Attaques SIM swap : vol de numéro et comment s'en protéger

Qu'est-ce qu'une attaque de SIM swap ?

Votre numéro de téléphone semble être quelque chose que vous seul contrôlez. Une attaque de SIM swap brise cette hypothèse.

Lors d'un SIM swap, un escroc contacte votre opérateur mobile et se fait passer pour vous—invoquant un téléphone perdu ou une carte SIM endommagée—puis convainc l'opérateur de transférer votre numéro vers une carte SIM qu'il détient. À partir de ce moment, les appels et les SMS qui vous sont destinés lui parviennent.

Les attaquants y parviennent généralement par ingénierie sociale : ils reconstituent vos données personnelles à partir de fuites de données et de réseaux sociaux pour passer les vérifications d'identité de l'opérateur. Dans certains cas, ils bénéficient de l'aide d'un employé véreux au sein de l'opérateur.

Le butin, c'est votre numéro en guise de passe-partout. Avec lui, les attaquants peuvent intercepter les codes 2FA envoyés par SMS, demander des réinitialisations de mot de passe qui arrivent par texto, et lire les alertes bancaires—déverrouillant des comptes que votre mot de passe seul était censé protéger.

Pourquoi les attaquants veulent votre numéro de téléphone

Votre numéro de téléphone est bien plus qu'un moyen d'appeler vos amis. De nombreux services l'utilisent encore comme outil de sécurité : les banques, les fournisseurs de messagerie, les réseaux sociaux et les plateformes d'échange de cryptomonnaies envoient des codes SMS comme second facteur ou utilisent votre numéro pour vérifier les demandes de récupération de compte.

Cela fait de votre numéro une clé maîtresse. Si un attaquant en prend le contrôle, il peut intercepter ces codes et se connecter en se faisant passer pour vous. Un numéro détourné a déjà servi à pirater des boîtes mail, vider des comptes sur des plateformes d'échange de cryptomonnaies et s'approprier des profils de réseaux sociaux — souvent en une seule soirée.

Le danger s'aggrave car votre adresse e-mail est la voie de récupération de presque tout le reste. Perdez la boîte mail, et les réinitialisations de mot de passe de dizaines d'autres comptes suivent.

En résumé : votre numéro sert de clé de récupération pour l'ensemble de votre vie numérique, et c'est précisément pourquoi les voleurs le ciblent.

Comment se déroule généralement un SIM swap

Un SIM swap commence bien avant que le voleur n'appelle votre opérateur. Les attaquants recueillent d'abord des informations personnelles vous concernant à partir de fuites de données, de messages de phishing ou d'informations que vous partagez publiquement sur les réseaux sociaux — votre date de naissance, votre adresse et les derniers chiffres des comptes que vous utilisez.

Armés de ces informations, ils contactent votre opérateur mobile, souvent par téléphone ou en boutique, et se font passer pour vous. Le prétexte classique : un téléphone perdu, volé ou cassé qui nécessite une nouvelle carte SIM immédiatement.

Si les vérifications de l'opérateur sont faibles, le personnel active une nouvelle SIM dans l'appareil de l'attaquant et y transfère votre numéro. Votre téléphone perd soudainement le signal — plus d'appels, plus de SMS. Comme votre numéro réside désormais sur leur SIM, chaque code SMS qui vous était destiné arrive sur leur téléphone à la place.

Signes que votre numéro a été porté

Une fraude au SIM swap se manifeste généralement par un comportement étrange de votre téléphone.

• Perte de signal soudaine alors que le réseau est plein ailleurs. Votre téléphone affiche « Aucun service » alors que les personnes autour de vous, chez le même opérateur, ont du réseau, et votre opérateur confirme l'absence de panne dans votre zone.
• Les appels et les SMS échouent. Les appels sortants se coupent immédiatement, les SMS ne partent pas, et un redémarrage produit des erreurs « Aucune carte SIM » ou « SIM non provisionnée ».
• Alertes de compte inattendues. Des e-mails de réinitialisation de mot de passe ou des notifications de « nouvelle connexion » arrivent pour des comptes que vous n'avez pas touchés — quelqu'un utilise peut-être déjà votre numéro pour recevoir des codes de vérification.

Chacun de ces signes mérite votre attention. Une perte de signal combinée à des alertes de compte impose d'agir immédiatement : votre numéro a peut-être été transféré sur la SIM d'un voleur, et chaque code envoyé par SMS lui tombe maintenant entre les mains.

Configurer un code PIN opérateur et une protection contre le transfert de numéro

Votre compte mobile est la porte d'entrée de votre numéro de téléphone : verrouillez-le.

