Votre carte SIM peut prendre le contrôle de votre téléphone et extraire vos données personnelles
Une carte SIM piégée peut envoyer des ordres au modem d'un téléphone ou d'une borne de recharge. Des chercheurs de l'université de Birmingham ont testé 26 appareils : neuf sont vulnérables..
Les cartes SIM, ces petites puces électroniques dans nos téléphones, peuvent être exploitées par des pirates pour prendre le contrôle d’un appareil à distance. Cette faille de sécurité, appelée SIMjacker, a été découverte par des chercheurs en cybersécurité. Elle permet à un attaquant d’envoyer un message texte spécial à la carte SIM, qui active ensuite des commandes secrètes. Ces commandes peuvent forcer le téléphone à exécuter des actions comme passer des appels, envoyer des SMS ou même accéder à des données personnelles sans que l’utilisateur ne s’en rende compte. Le problème ne vient pas du téléphone lui-même, mais bien de la carte SIM, qui agit comme un intermédiaire vulnérable entre l’opérateur mobile et l’appareil.
L’attaque SIMjacker repose sur une faille dans le protocole S@T Browser, un standard utilisé par certaines cartes SIM pour gérer des services comme les menus interactifs ou les notifications. Lorsqu’un pirate envoie un message contenant un code spécifique, la carte SIM interprète ce code comme une instruction légitime et exécute la commande demandée. Par exemple, elle peut envoyer un SMS à un numéro premium, générant ainsi des revenus frauduleux pour l’attaquant. Les chercheurs estiment que cette faille pourrait toucher des millions de cartes SIM dans le monde, car elle ne dépend pas du modèle de téléphone mais de la carte elle-même. Les opérateurs mobiles sont donc directement concernés par ce risque.
Si un pirate parvient à exploiter cette faille, les conséquences pour l’utilisateur peuvent être graves. Les données personnelles, comme les contacts, les messages ou les identifiants de connexion, pourraient être volées. De plus, l’attaquant pourrait utiliser le téléphone pour passer des appels coûteux ou envoyer des SMS à des numéros surtaxés, facturés directement à la victime. Dans certains cas, le pirate pourrait même accéder à des applications sensibles, comme celles de la banque en ligne, si le téléphone est déjà connecté à ces services. Les chercheurs soulignent que cette attaque est particulièrement discrète, car elle ne nécessite aucune interaction de la part de l’utilisateur.
Tous les utilisateurs de cartes SIM pourraient être vulnérables à cette attaque, mais certains opérateurs mobiles sont plus exposés que d’autres. Les cartes SIM anciennes ou celles utilisant des protocoles obsolètes, comme le S@T Browser, sont les plus à risque. Pour se protéger, les experts recommandent de vérifier auprès de son opérateur si sa carte SIM est compatible avec les dernières mises à jour de sécurité. Il est aussi conseillé de désactiver les services inutiles sur sa carte SIM, comme les menus interactifs, et de surveiller les factures de téléphone pour détecter d’éventuelles activités suspectes. Les opérateurs, de leur côté, doivent mettre à jour leurs cartes SIM pour corriger cette faille.
Face à cette menace, les opérateurs mobiles et les fabricants de cartes SIM travaillent à corriger la faille *SIMjacker*. Certains ont déjà déployé des mises à jour logicielles pour bloquer les messages malveillants. Cependant, la solution la plus efficace reste le remplacement des cartes SIM les plus vulnérables par des modèles plus récents, équipés de protocoles de sécurité renforcés. Les chercheurs en cybersécurité appellent à une collaboration internationale entre opérateurs, fabricants et régulateurs pour limiter la propagation de cette attaque. En France, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) suit de près cette affaire et pourrait imposer des mesures strictes si nécessaire.
