A Gemalto, a líder do fabrico de cartões SIM, que são usados pelos telemóveis para se conectarem às redes celulares, confirmou hoje que terá sido alvo de dois tipos de ataques de hackers: um primeiro ataque registado em junho de 2010 que terá tido por objetivo intercetar as comunicações entre profissionais da delegação francesa da companhia; e um segundo ataque datado de julho de 2010, também apurado pela equipa de segurança da Gemalto, e que terá sido desencadeado através de e-mails falsos enviados para operadores de telemóveis que são clientes da fabricante com o propósito de disseminar códigos maliciosos e espiar a correspondência trocada com a fabricante de cartões SIM.
Ambas tentativas de ataque foram reportadas junto das autoridades locais. «Nessa altura, foi impossível identificar os autores (dos ataques), mas agora acreditamos que poderão estar relacionados com as operações da NSA e a GCHQ (serviços secretos britânicos)», refere um comunicado divulgado pela Gemalto em paralelo com a conferência de imprensa que a companhia convocou para esta manhã em Paris.
Ontem, Michael Rogers, líder da NSA, optou por não comentar as notícias sobre os ataques à Gemalto e reiterou que agência que lidera respeita sempre a lei (presume-se que se referia à lei dos EUA).
Apesar de admitir as tentativas de ataque poderão ter sido bem sucedidas, a Gemalto relativiza o impacto que estes ataques, que segundo as mais recentes revelações de Edward Snowden terão sido levados a cabo pela Agência de Segurança nacional dos EUA e os serviços secretos britânicos.
«Estas intrusões apenas afetaram componentes externas das nossas redes – que estão em contacto com o mundo que está lá fora. As chaves de encriptação SIM e outros dados dos consumidores em geral não estão armazenadas nestas redes. É importante compreender que a nossa arquitetura de rede está desenhada para parecer uma mistura de cebola com uma laranja; além das várias camadas conta ainda com segmentos que ajudam a criar núcleos de dados isolados», descreve a Gemalto.
A Gemalto classifica as intrusões como «sérias» e «sofisticadas», mas logo lembra que não chegaram a propagar-se por outras áreas da rede e que não foram detetadas falhas de segurança na infraestrutura que suporta a atividade cartões SIM ou de outros produtos usados em cartões de identificação ou passaportes. «Estas redes funcionam isoladas umas das outras e não estão ligadas a redes externas», acrescenta a companhia.
Segundo a Gemalto, a complexidade das redes torna difícil criar um mecanismo que permita espiar as comunicações de um grande número de cartões SIM. E essa será a razão, segundo a companhia, que leva os serviços secretos a preferirem direcionar os ataques para as infraestruturas e sistemas de comunicação que são geridos pelos operadores.
As medidas de segurança tomadas em anos anteriores a 2010 terão também contribuído para reduzir a probabilidade de interceção das comunicações entre operadores e a Gemalto. A companhia fundamenta esta tese com o facto de os ataques contra as redes celulares da Afeganistão, Iémen, Índia, Sérvia, Irão, Islândia, Somália, Tadjiquistão, e Paquistão não terem sido todos bem sucedidos. «Quando os operadores usam métodos de partilha de informação seguros, esta técnica de interceção não funciona», recorda a Gemalto, dando como exemplo as redes paquistanesas que terão escapado a campanha de espionagem por usarem os sistemas de segurança que já haviam sido disponibilizados antes de 2010.
Em 2010, a maioria das redes ainda funcionava na segunda geração das comunicações móveis (2G). A Gemalto recorda que a evolução tecnológica para as terceira e quarta geração (3G e 4G, respetivamente) acabou por reduzir a probabilidade de sucesso das tentativas de ataque. A este dado, a companhia junta um número: apenas dois por cento das interceções levadas a cabo pelas campanhas de espionagem denunciadas por Snowden terão incidido em cartões SIM que usam sistemas de encriptação mais fortes (como os que a Gemalto alegadamente passou a usar).
A Gemalto acrescenta ainda que não foi a única companhia atacada por espiões. E recorda que não é fornecedora dos cartões SIM usados por quatro dos 12 operadores que surgem na lista como tendo sido alvo de ataques de espiões.
Um último exemplo ajuda a compreender a extensão da espionagem que poderá ter sido levado a cabo pelas agências britânica e norte-americana: mais de 300 mil chaves de encriptação de operador somali foram desviadas. A Gemalto garante que nunca vendeu cartões SIM para esse operador. O que leva a crer que outros fabricantes de cartões SIM terão ainda de se pronunciar sobre este assunto.
