Cartes SIM piratées : comprendre la nouvelle affaire d'espionnage de la NSA en cinq questions

Vous pensiez que votre carte SIM vous protégeait des espions ? Détrompez-vous. Selon The Intercept (en anglais), la NSA et son homologue britannique, le GCHQ, sont parvenus à intercepter en toute discrétion des communications téléphoniques sur mobiles, c'est-à-dire les appels, mais aussi les données échangées.

Ces informations, publiées jeudi 19 février, par le site américain du journaliste d'investigation Glenn Greenwald, déjà à l'origine des révélations d'Edward Snowden, risquent d'avoir de nombreuses conséquences. Francetv info vous résume cette nouvelle affaire d'espionnage.

Comment les cartes SIM sont-elles censées être sécurisées ?

Chaque carte SIM est dotée de clés de cryptage pour coder les communications avec l'opérateur de téléphonie. Ces clés de cryptage ont été mises en place car les ondes radios qui voyagent dans les airs sont faciles à intercepter, rappelle 20minutes.fr. Seul l'opérateur dispose de la clé, celle-ci s'identifie à une antenne-relais lors des communications qui sont ainsi, en théorie, sécurisées. Cette clé permet de chiffrer et déchiffrer – donc reconstituer – toutes les communications de l'utilisateur du téléphone, "sans que la compagnie de téléphone et les autorités du pays soient au courant", explique The Intercept. 

"Avoir ces clés permet aussi d'éviter de demander un mandat pour mettre quelqu'un sur écoute, et ne laisse aucune trace sur le réseau qui révélerait l'interception de la communication", explique encore le site d'investigation, comparant la situation au "vol de la clé d'un concierge qui détient chez lui les clés de tous les appartements de l'immeuble". 

Comment la NSA et le GCHQ ont-ils pu accéder à ces cartes SIM ?

Les agences de surveillance n'ont pas eu besoin des opérateurs de télécommunications. Selon The Intercept, la NSA et GCHQ sont entrés dans les réseaux informatiques des fabricants de carte SIM pour dérober ces clés. En première ligne, Gemalto, géant mondial du secteur coté au CAC 40 dont le siège est basé aux Pays-Bas, "mais la France est le centre de son activité internationale", précise 20 Minutes. Cette société fabrique deux milliards de cartes SIM par an et abreuve 450 opérateurs, dont les principaux acteurs du secteur en France, dans 85 pays 

"Le GCHQ, avec le support de la NSA, a puisé dans les communications privées" d'ingénieurs et d'autres salariés du groupe "dans de multiples pays", pour parvenir à dérober ces clés, écrit The Intercept. Mails et comptes Facebook des employés ont ainsi été fouillés. Et le réseau de communication interne de Gemalto a pu être examiné pour prélever les précieuses clés, nécessaires à l'interception des communications.

Car le géant mondial de cartes SIM transmet, en effet, les clés de cryptage aux opérateurs par courrier, mails ou serveurs FTP. Gemalto n'est pas la seule entreprise touchée : d'autres fabricants de cartes SIM ont été visés, dans des intrusions visant à intercepter les clés de cryptage de chaque puce au moment où elles étaient envoyées à l'opérateur de télécommunications. 

Pourquoi cet espionnage est-il hors normes ?

"Il est impossible de savoir combien de clés ont été volées par la NSA et le GCHQ, mais même en se basant sur des hypothèses basses, le nombre est sidérant", écrit le site américain qui révèle l'information. La NSA, par exemple, était capable, en 2009, de "traiter entre 12 et 22 millions de clés par seconde", pour pouvoir les utiliser plus tard, si elle souhaitait écouter des conversations ou intercepter des mails, selon The Intercept.

Pourquoi la France est particulièrement ciblée ?

Pour atteindre le cœur de l'activité de Gemalto, les agences de surveillance ont développé un programme spécifique afin de viser la France : "Highland Fling". Et 20minutes.fr souligne que "les sites [de Gemalto] de La Ciotat (Bouches-du-Rhône), Meudon (Hauts-de-Seine) et Pont-Audemer (Eure) sont notamment mis en avant comme des 'priorités'". Un employé de Singapour "bientôt muté à Paris" intéressait aussi la NSA et le GCHQ.

Que va-t-il se passer maintenant ?

La société Gemalto assure qu'elle n'était pas au courant de ces pratiques et indique qu'elle prend "très au sérieux" les affirmations de The Intercept. L'entreprise "met en œuvre tous les moyens nécessaires pour investiguer et comprendre l'étendue de ces techniques sophistiquées". Les conséquences de ces révélations sont encore difficiles à lister. D'autres fabricants de cartes SIM sont-ils touchés ? "Quid de la sécurité des puces de cartes bancaires, également fabriquées par Gemalto ?", s'interroge aussi 20minutes.fr. Pour ceux qui craignent d'être espionnés par la NSA, le site du quotidien rappelle qu'il existe des applications disponibles sur iPhone et sur Androïd pour crypter les communications : c'est notamment le cas de Signal, RedPhone ou encore de TextSecure.