Une faille dans les eSIM menace des milliards d’appareils connectés

Au fil des années, la technologie eSIM a su se faire une place de choix dans les smartphones et autres objets connectés. Cette solution technologique, intégrée aux appareils, les dispense d’une carte SIM Physique. Mieux, elle leur permet de se connecter plus rapidement lors de déplacement en souscrivant directement à un forfait compatible.

Pour aller plus loin
eSIM : qu’est-ce que c’est et quels sont les smartphones compatibles ?

Cependant, une faille de sécurité repérée dès 2019 par Security Exploration pourrait changer la donne. Selon les chercheurs, cette vulnérabilité serait toujours présente en 2025 et exposerait les données de deux milliards d’appareils utilisant cette technologie, rapporte AlloForfait.

Vol de données et malware au rendez-vous

Au cœur de cette faille, on retrouve une fonction obligatoire permettant aux opérateurs mobiles comme AT&T ou encore Orange de tester les capacités des puces. Si cette dernière reste activée, les chercheurs ont pu voir qu’il était notamment possible d’intercepter des communications, d’extraire des données ou encore d’installer des programmes malveillants à distance.

Une faille à grande échelle

Selon nos confrères de 01net, Kigen, l’entreprise qui fabrique ces eSIM incriminés sont plutôt spécialisés dans l’équipement d’objets connectés industriel ou encore de systèmes embarqués dans des voitures. Toutefois, la prudence reste de mise pour nos smartphones. Les équipes de Security Explorations ayant réussi via une clé Kigen compromise à intercepter les communications d’une eSIM Orange en Pologne et d’en copier le profil. Une faille de sécurité majeure pour ceux qui utiliseraient par exemple une authentification via SMS.

Contactée par Security Exploration, Kigen indique avoir publié un correctif de sécurité tout en relativisant les propos des chercheurs. Pour l’entreprise, cette faille ne concernerait qu’un produit de test spécifique. Une information que réfutent les chercheurs. De son côté, la GSMA, l’organisme à l’origine de cette fonction de test pour les opérateurs, a émis une nouvelle directive pour désactiver les profils de test en accompagnant le tout de nouvelles recommandations de sécurité.