Días después de que saltaran las alarmas ante la operación de espionaje a gran escala en tarjetas SIM revelada por The Intercept, sitio fundado por Glenn Greenwald (el periodista de The Guardian con quien contactó Edward Snowden para hacer públicas sus filtraciones en junio de 2013), el objetivo de esta vigilancia, la empresa holandesa Gemalto, afirma que sus productos son seguros.
El mayor proveedor de tarjetas SIM a nivel mundial revelará este miércoles el resultado de las investigaciones que está llevando a cabo para determinar el alcance de la penetración en sus tarjetas de los servicios de espionaje estadounidenses, la NSA, y británicos, el GCHQ (Government Communications Headquarters). Hasta el momento solo ha avanzado que su tecnología es segura, tanto la que se refiere a las tarjetas SIM como la que está integrada en las tarjetas bancarias o en los pasaportes electrónicos.
La compañía cuenta con un aluvión de clientes en todo el mundo. En su cartera están 450 operadoras de telecomunicaciones, más de 3.000 organizaciones financieras y más de 80 proyectos gubernamentales relacionados con el ámbito digital. Estas son las cifras que la compañía ofrece en su web. Su tecnología la usan diversos tipos de empresas, incluidas algunas que se enmarcan en el sector industrial. Sin embargo, lo que más preocupa a los usuarios es el espionaje que podría tener lugar en las tarjetas SIM de los móviles y en los chips de las tarjetas bancarias.
Las nuevas revelaciones de Snowden
El reportaje publicado en The Intercept cuenta cómo la NSA y el GCHQ habrían trabajado conjuntamente para hackear los sistemas de Gemalto, con el fin de poder interceptar las comunicaciones –de voz y datos– de todos los teléfonos móviles cuya SIM hubiera sido fabricada por este proveedor. No ha sido la única compañía a la que han atacado los servicios de espionaje, según los documentos que ha prestado Edward Snowden para el caso; otras empresas también habrían sufrido robos de datos.
La operación se remonta al año 2010, cuando una unidad conjunta de las dos agencias de espionaje puso en marcha un programa para obtener acceso a las comunicaciones móviles de una gran parte de los usuarios a nivel mundial. El grupo encargado de las actividades se llamó Mobile Handset Explotation Team, según recoge The Intercept. El método empleado consistió en atacar las cuentas personales, de email y de Facebook, de los empleados de Gemalto, así como de otras compañías de telecomunicaciones y proveedores de SIM.
El objetivo estaba claro: obtener la información necesaria para tener acceso a las claves de cifrado de millones de tarjetas SIM de todo el mundo. Las comunicaciones móviles, donde se incluyen las llamadas, los mensajes de texto y el acceso a Internet, están cifradas cuando viajan desde el terminal móvil hasta la operadora, y viceversa. De este cifrado tienen la llave las tarjetas SIM, donde la clave está integrada directamente en el chip. La operadora tiene una copia de esta clave para poder identificar de quién procede la comunicación y transmitirla.
Los servicios de inteligencia británicos lograron acceso a los sistemas informáticos internos de Gemalto gracias a los ataques practicados a las cuentas personales de los empleados. Introdujeron malware en algunos ordenadores con el fin de obtener un acceso privilegiado –y secreto– a la red interna de la compañía, desde donde pudieron robar las claves de cifrado integradas en cientos de millones de tarjetas SIM. Lo hicieron sin dejar ningún rastro. Las operadoras no tenían manera de enterarse de que las comunicaciones que gestionaban estaban siendo interceptadas.
Uno de los documentos filtrados por Snowden, perteneciente al GCHQ, señala que la mayoría de fabricantes de tarjetas SIM transfieren las claves de cifrado de las tarjetas a las operadoras con métodos más bien convencionales. Literalmente citan el email o el FTP (File Transfer Protocol) como los medios empleados, con sistemas de cifrado fáciles de penetrar, a veces incluso con los datos sin cifrar.
De esta forma los servicios de inteligencia podían descifrar las llamadas y los datos que viajaban entre un usuario y una operadora, sin que ninguno de los dos puntos se apercibiera de que la comunicación estaba siendo intervenida.
Imagen: andrewlih