Vaša eSIM kartica možda nije bezbedna koliko mislite

Mobilni telefoni, 15.07.2025, 11:30 AM

Poljski istraživači iz Security Exploration tima uspeli su da hakuju čip koji čuva profile eSIM kartica (ugrađenih SIM kartica), čime su otvorili Pandorinu kutiju punu potencijalnih problema kao što je kloniranje SIM kartica, lažno predstavljanje i presretanje poziva i SMS-ova.

Meta njihovog napada bio je Kigen eUICC čip, koji služi za čuvanje i upravljanje eSIM-ovima. Istraživači su uspeli da izvuku sertifikate i preuzmu dešifrovane profile eSIM kartica koje koriste milijarde uređaja širom sveta, od mobilnih telefona, preko IoT uređaja, pa sve do industrijskih mašina.

eSIM je digitalna verzija SIM kartice, ugrađena direktno u uređaj kao softver instaliran na eUICC čipu. Ona omogućava lako prebacivanje profila između operatera, bez fizičke zamene kartice. Ali, upravo ta fleksibilnost se pokazala kao ranjiva tačka: ako hakeri mogu da kloniraju eSIM profil, praktično mogu da preuzmu vaš broj, čitaju vaše poruke, dobiju pristup jednokratnim kodovima (OTP) i presreću vaše pozive.

Istraživači tvrde da napad nije ograničen samo na fizički pristup, već se neke ranjivosti mogu iskoristiti i daljinski, preko mreže.

Iako nisu pomenuli konkretne uređaje koji su ranjivi, istraživači su upozorili da su eSIM čipovi ugrađeni u većinu modernih pametnih telefona i da bi svi mogli biti ranjivi.

Kigen je priznao problem i isplatio istraživačima nagradu od 30.000 dolara i izdao zakrpu. Ali tim koji je otkrio propust kaže da je rešenje samo „krpljenje po površini“, dok duboki problemi u Java Card VM-u, softveru koji pokreće eSIM aplikacije, ostaju. Štaviše, ovo sugeriše da bi i drugi proizvođači eSIM čipova mogli imati slične ranljivosti.

Ono što dodatno brine je što se GSMA sertifikati, koji bi trebalo da štite profile, sada mogu zloupotrebiti za skidanje eSIM profila u čistom tekstu. Jednom kada napadači dođu do tih podataka, mogu ih koristiti za kloniranje brojeva ili čak pravljenje „backdoor-a“ za masovno praćenje.

Nažalost, korisnici ne mogu mnogo da urade, ali je važno da redovno ažurirate softver telefona, jer proizvođači mogu izdati zakrpe, koristite 2FA aplikacije umesto SMS koda kad god je moguće i budete oprezni ako dobijate sumnjive pozive ili poruke koje traže osetljive podatke.