Gemalto, plus gros fournisseur mondial de cartes Sim, accrédite partiellement la thèse d’un piratage informatique dont il aurait été victime et en minimise la gravité. Selon les révélations du site The Intercept, la NSA et le GCHQ seraient à l’origine de cette attaque qui se serait soldée par le vol de plusieurs millions de clés de chiffrement des cartes à puce.
Le 28/02/2015 à 13:22 - Par
Gemalto est une société de droit néerlandais née de la fusion entre le français Gemplus et Axalto en 2006. Cette entreprise est le leader mondial des cartes à puces qui équipent des millions de téléphones et de cartes bancaires à travers le monde. © Teque5 at en.wikipedia, CC BY 3.0
La semaine dernière, le site d’information The Intercept a publié de nouvelles informations sur l’ampleur de l’espionnage effectué par la NSA et son équivalent britannique, le GCHQ. Basées sur des documents datés de 2010, ces révélations montrent une collaboration entre les deux agences de renseignement en vue de pirater les cartes Sim fournies par les opérateurs téléphoniques dans le monde entier.
Pour y parvenir, la NSA et le GCHQ ont ciblé Gemalto, qui est le leader mondial de la fourniture decartes Sim, et notamment ses bureaux français au cours d’une opération baptisée Highland Fling. Celle-ci aurait permis aux deux agences de récupérer les clés de cryptage et d’écouter en clair, dans certaines circonstances, les communications téléphoniques en principe sécurisées.
Une petite semaine après la publication de l’article de The Intercept, Gemalto vient de présenter ce mercredi les conclusions de son enquête interne sur « l’allégation de piratage de clés d’encryptage de cartes Sim ». L’entreprise reconnaît que la technique décrite dans les documents confidentiels peut effectivement aboutir au piratage des clés de cryptage. Cependant, l’entreprise minimise l’incident.
Avec la NSA, le GCHQ (Government Communications Headquarters), le service de renseignement du gouvernement britannique, est cité par The Intercept comme étant à l’origine du piratage de l’entreprise Gemalto. Cette dernière s’est refusée à confirmer cette implication et a indiqué qu’elle n’avait pas l’intention de porter plainte contre ces deux agences. © Ministry of Defence via Wikimedia Commons
Gemalto ne confirme pas l’implication de la NSA et du GCHQ
« L’analyse de la méthode décrite dans les documents et les tentatives d’intrusion sophistiquées détectées par Gemalto en 2010 et 2011 rendent cette opération probable », déclare le fabriquant. Mais l’attaque « n’ayant touché que des réseaux bureautiques », elle n’a « pas pu résulter en un vol massif de clés d’encryptage de cartes Sim ». The Intercept évoque pourtant une opération ayant touché des « millions de clés ».
Gemalto affirme par ailleurs avoir « largement déployé un système d’échange sécurisé avec ses clients » avant 2010, ce qui aurait permis de contrer la méthode employée par la NSA et le GCHQ (à savoir l’interception des clés entre l’opérateur et ses fournisseurs). « Seuls quelques cas exceptionnels ont pu aboutir à un vol », ajoute Gemalto. En outre, les réseaux 3G et 4G « ne sont pas vulnérables à ce type d’attaque ».
En somme, « les données éventuellement volées par cette méthode ne sont exploitables que dans les réseaux 2G », poursuit Gemalto qui souligne qu’aucun autre produit de son catalogue n’est concerné par cette attaque. Et toujours dans un souci de relativiser l’affaire, l’entreprise fait remarquer qu’elle « n’a jamais vendu de cartes Sim à quatre des douze opérateurs cités dans les documents ».
