La faille frappe les cartes SIM utilisant le standard de cryptage DES (Data Encryption Standard), un vieux protocole aujourd’hui dépassé chez un grand nombre de constructeurs, mais toujours utilisé sur des centaines de millions de cartes SIM. La vulnérabilité permet à un hacker d’obtenir la clé numérique de la carte, une séquence de 56 chiffres qui une fois débusquée, autorise n’importe quelle modification. Karsten Nohl, fondateur du Security Research Labs, a pu injecter un virus par l’entremise d’un message texte, acheter quelque chose via le mobile infecté, ou encore usurper l’identité du propriétaire légitime.
L’opération de hacking peut être complétée en deux minutes, en utilisant un ordinateur lambda. Ce sont, d’après l’estimation de Nohl, 750 millions de téléphones qui peuvent être potentiellement frappés via cette faille, soit environ 25% des trois milliards de cartes SIM en circulation dans le monde. L’info est désormais entre les mains du GSMA, un regroupement d’opérateurs qui gère les destinées et le déploiement des réseaux GSM partout dans le monde.