Des chercheurs découvrent une faille grave dans les eSIM de Kigen, permettant d’injecter des applets malveillantes et de cloner des profils mobiles. Une alerte majeure pour les utilisateurs IoT, les opérateurs mobiles et le grand public.
Aujourd’hui, l’eSIM — cette carte SIM virtuelle intégrée — est devenue omniprésente dans les smartphones, montres connectées et objets IoT. Mais une nouvelle vulnérabilité découverte sur les eUICC (Embedded Universal Integrated Circuit Card) de Kigen — entreprise britannique spécialisée dans les technologies eSIM — révèle à quel point cette technologie n’est pas inviolable. Une brèche qui permet à un attaquant — potentiellement un État‑acteur — de prendre le contrôle de communications mobiles, de cloner des profils, voire de mettre en place des portes dérobées invisibles.
Une faille qui exploite le « Generic Test Profile » de la GSMA
La faille identifiée par Security Explorations cible la spécification GSMA TS.48 v6.0 et antérieures, utilisée pour les tests radio des cartes eSIM. Ce "Generic Test Profile" permet en principe de simuler l’installation d’un profil eSIM pour vérifier la connectivité mobile d’un terminal avant sa mise en production. Cependant, ce mécanisme, s’il reste activé sur un produit final, devient une porte d’entrée dangereuse.
Dans ce cas précis, il permet l’installation d’applets Java non vérifiées sur la puce eUICC, sans contrôle de signature. En clair, un attaquant disposant d’un accès physique à l’appareil — ou de certaines clés de test, publiquement disponibles sur Internet — peut injecter un code malveillant directement dans la carte.
Face à cette menace, la GSMA a révisé sa spécification : la version TS.48 v7.0, publiée en juin 2025, désactive par défaut l’accès au profil de test et renforce les contrôles autour de son usage.
Clonage, espionnage et extraction de clés : une bombe technologique
Les conséquences de cette vulnérabilité sont multiples et concernent potentiellement des millions d’utilisateurs au quotidien :
- Extraction du certificat d’identité eUICC, permettant de télécharger des profils eSIM en clair depuis les opérateurs mobiles, rendant possible l’usurpation d’identité numérique à grande échelle.
- Clonage de profils (tel qu’un test effectué sur Orange Pologne), compromettant appels, SMS et codes 2FA, ce qui peut impacter aussi bien des particuliers que des professionnels utilisant des services bancaires ou de messagerie sécurisée.
- Installation d’applets malveillantes restant invisibles aux opérateurs, ouvrant la voie à des formes avancées de surveillance, voire de traçage géolocalisé. Ces implants sont indétectables via les interfaces classiques de diagnostic.
- Persistance possible d’un backdoor dans la eSIM, actif même après des mises à jour logicielles ou système, rendant l’éradication particulièrement difficile.
- Des risques critiques pour les objets IoT comme les véhicules connectés, les smartphones et montres connectés, les routeurs 5G ou encore les dispositifs médicaux embarquant une connectivité cellulaire. Tous ces équipements utilisent massivement l’eSIM et pourraient être ciblés par des attaques à large échelle.
En clair, cette faille ne se limite pas à des environnements industriels ou militaires : elle peut aussi affecter le grand public, notamment les utilisateurs de smartphones compatibles eSIM (iPhone depuis le XR, Samsung Galaxy S20+, Pixel, etc.), exposant ainsi des données personnelles ou confidentielles à des risques d’exploitation.
Cette recherche s’inscrit dans la continuité d’un travail débuté en 2019, révélant des vulnérabilités Java Card jusque-là sous-estimées, et désormais confirmées par ce nouveau hack.
Bien que la vulnérabilité ait été démontrée uniquement sur les eSIM de Kigen à ce jour (plus de deux milliards d'appareils activés), les chercheurs estiment que d'autres eUICC partageant le même socle Java Card pourraient également être vulnérables à des attaques similaires.
Parmi les appareils les plus populaires intégrant une eSIM Kigen, on retrouve certains modèles de routeurs IoT industriels, des tablettes professionnelles, ainsi que des dispositifs embarqués dans des véhicules connectés (notamment sur certaines générations de Peugeot, Citroën).
Des réponses déjà engagées, mais des mesures insuffisantes ?
Kigen a reconnu la vulnérabilité, versant 30 000 $ à Security Explorations pour cette découverte. La société, avec la GSMA, recommande aux fabricants et opérateurs d’appliquer la nouvelle version de la spécification TS.48 et de fermer les profils de test.
Reste que, selon les chercheurs, ces correctifs traitent l’effet, non la cause : si la machine virtuelle Java Card n’est pas renforcée, d’autres vecteurs — OTA (over the air) ou physiques — pourraient continuer d'exploiter des failles sous-jacentes.
Une raison supplémentaire pour effectuer les mises à jour de sécurité dès que possible sur l'ensemble de vos appareils connectés.
13 mai 2025 à 11h52
Source : The Hacker News
