Gemalto är kanske inte ett varumärke som gemene man känner till, men det nederländska bolaget är världens största tillverkare av sim-kort och levererar till 450 av världens mobiltillverkare.
Läs mer: NSA kan ha spionerat på hårddiskar i 20 år med utplanterade virus
Nu visar dokument läckta av visselblåsaren Edward Snowden, som tidningen The Intercept tagit del av, att amerikanska NSA och brittiska GCHQ gemensamt brutit sig in i Gemaltos datorer och avlyssnat trafik mellan företaget och operatörer för att komma åt de krypteringsnycklar som företaget lägger in i sina sim-kort.
Det är okänt hur många nycklar de båda spionorganisationerna lagt vantarna på, men enligt Snowdens dokument så samlades 106 000 nycklar in och matchades till leveranser av simkort till olika operatörer bara under fyra månader kring årsskiftet 2009/2010. Men det totala antalet insamlade nycklar är förmodligen betydligt större och i ett av dokumenten beskriver spionerna det som att de har tillgång till hela Gemaltos nätverk. Dokumentet beskriver också att NSA har möjlighet att hantera mellan 12 miljoner och 22 miljoner nycklar per sekund, men inte hur många nycklar som verkligen har samlats in.
Gemaltos vd Paul Beverly säger till The Intercept att han inte haft någon kännedom om att företagets krypteringsnycklar hamnat på vift.
Läs mer: Så skyddar du dig mot statligt spioneri
Nycklarna kallas Ki-nycklar och levereras i par, en på sim-kortet och en som mobiloperatören har i sitt nät. De används för att kryptera samtalen i mobilnätet och för att identifiera vilka abonnenter som kopplar upp sig i näten. I de första gsm-näten var krypteringen som användes relativt enkel att knäcka för den som vill avlyssna trafiken, men i 3G- och 4G-näten används en kraftigare kryptering som är krångligare och tar mer resurser för underättelsetjänsterna att knäcka. Men med en egen databas över nycklarna som används för att kryptera trafiken så beskrivs det som en trivial sak att omvandla den krypterade kommunikationen till klartext.
Bakom operationen mot Gemalto finns enligt Snowden-dokumenten en tidigare okänd organisation inom NSA och GCHQ som kallas Mobile Handset Exploitation Team, eller kort och gott MHET. Organisationen har förutom att stjäla nycklar från Gemalto även övervakat företagets anställda både på Facebook och e-post.
MHET ska också ha spionerat på andra inom viktiga telekomföretag som till exempel Ericsson, Huawei, Nokia, ett flertal operatörer och även konkurrenter till Gemalto som också tillverkar simkort.
Stölderna av koder till simkort verkar främst vara av intresse för spionage i länder där de båda organisationerna inte har redan upparbetade relationer med operatörerna och därför inte haft tillgång till kundernas konversationer.
Teliasonera är en av Gemaltos kunder och företaget tar allvarligt på det inträffade.
– Det är mycket oroande och vi kommer att följa upp det här och se om det på något sätt kan kopplas till oss, säger Iréne Krohn som är talesperson för Telia.
Hon har inga uppgifter på hur många simkort från Gemalto som finns hos Teliakunder.
– Men det är världens största leverantör av simkort, säger hon.
Samtidigt som Teliasonera tar allvarligt på den här typen av attacker så ser Iréne Krohn ingen anledning för företagets kunder att vidta några speciella åtgärder för att skydda sig.
– När det kommer sådan här information måste vi först undersöka vad som hänt, säger hon.
