05/12
Des failles inquiétantes exposent les eSIM d’Orange, Bouygues Telecom et de nombreux grands opérateurs mondiaux
Une enquête menée par le cabinet Security Explorations révèle des vulnérabilités majeures dans l’infrastructure de certains fournisseurs de cartes eSIM. Ces failles ont permis d’accéder à des profils d’abonnés déchiffrés appartenant à des opérateurs comme Orange, Bouygues Telecom ou encore AT&T. Une menace sérieuse pour la sécurité mobile que minimise Kigen, leader mondial de l’eSIM qui assure que seuls les profils test sont concernés.
Des failles au cœur de l’infrastructure eSIM. La société polonaise Security Explorations a levé le voile sur une série de failles de sécurité affectant l’écosystème des cartes eSIM (eUICC ,Embedded Universal Integrated Circuit Card), utilisées pour connecter les smartphones sans carte physique. En compromettant un certificat privé d’une entité de confiance (SM-DP+), les chercheurs ont pu intercepter, télécharger et décrypter des profils eSIM de centaines d’opérateurs partout dans le monde.
Parmi eux : AT&T, Vodafone, O2, Orange, Bouygues Telecom, T-Mobile, China Mobile, CMHK et DTAC. Ces profils contiennent des données sensibles permettant d’authentifier un abonné et de l’enregistrer sur le réseau mobile. La liste complète n’a pas été dévoilée.
Bien que Security Explorations n’ait pas tenté d’exploiter ces profils, la menace est réelle. Un acteur malveillant aurait pu utiliser ces données pour cloner une eSIM, s’enregistrer sur le réseau comme un autre utilisateur, intercepter des appels, SMS ou données, voire usurper une identité mobile. La faille découle en partie d’un manque de vérification dans le protocole d’échange entre le serveur de gestion eSIM (SM-DP+) et le smartphone, permettant l’utilisation de certificats non autorisés.
Seuls les profils test ciblés ?
Le rapport complet a été transmis à l’entreprise Kigen, spécialisée dans la gestion d’eSIM, pour coordonner une réponse avec les opérateurs concernés. Dans un bulletin du 9 juillet 2025, Kigen a minimisé l’impact, affirmant que seules les eSIM de test (profil test) ont été touchées et que les cartes production normales n’auraient pas été compromises. Le leader mondial de l’eSIM a alors publié un correctif OTA, distribué largement, visant le blocage de “l’installation d’applets JavaCard, le renforcement de la JVM, la randomisation des clés RAM et la désactivation du mode test”.
Pas seulement selon les chercheurs
Les chercheurs de la Security Explorations contestent cette version. Selon eux, la faille est bien plus globale : elle cible l’implémentation de la Java Card VM notamment via des failles de type confusion, présente sur toutes les eSIM conformes aux exigences GSMA, association internationale représentant les intérêts de plus de 750 opérateurs et constructeurs de téléphonie mobile de 220 pays du monde dont font partie également Free Mobile et SFR. En attaquant la JVM (un environnement d’exécution) elle-même, un hacker pourrait alors contourner les protections même sur les cartes production, pas uniquement les profils test.
Source : Alloforfait