Le SIM swapping : quand on vous vole votre numéro

Image générée par IA¹

Imaginez la scène : vous êtes tranquillement en train de boire votre café, et soudain votre téléphone affiche “Aucun réseau”. Bizarre. Vous redémarrez l’appareil, vous tapotez sur l’écran… rien. Pas d’appels, pas de SMS, plus rien. Vous pestez contre votre opérateur, vous vous dites que c’est une panne, et vous passez à autre chose.

Grave erreur. Pendant ce temps, à des centaines de kilomètres, un escroc est en train de recevoir vos SMS, de réinitialiser vos mots de passe et de se balader dans vos comptes en banque. Bienvenue dans le monde du SIM swapping.

C’est quoi, le SIM swapping ?

“SIM swapping”, littéralement “échange de carte SIM”, c’est une arnaque qui consiste à voler… non pas votre téléphone, mais votre numéro.

Petit rappel pour bien comprendre : votre numéro de téléphone n’est pas lié à votre appareil, mais à votre carte SIM (cette petite puce qu’on glisse dans le mobile, ou aujourd’hui la version dématérialisée, l’eSIM). C’est elle qui dit au réseau : “Les appels et les SMS du 06 12 34 56 78, c’est par ici !”.

Le principe de l’attaque est diaboliquement simple : l’escroc appelle votre opérateur (Orange, SFR, Free, Bouygues…) en se faisant passer pour vous, raconte qu’il a perdu son téléphone ou cassé sa carte SIM, et demande gentiment de transférer le numéro sur une nouvelle carte SIM qu’il a, lui, en sa possession.

Si l’opérateur tombe dans le panneau, c’est terminé : votre carte SIM à vous se désactive (d’où le “Aucun réseau”), et celle de l’escroc prend le relais. Votre numéro vient de changer de mains.

Mais comment se font-ils passer pour moi ?

Bonne question. Pour convaincre l’opérateur, l’escroc doit répondre à quelques questions de “sécurité” : votre nom, votre date de naissance, votre adresse, parfois les derniers chiffres de votre RIB ou de votre pièce d’identité.

Et là, mauvaise nouvelle : toutes ces informations, il peut les avoir. Soit parce qu’elles traînent dans une fuite de données (ces grosses bases de données dérobées à des entreprises et revendues sur Internet), soit parce qu’il vous les a soutirées lui-même via un hameçonnage (un faux mail ou un faux SMS qui vous demande de “confirmer vos informations”).

Autrement dit, plus vos données personnelles circulent, plus l’escroc a de munitions pour jouer votre rôle de façon convaincante.

Pourquoi c’est (très) grave

À ce stade, vous vous dites peut-être : “Bon, il a mon numéro, et alors ? Je vais juste rappeler mon opérateur.” Sauf que le numéro de téléphone est devenu, sans qu’on s’en rende vraiment compte, la clé d’une bonne partie de notre vie numérique.

Vous connaissez sûrement ces fameux codes à usage unique envoyés par SMS quand vous vous connectez à votre banque ou que vous validez un paiement ? C’est ce qu’on appelle la double authentification (ou 2FA, pour two-factor authentication) : en plus de votre mot de passe, le site vous envoie un code par SMS pour vérifier que c’est bien vous. Une excellente idée sur le papier, dont nous avons d’ailleurs parlé dans notre article sur l’authentification multi-facteur.

Le problème ? Si l’escroc reçoit désormais vos SMS, il reçoit aussi vos codes de sécurité. Et là, l’engrenage se met en marche :

1. Il va sur votre boîte mail, clique sur “Mot de passe oublié”, reçoit le code de réinitialisation par SMS… et prend le contrôle de votre adresse e-mail.
2. Avec votre boîte mail, il réinitialise les mots de passe de tous vos autres comptes (votre adresse e-mail, c’est un peu le trousseau de clés de toute votre vie en ligne).
3. Il accède à vos comptes bancaires, valide des virements (le fameux code SMS de confirmation, c’est lui qui le reçoit maintenant), pille vos comptes de cryptomonnaies (une cible très prisée, car les transactions sont quasi impossibles à annuler), et s’empare de vos réseaux sociaux.

En quelques minutes, votre identité numérique entière peut basculer. Tout ça parce qu’un numéro de téléphone a changé de carte SIM.

Le signal d’alerte numéro 1

Si vous ne devez retenir qu’une seule chose de cet article, c’est celle-ci :

Si votre téléphone perd subitement tout réseau, sans raison apparente, alors que ceux de votre entourage fonctionnent normalement : méfiez-vous.

Plus d’appels, plus de SMS, l’écran affiche “Aucun service” ou “SOS uniquement” en pleine ville alors que tout allait bien il y a cinq minutes ? Ce n’est peut-être qu’une panne réseau banale (ça arrive). Mais c’est aussi exactement le symptôme d’un SIM swapping en cours.

