Cartes SIM piratées: Gemalto confirme des attaques, mais pas de vol massif

La société française Gemalto, leader mondial de la production des cartes SIM, a confirmé mercredi que les services secrets américain NSA et britannique GCHQ avaient piraté ses systèmes en 2010 et 2011.

"En tant qu'acteur de la sécurité numérique, Gemalto est régulièrement la cible d'attaques (…). Si nous regardons en arrière, sur la période couverte par les documents de la NSA et le GCHQ, nous confirmons avoir fait face à plusieurs attaques. En 2010 et 2011 précisément, nous avons détecté deux attaques particulièrement sophistiquées qui pourraient être reliées à cette opération (…). A l'époque, nous n'avons pas pu identifier les auteurs de ces attaques mais maintenant nous pensons qu'elles pourraient être liées à l'opération du GCHQ et de la NSA", a indiqué Gemalto dans un communiqué.

Le site d'investigation The Intercept a rapporté le 19 février dernier que la National security agency (NSA) américaine et son homologue britannique GCHQ auraient volé en 2010 des clés de cryptage des millions de cartes SIM de 450 opérateurs de téléphonie mobile.

Gemalto a toutefois a précisé que les attaques "n'ayant touché que des réseaux bureautiques, elles n'ont pas pu résulter en un vol massif de clés d'encryptage de cartes SIM" et de données client.

"Les clés de cryptage et plus généralement les données client ne sont pas stockées sur ces réseaux. Il faut imaginer l'architecture de notre réseau un peu comme le croisement entre un oignon et une orange. Il est composé de couches multiples et de nombreux quartiers qui permettent de cloisonner et d'isoler les données", a expliqué la société française.

Selon le communiqué, l'attaque a surtout visé la phase d'échange de clés entre l'opérateur et ses fournisseurs. Or Gemalto avait réduit le risque d'interception de données lors de l'échange avec ses clients bien avant 2010 en généralisant des processus d'échanges hautement sécurisés. En plus, les données éventuellement volées "ne sont exploitables que dans les réseaux de deuxième génération (2G). Les réseaux 3G et 4G ne sont pas vulnérables à ce type d'attaque".

Qui plus est, l'enquête a démontré que le leader du secteur n'a pas été le seul à être visé par les attaques, d'après le communiqué. Gemalto n'a notamment "jamais vendu de cartes SIM à quatre des douze opérateurs" cibles d'attaques.

Présent dans 44 pays, Gemalto produit près de 2 milliards de cartes SIM par an ainsi que des puces pour cartes de crédit et documents d'identité numérique. La société compte parmi ses clients les opérateurs AT&T, T-Mobile et Verizon.