SIM card violate, cade l’ultimo tabu della sicurezza mobile

Quando si parla di sicurezza mobile si fa spesso riferimento a virus, malware e bug nel sistema operativo. Negli ultimi tempi abbiamo imparato a diffidare anche delle aziende tech che pare collaborino pesantemente con le agenzie federali statunitensi per fornire i dati dei clienti. Contro questo c’è ben poco da fare. Per evitare invece di cadere nelle trappole delle minacce informatiche si sono diffusi, anche su smartphone e tablet, antivirus e procedure di sicurezza che fino a poco tempo fa si era soliti utilizzare solo su PC e portatili. Questa settimana però non comincia nel migliore dei modi, almeno nel panorama della mobile security, visto che sembra sia caduto anche l’ultimo baluardo invalicabile da parte di hacker e cracker: le SIM card.

Karsten Nohl, ricercatore ed esperto di crittografia tedesco dei Security Research Labs, sostiene di aver finalmente trovato un difetto nel sistema di protezione del software delle schede SIM che potrebbe aprire un nuovo scenario per criminali informatici interessati al monitoraggio e alla frode. Nohl presenterà i suoi risultati durante la conferenza di sicurezza Black Hat di Las Vegas  che si terrà il prossimo 31 luglio ma intanto ha anticipato qualcosa. Prima di tutto che un hacl del genere è il primo dopo una decina di anni e arriva dopo che il suo team ha testato circa 1000 schede SIM alla ricerca di un tipo di vulnerabilità che, evidente, sentiva dovesse esservi, seppur nascosta da qualche parte.

Il bug, presente sulla base di un vecchio standard di sicurezza e di codice mal configurato, potrebbe consentire a terze parti di infettare da remoto una carta SIM con un virus che invia messaggi di testo di tipo “premium” (ovvero in grado di prosciugare il credito prepagato o far gonfiare la bolletta), re-indirizzare telefonate e prelevare il registro in entrata ed uscita e, con la giusta combinazione di hack e bug, realizzare una vera e propria rete di frode di pagamenti. Nel suo studio Nohl afferma che poco meno di un quarto di tutte le schede SIM testate potrebbero essere violate ma dato che gli standard di crittografia variano ampiamente tra i paesi, si stima che a rischio ci siano circa un ottavo delle schede SIM di tutto il mondo il che equivale a circa mezzo miliardo di telefoni cellulari.

Nohl, come ha spiegato a Forbes , ritiene che i criminali siano ancora allo scuro di una tecnica del genere, anche se è ovvio che una volta resa nota faranno di tutto per sfruttarla prima che vanga tappata. Proprio qui sta il problema maggiore. Il ricercatore tedesco ha già informato chi di dovere per cercare di implementare una struttura di protezione maggiore. Tutti i maggiori operatori di telefonia mobile conoscono il problema e si stanno attivando per arginarlo al più presto.

Secondo Nohl la conseguenza più grave sarebbe connessa al propagarsi della tecnologia NFC. Ad esempio si potrebbe utilizzare una SIM clonata, associata ad un conto rubato, per effettuare pagamenti in mobilità,semplicemente strisciando il telefono sul supporto NFC. Quale sarà la soluzione? “I vettori dovrebbero aggiornare le SIM a crittografie più recenti e anche molto rapidamente – secondo Nohl - non solo per la sicurezza dei propri abbonati ma per le loro entrate future. Gli istituti di pagamento, come MasterCard e Visa, dovranno utilizzare il protocollo OTA  per abilitare le schede SIM ed installare applicazioni Java specifiche, come quelle per la gestione delle carte di credito, e dare il via libera ai pagamenti NFC via smartphone e tablet”.