Ces SMS invisibles qui permettent aux pirates d'espionner votre smartphone

Ce sont plus d’un milliard de téléphones qui sont concernés par cette brèche. Des chercheurs d’AdaptiveMobile Security, l’un des leaders mondiaux de la sécurité des réseaux mobiles, ont découvert l’existence d’une faille qui touche les cartes SIM. Baptisée SIMjacker, cette faille peut être exploitée avec une facilité et des résultats déconcertants, explique le site PhonAndroid et aucun constructeur ou appareil doté d’une carte SIM n’est épargné.

La brèche permet, grâce à un simple SMS, de prendre le contrôle total d’un smartphone et de pister les victimes. De façon concrète, en envoyant un SMS contenant un code spécifique à un téléphone mobile, la carte SIM reçoit des instructions pour prendre le contrôle de l’appareil et exécuter certaines commandes ou récupérer des données. Pour cela, les hackers utilisent un logiciel contenu dans toute carte SIM, le "S@T Browser" ou SIM Alliance Toolbox Browser, qui permet aux opérateurs de gérer leur parc de cartes SIM à distance.

Une faille déjà exploitée à grande échelle

Le problème, c’est qu’une attaque via cette faille est indétectable. Le SMS envoyé est en effet conçu pour ne pas déclencher de notification. Il reste donc invisible pour le propriétaire du smartphone, mais permet de récupérer le numéro IMEI de l’appareil, explique Futura Sciences, ainsi que des informations sur la station de base à laquelle le téléphone est connecté. Grâce à ces informations, l’auteur du SMS peut localiser un individu. Le piratage de la carte SIM permet également d’envoyer un SMS à l’insu d’une victime depuis son smartphone, passer des appels ou forcer le lancement de pages web.

⋙ Lire aussi : Attention si vous empruntez le chargeur de téléphone d'un inconnu

La faille aurait déjà été utilisée à grande échelle, notamment par une firme privée travaillant avec des gouvernements et probablement à des fins de surveillance ciblée, expliquent les chercheurs d’AdaptiveMobile Security. Ils précisent également que la brèche est activement exploitée, précisant que "dans un pays nous voyons environ 100-150 numéros mobiles spécifiques ciblés par jour par des attaques Simjacker, avec des pics de 300 numéros en une journée".

Les résultats de l’étude ont été communiqués aux organisations GSM Association et SIM alliance afin d’alerter les opérateurs et améliorer la sécurité des nouvelles cartes SIM. Toutefois, pour le moment, il n’existe aucun moyen de se prémunir contre cette faille qui touche aussi bien Apple que Motorola, Samsung, Google ou Huawei, sauf à s’équiper d’une SIM sans la suite "S@T Browser". Les opérateurs pourraient également modifier les paramètres de sécurité des cartes SIM et désinstaller le logiciel à distance. Mais l’opération risque d’être plutôt longue et difficile.