Një zbulim i bujshëm i fundit nga studiues polakë të sigurisë kibernetike ka tronditur komunitetin teknologjik ndërkombëtar, duke ngritur dyshime serioze mbi sigurinë e kartave eSIM, të cilat janë tashmë të integruara në miliarda pajisje inteligjente në mbarë botën.
Ekipi Security Exploration ka arritur të hakojë një prej çipave më të përdorur për menaxhimin e profileve eSIM – konkretisht çipin Kigen eUICC – duke demonstruar se është i mundur klonimi i profileve eSIM, përgjimi i thirrjeve dhe mesazheve, madje edhe manipulimi i certifikatave të sigurisë.
🎯 Çfarë është sulmuar?
Objektivi i sulmit ishte softueri i integruar në çipin eUICC, që ruan dhe menaxhon profilet e eSIM-ëve në telefonë, pajisje IoT, automjete inteligjente dhe infrastrukturë industriale. Studiuesit arritën të:
-
Nxjerrin certifikatat e sigurisë të pajisjeve.
-
Shkarkojnë profile të deshifruara eSIM.
-
Demonstrojnë potencialin për qasje të paligjshme në të dhënat personale dhe numrat e përdoruesve.
⚠️ Rreziku real: nga klonimi i numrave te përgjimi i komunikimeve
Pavarësisht se eSIM është konceptuar si një alternativë moderne dhe fleksibile ndaj SIM kartave fizike – që lejon ndërrimin e operatorëve përmes softuerit – ky fleksibilitet po kthehet në një pikë të dobët sigurie.
Klonimi i një profili eSIM nga një sulmues nënkupton akses të plotë në numrin tuaj, qasje në kodet njëpërdorimëshe (OTP) për bankat ose rrjetet sociale, si dhe përgjim të thirrjeve dhe mesazheve. Edhe më shqetësuese: disa nga këto dobësi mund të shfrytëzohen nga distanca, përmes internetit, pa pasur kontakt fizik me pajisjen.
🛡️ Çfarë thonë prodhuesit?
Kompania Kigen, e cila prodhon çipin e prekur, ka pranuar ekzistencën e problemeve dhe i ka dhënë një shpërblim prej 30,000 dollarësh ekipit të sigurisë, ndërsa ka publikuar një patch korrektues. Megjithatë, studiuesit paralajmërojnë se zgjidhja është sipërfaqësore dhe se problemi qëndron thellë në Java Card Virtual Machine (Java Card VM) – platforma që mundëson funksionimin e aplikacioneve të eSIM-it.
Për më tepër, ekziston frika se çipa të tjerë eSIM nga prodhues të ndryshëm mund të kenë dobësi të ngjashme, duke i bërë miliarda pajisje të ekspozuara.
📉 Pasoja sistemike për sigurinë globale
Një nga shqetësimet kryesore që ngriti ekipi është fakti se certifikatat GSMA, që duhet të garantojnë mbrojtjen e profileve eSIM, mund të manipulohen për të shkarkuar profile në tekst të qartë (plaintext). Kjo mund të çojë në:
-
Klonim masiv të numrave telefonikë,
-
Krijimin e kanaleve të fshehta për përgjim masiv,
-
Ndikim të mundshëm në sigurinë kombëtare, për shkak të përdorimit të këtyre teknologjive në infrastrukturat kritike.
🔐 Çfarë mund të bëjnë përdoruesit?
Ndonëse përgjegjësia për këto probleme qëndron te prodhuesit dhe infrastruktura teknologjike, përdoruesit mund të ndërmarrin disa hapa bazikë për të ulur rrezikun:
-
Përditësoni rregullisht sistemin operativ dhe aplikacionet në pajisjet tuaja.
-
Përdorni aplikacione autentikimi (2FA) në vend të verifikimit përmes SMS kur është e mundur.
-
Shmangni ndarjen e të dhënave personale përmes telefonit nëse merrni thirrje apo mesazhe të dyshimta.
-
Njoftoni operatorin tuaj në rast të ndonjë aktiviteti të pazakontë me numrin tuaj.