Le réflexe à avoir : ne pas attendre. Plus vous réagissez vite, moins l’escroc a de temps pour faire des dégâts. Empruntez le téléphone d’un proche et appelez immédiatement votre opérateur pour vérifier ce qui se passe sur votre ligne.

Comment se protéger

La bonne nouvelle, c’est qu’on n’est pas démuni face à cette arnaque. Voici les bons réflexes, du plus important au plus accessoire.

Abandonner la double authentification par SMS

C’est LE conseil clé. Le SIM swapping ne fonctionne que parce que les codes arrivent par SMS. Privez l’escroc de ce levier, et toute son attaque s’effondre.

Pour vos comptes importants (mail, banque, réseaux sociaux, cryptomonnaies), privilégiez :

• Une application d’authentification : ce sont de petites applications gratuites (Google Authenticator, Microsoft Authenticator, ou encore Authy) qui génèrent elles-mêmes les codes à usage unique, directement sur votre téléphone. Aucun SMS n’est envoyé : même si on vole votre numéro, l’escroc n’a aucun moyen de récupérer ces codes.
• Une clé physique de sécurité : une sorte de petite clé USB (les marques connues sont YubiKey ou Titan) qu’on branche ou qu’on approche du téléphone pour valider la connexion. C’est la protection la plus solide qui existe, parce qu’il faut posséder physiquement l’objet.

On en parle plus en détail dans notre article dédié à l’authentification multi-facteur, je vous invite à y jeter un œil.

Mettre un code secret sur votre compte opérateur

La plupart des opérateurs permettent d’ajouter un mot de passe ou un code confidentiel à votre compte client : un code que l’on vous demandera obligatoirement avant toute opération sensible, comme… un changement de carte SIM, tiens donc.

C’est probablement la mesure la plus efficace pour bloquer l’arnaque à la source. Appelez votre opérateur ou fouillez dans votre espace client pour activer cette option. Et choisissez un code que vous n’utilisez nulle part ailleurs (vous trouverez de bonnes idées dans notre guide sur les bonnes pratiques des mots de passe).

Limiter les informations que vous exposez

Souvenez-vous : l’escroc a besoin de vos données personnelles pour vous imiter. Moins vous en laissez traîner, plus vous lui compliquez la tâche.

• Réfléchissez à deux fois avant de publier votre date de naissance, votre adresse ou votre numéro de téléphone sur les réseaux sociaux.
• Méfiez-vous des formulaires un peu trop curieux qui réclament des informations sans raison valable.
• Restez vigilant face au hameçonnage : aucun opérateur, aucune banque ne vous demandera vos mots de passe ou vos codes par mail ou par SMS. En cas de doute, ne cliquez pas, et contactez directement l’organisme par les canaux officiels.

Et si ça m’arrive quand même ?

Malgré toutes les précautions, vous constatez que votre ligne est bel et bien détournée. Pas de panique, mais agissez vite et dans l’ordre :

1. Contactez votre opérateur en urgence pour signaler le détournement et faire réactiver votre carte SIM légitime (en empruntant le téléphone d’un proche si le vôtre est coupé).
2. Prévenez votre banque dans la foulée pour faire bloquer vos comptes et opérations en cours. Plus vous êtes rapide, plus vous avez de chances de limiter (voire d’annuler) les transactions frauduleuses.
3. Sécurisez vos comptes : changez vos mots de passe, en commençant par votre boîte mail, et activez une double authentification qui ne dépend pas du SMS.
4. Portez plainte auprès de la police ou de la gendarmerie. C’est indispensable pour vos démarches, notamment auprès de la banque et des assurances.

Pour la marche à suivre complète après un piratage, on a tout détaillé dans que faire quand on est piraté.

Conclusion

Le SIM swapping, c’est une arnaque sournoise : pas de virus, pas de logiciel malveillant sur votre appareil, juste un escroc qui se fait passer pour vous au téléphone et qui transforme votre propre numéro en cheval de Troie. Et le plus rageant, c’est qu’on n’y peut parfois pas grand-chose au moment où ça se déclenche.

Mais vous avez désormais les bonnes cartes en main :

• Méfiez-vous d’une perte de réseau soudaine et inexpliquée : c’est le signal d’alerte numéro 1.
• Quittez la double authentification par SMS au profit d’une application d’authentification ou d’une clé physique.
• Verrouillez votre compte opérateur avec un code secret.
• Gardez vos informations personnelles pour vous autant que possible.

Votre numéro de téléphone est devenu un trousseau de clés numérique : il mérite qu’on le protège au moins autant que les clés de chez vous. Et vous, savez-vous quelle méthode de double authentification protège réellement vos comptes ? C’est peut-être le bon moment pour aller vérifier 😉