• Ajoutez un code PIN ou un mot de passe opérateur. La plupart des opérateurs permettent de définir un code PIN numérique ou un mot de passe verbal, exigé avant que quiconque puisse modifier le compte, commander une nouvelle carte SIM ou appeler le support. Sans cela, un voleur n'a besoin que de vos informations publiquement connues — nom, adresse, date de naissance — pour se faire passer pour vous.
• Activez la protection contre le transfert de numéro (port-out). Cela empêche le transfert de votre numéro vers un autre opérateur sans votre approbation, généralement en personne avec une pièce d'identité avec photo ou via une demande vérifiée. Cela neutralise directement l'étape de transfert d'une attaque de type SIM swap.
• Trouvez vous-même les paramètres. Les noms varient selon l'opérateur : cherchez « code PIN de compte », « gel de transfert » ou « verrouillage de numéro » dans la section sécurité de l'application ou du site web de votre opérateur. Si vous ne les trouvez pas, appelez le support et demandez les deux fonctionnalités.

Si vous utilisez des codes SMS pour vos opérations bancaires, envisagez une seconde ligne bon marché réservée uniquement à la 2FA bancaire. Cela éloigne l'exposition de votre numéro principal de vos comptes les plus précieux.

Réduisez votre dépendance aux codes SMS

Les messages texte sont la forme courante de 2FA la plus faible, car le code transite par votre opérateur — précisément le canal qu'une attaque par SIM swap compromet. Les options plus robustes conservent le code sur votre appareil ou éliminent entièrement les codes.

Applications d'authentification

Des applications comme Google Authenticator, Microsoft Authenticator ou Authy génèrent les codes localement sur votre téléphone. Rien n'arrive par le réseau, donc une SIM échangée ne révèle rien. Activez-les dans les paramètres de sécurité de chaque compte et conservez les codes de sauvegarde hors ligne.

Clés de sécurité matérielles

Pour les e-mails, les banques et autres comptes critiques, une clé de sécurité physique (par exemple compatible FIDO2) est l'option la plus robuste. La clé vérifie directement le site web légitime, donc les sites de phishing échouent automatiquement. Achetez-en deux : une pour l'usage quotidien, une de secours conservée en lieu sûr.

Passkeys et approbations via l'application

Lorsqu'un service propose des passkeys ou une approbation de connexion dans l'application, préférez-les aux SMS. Les passkeys sont liées à votre appareil et ne peuvent pas du tout être interceptées via votre opérateur.

Bonnes habitudes générales pour réduire votre surface d'attaque

Un SIM swap commence généralement par l'information, pas par la technologie. Les attaquants rassemblent des détails issus des réseaux sociaux, des fuites de données et des registres publics, puis les utilisent pour convaincre votre opérateur qu'ils sont vous.

• Partagez moins en ligne. Évitez de publier votre date de naissance, les noms de vos animaux, votre première école ou votre ville natale. Ce sont des réponses courantes aux questions de sécurité. Les anciennes publications peuvent être aussi révélatrices que les récentes.
• Utilisez des mots de passe longs et uniques. Un gestionnaire de mots de passe les génère et les retient pour vous, ainsi un mot de passe divulgué n'ouvre jamais plusieurs comptes.
• Auditez vos options de récupération. Vérifiez les paramètres de sécurité de vos comptes importants. Supprimez votre numéro de téléphone là où il n'est pas requis, et préférez une application d'authentification ou une passkey comme second facteur. Moins d'endroits permettent de réinitialiser un identifiant par SMS, donc moins de portes qu'une SIM usurpée peut ouvrir.

De petites habitudes appliquées avec constance éliminent la matière première dont dépendent les attaquants.

Que faire si vous êtes touché

Agissez vite — chaque heure compte.

1. Appelez immédiatement votre opérateur. Utilisez un autre téléphone ou rendez-vous en boutique avec une pièce d'identité. Demandez-leur de désactiver la SIM frauduleuse, de restaurer votre numéro sur votre appareil, et d'ajouter ou de renforcer sur-le-champ un code PIN opérateur ainsi qu'une protection contre le portage du numéro.

2. Sécurisez vos comptes, en commençant par l'e-mail. Votre boîte de réception est la clé maîtresse de tout le reste. Changez d'abord ce mot de passe, puis ceux de la banque, des réseaux sociaux et de tout compte lié au numéro. Dans la mesure du possible, révoquez les sessions actives, déconnectez tous les appareils et mettez à jour les numéros de récupération qu'un attaquant aurait pu ajouter.

3. Signalez l'incident. Déposez un signalement de fraude auprès de votre opérateur, puis auprès de votre autorité nationale de protection des consommateurs ou de lutte contre la cybercriminalité. Cela constitue une trace écrite si des attaquants ont ouvert des comptes en votre nom.

Un SIM swap est perturbant mais surmontable. Les verrous opérateur et les applications d'authentification au lieu des SMS font de vous une cible bien plus difficile la prochaine fois.