Gemalto, plus gros fournisseur mondial de cartes Sim, accrdite partiellement la thse dun piratage informatique dont il aurait t victime et en minimise la gravit. Selon les rvlations du site The Intercept, la NSA et le GCHQ seraient lorigine de cette attaque qui se serait solde par le vol de plusieurs millions de cls de chiffrement des cartes puce.
Gemalto est une socit de droit nerlandais ne de la fusion entre le franais Gemplus et Axalto en 2006. Cette entreprise est le leader mondial des cartes puces qui quipent des millions de tlphones et de cartes bancaires travers le monde.
La semaine dernire, le site dinformation The Intercept a publi de nouvelles informations sur lampleur de lespionnage effectu par la NSA et son quivalent britannique, le GCHQ. Bases sur des documents dats de 2010, ces rvlations montrent une collaboration entre les deux agences de renseignement en vue de pirater les cartes Sim fournies par les oprateurs tlphoniques dans le monde entier.Pour y parvenir, la NSA et le GCHQ ont cibl Gemalto, qui est le leader mondial de la fourniture decartes Sim, et notamment ses bureaux franais au cours dune opration baptise Highland Fling. Celle-ci aurait permis aux deux agences de rcuprer les cls de cryptage et dcouter en clair, dans certaines circonstances, les communications tlphoniques en principe scurises.Une petite semaine aprs la publication de larticle de The Intercept, Gemalto vient de prsenter ce mercredi les conclusions de son enqute interne sur lallgation de piratage de cls dencryptage de cartes Sim . Lentreprise reconnat que la technique dcrite dans les documents confidentiels peut effectivement aboutir au piratage des cls de cryptage. Cependant, lentreprise minimise lincident.
Avec la NSA, le GCHQ (Government Communications Headquarters), le service de renseignement du gouvernement britannique, est cit par The Intercept comme tant lorigine du piratage de lentreprise Gemalto. Cette dernire sest refuse confirmer cette implication et a indiqu quelle navait pas lintention de porter plainte contre ces deux agences. Ministry of Defence via Wikimedia Commons

Gemalto ne confirme pas limplication de la NSA et du GCHQ

Lanalyse de la mthode dcrite dans les documents et les tentatives dintrusion sophistiques dtectes par Gemalto en 2010 et 2011 rendent cette opration probable , dclare le fabriquant. Mais lattaque nayant touch que des rseaux bureautiques , elle na pas pu rsulter en un vol massif de cls dencryptage de cartes Sim . The Intercept voque pourtant une opration ayant touch des millions de cls .Gemalto affirme par ailleurs avoir largement dploy un systme dchange scuris avec ses clients avant 2010, ce qui aurait permis de contrer la mthode employe par la NSA et le GCHQ ( savoir linterception des cls entre loprateur et ses fournisseurs). Seuls quelques cas exceptionnels ont pu aboutir un vol , ajoute Gemalto. En outre, les rseaux 3G et 4G ne sont pas vulnrables ce type dattaque .En somme, les donnes ventuellement voles par cette mthode ne sont exploitables que dans les rseaux 2G , poursuit Gemalto qui souligne quaucun autre produit de son catalogue nest concern par cette attaque. Et toujours dans un souci de relativiser laffaire, lentreprise fait remarquer quelle na jamais vendu de cartes Sim quatre des douze oprateurs cits dans les documents .