Las vulnerabilidades de Java Card resurgen en las eSIMs de los smartphones

Las eSIMs han revolucionado la forma en que nuestros móviles se conectan a las redes celulares, eliminando esas pequeñas tarjetas físicas que siempre perdíamos o que no sabíamos cómo extraer sin doblar un clip. Sin embargo, una reciente investigación ha destapado vulnerabilidades preocupantes que podrían permitir que alguien clone tu eSIM y, literalmente, se convierta en tu «gemelo digital» en la red.

Qué son las eSIMs y por qué deberías prestarles atención

Las eSIMs (Embedded SIMs) son versiones digitales de las tarjetas SIM tradicionales que vienen integradas directamente en tu smartphone. Una de sus principales ventajas es que permiten cambiar de operador sin necesidad de cambiar físicamente ninguna tarjeta. Solo necesitas un código QR o una app y listo.

El corazón de esta tecnología es el eUICC (embedded Universal Integrated Circuit Card), un componente que gestiona los perfiles de diferentes operadoras y permite la provisión remota. Es como tener varias SIM en una, todas controladas digitalmente.

La investigación que ha encendido las alarmas

Security Explorations, un laboratorio polaco especializado en ciberseguridad, ha estado investigando a fondo las eSIMs y ha encontrado algo que no esperaba: vulnerabilidades críticas en los chips eUICC de Kigen, uno de los principales fabricantes que ha desplegado más de dos mil millones de SIMs en dispositivos IoT y smartphones.

Lo preocupante no es solo que hayan encontrado fallos, sino que estos fallos están relacionados con vulnerabilidades de Java Card, una tecnología de Oracle, que ya fueron identificadas en 2019 y que aparentemente nadie se tomó muy en serio entonces.

Las vulnerabilidades al descubierto

Según Adam Gowdiak, CEO de AG Security Research, el ataque funciona más o menos así:

1. El atacante necesita tener acceso físico a tu smartphone por un tiempo limitado
2. Durante ese tiempo, extrae una clave de seguridad del chip eSIM
3. Una vez obtenida la clave, ya no necesita el dispositivo físicamente
4. Puede instalar aplicaciones maliciosas de forma remota (OTA) en la eSIM
5. Estas aplicaciones pueden obtener todos los datos del perfil de tu eSIM

Y aquí es donde la cosa se pone interesante (y preocupante): con estos datos, pueden clonar completamente tu eSIM. Gowdiak lo demostró clonando un perfil de Orange Polonia, haciendo que todas las llamadas y mensajes destinados al dispositivo original fueran redirigidos a su dispositivo con la eSIM clonada.

Las implicaciones para la seguridad y privacidad

Aunque Kigen ha clasificado el problema como de «impacto medio» (curiosamente después de pagar $30,000 como recompensa al investigador), las implicaciones son bastante graves:

Para el usuario normal

Si eres de los que usa tu Android o iPhone para todo, deberías saber que este tipo de vulnerabilidad podría permitir:

• Que alguien intercepte tus llamadas y mensajes
• Que puedan suplantar tu identidad con las operadoras
• Que accedan a servicios que utilizan verificación por SMS

Para objetivos de alto valor

Para personas en posiciones sensibles (ejecutivos, políticos, periodistas), esto es aún más grave. Un actor con suficientes recursos (como un estado-nación) podría:

• Espiar comunicaciones confidenciales
• Eludir la autenticación de dos factores basada en SMS
• Crear backdoors permanentes en los chips eSIM que serían prácticamente indetectables

El problema de fondo: Oracle y las vulnerabilidades de Java Card

Lo más frustrante de esta situación es que estamos ante un problema conocido desde 2019. Security Explorations ya había alertado sobre vulnerabilidades críticas en la tecnología Java Card de Oracle, pero en aquel momento tanto Oracle como los fabricantes de tarjetas SIM minimizaron su importancia.

Ahora, esas mismas vulnerabilidades han vuelto para atormentarnos en forma de exploits para eSIMs. Y lo peor es que Oracle sigue sin mostrar gran preocupación, según indica Security Explorations.

¿Qué se está haciendo al respecto?

A raíz de esta investigación:

• Kigen ha publicado un aviso describiendo el impacto y las mitigaciones
• GSMA, la organización que representa a los operadores móviles, ha compartido orientación para fabricantes y desarrolladores
• Security Explorations ha creado herramientas para detectar si una eSIM es vulnerable

Sin embargo, es importante señalar que aunque el estudio se centró en productos de Kigen, los chips eSIM de otros fabricantes probablemente también sean vulnerables, ya que el problema de base está en la tecnología Java Card.

¿Y ahora qué hacemos?

Como usuario de smartphone con eSIM, no hay mucho que puedas hacer directamente para protegerte, ya que las mitigaciones deben venir de los fabricantes y las operadoras. Sin embargo, algunas recomendaciones básicas:

• Mantén actualizado tu dispositivo y su sistema operativo
• No dejes tu teléfono sin supervisión en entornos no confiables
• Considera usar métodos de autenticación alternativos al SMS para servicios críticos

En el fondo, estamos ante otro recordatorio de que la seguridad perfecta no existe, ni siquiera en las tecnologías que se suponen más avanzadas. La migración de SIM físicas a eSIMs ha traído muchas ventajas en comodidad y flexibilidad, pero también nuevos vectores de ataque que los investigadores apenas están empezando a explorar.

Lo que está claro es que, en 2025, nuestros smartphones siguen siendo tanto nuestra mayor herramienta como nuestro mayor punto débil en términos de privacidad y seguridad. Y cada avance tecnológico trae consigo nuevos desafíos que resolver.