exigences GSMA. C’est l’association chargée de représenter plus de 750 opérateurs et fabricants de téléphonie mobile dans le monde. SFR et Free en font partie par exemple.