Le groupe Gemalto, fournisseur de cartes SIM pour les opérateurs du monde entier, a-t-il été victime d'un piratage de son réseau par des agences de renseignement telles que la NSA américaine ou le GCHQ britannique pour dérober les clés d'encryptage des cartes SIM ?

L'entreprise a mené son enquête interne et arrive à la conclusion que certaines attaques contre son réseau observées en 2010 et 2011 peuvent coller avec ce scénario, notamment avec l'observation de tentatives d'usurpation d'identité pour implanter un code malveillant chez un opérateur  et des tentatives d'accès aux comptes de salariés de Gemalto en contact régulier avec des clients.

Si Gemalto se refuse à affirmer qu'il s'agit là de l'action des agences de renseignement, le groupe fait valoir que "ces intrusions n'ont affecté que des parties externes des réseaux de Gemalto, c'est-à -dire les réseaux bureautiques qui sont en contact avec le monde extérieur" mais sans accès vers les fameuses clés d'encryptage.

L'entreprise indique ne pas avoir détecté d'activité suspecte sur le réseau interne concernant l'activité SIM ou les autres produits de sécurité, comme les cartes bancaires, les cartes d'identité et les passeports électroniques, dont les réseaux "ne sont pas connectés avec le monde extérieur".

Gemalto indique par ailleurs avoir mis en place des communications sécurisées avec ses clients bien avant 2010, même si certains opérateurs ou fournisseurs ont pu ne pas les utiliser à cette période. Le groupe observe par ailleurs que l'article de The Intercept ne concerne sans doute pas uniquement Gemalto.

Il fait également valoir que la méthode de sécurisation des communications 2G en 2010 était déjà considérée comme faible et facilement contournable par les agences de renseignement, ce qui a conduit à ajouter des couches de sécurité, tandis que l'arrivée de la 3G et de la 4G ont bénéficié d'une sécurité renforcée.

Gemalto rejette donc finalement l'hypothèse d'un piratage massif des clés de chiffrement des cartes SIM mais se dit préoccupée "par le fait que des autorités d'Etat aient pu lancer de telles opérations contre des sociétés privées non coupables d'agissements suspects".