L’échange frauduleux de carte SIM n’a rien d’anecdotique : le rapport annuel 2023 de l’IC3 du FBI recense des plaintes pour des pertes dépassant 48 millions de dollars sur une seule année. Dans le même temps, les opérateurs poussent fort l’adoption de l’eSIM, et GSMA prévoit que les connexions compatibles eSIM représenteront 50 % du total des connexions smartphone d’ici 2025. La vraie question n’est donc pas de savoir si l’eSIM est à la mode, mais si elle protège réellement contre la fraude qui a coûté 48 millions de dollars aux victimes en une seule année. La réponse honnête est plus nuancée qu’une plaquette marketing, et elle dépend surtout de l’endroit où se situe réellement le maillon faible entre vous et votre opérateur.
Comment une carte SIM se fait réellement détourner
Une carte SIM physique peut être retirée d’un téléphone et insérée dans un autre appareil en quelques secondes, mais ce n’est presque jamais comme cela que la fraude opère aujourd’hui. La plupart des attaques de type SIM swap ne touchent pas du tout à la carte : un escroc rassemble votre nom, votre numéro et quelques détails personnels — souvent issus d’une fuite de données ou des réseaux sociaux — puis appelle ou contacte le support de votre opérateur en se faisant passer pour vous. Il demande une « nouvelle carte » ou un portage du numéro vers un appareil qu’il contrôle. Si l’agent est convaincu, votre numéro bascule instantanément, et chaque code de connexion par SMS, alerte bancaire ou code à deux facteurs atterrit chez l’attaquant plutôt que chez vous. La carte physique elle-même est presque accessoire ; le vrai point faible, c’est le processus de vérification d’identité de l’opérateur. L’eSIM change légèrement la mécanique, puisqu’il n’y a plus de carte à émettre physiquement, mais la vulnérabilité de fond — un agent qui valide un transfert sur la base de contrôles d’identité trop faibles — reste exactement la même tant que l’opérateur ne renforce pas aussi ce processus. Imaginez la SIM, physique ou intégrée, comme une clé. Si quelqu’un parvient à convaincre le serrurier de tailler une nouvelle clé sans vérifier correctement l’identité, peu importe que la clé d’origine soit en métal ou stockée numériquement : le jugement du serrurier est la véritable frontière de sécurité. Les opérateurs sérieux proposent désormais des couches de vérification supplémentaires par-dessus le format de SIM, plutôt que de considérer le matériel lui-même comme la protection.
Un numéro porté avant le dîner
Ce qui suit est un scénario illustratif, qui ne correspond à aucun cas réel documenté.
Imaginons quelqu’un qui termine une journée de travail ordinaire quand son téléphone perd soudainement le réseau. Plus de barres, aucune explication. Pensant à un bug du réseau, la personne hausse les épaules jusqu’à ce qu’un proche lui signale avoir reçu un message depuis ce même numéro, envoyé depuis un compte inconnu. Le temps de joindre l’opérateur, le numéro a déjà été transféré, et deux applications bancaires ont envoyé des codes à usage unique vers un appareil qui n’a jamais été le sien. L’opérateur reconnaît plus tard que la demande de transfert contenait juste assez d’informations personnelles — issues d’une fuite antérieure — pour passer le script de vérification du centre d’appel. Rien, dans cette histoire, ne dépendait du format de la carte ; c’est la chaîne de confiance qui a cédé, et cette même chaîne existe que le module d’identité soit en plastique ou intégré au logiciel. Dans les heures qui suivent, les dégâts s’accumulent discrètement : des e-mails de réinitialisation de mot de passe sont interceptés, une sauvegarde cloud est consultée, et un second compte bancaire signale une tentative de virement important avant même que l’entourage proche ne réalise ce qui se passe. Rien de tout cela ne nécessitait de toucher une carte physique. Il a suffi de quelques minutes à convaincre un inconnu au bout du fil, ce qui explique pourquoi passer à l’eSIM n’aurait rien changé à ce scénario : l’attaquant n’a jamais eu besoin de retirer ou d’insérer quoi que ce soit physiquement.
Réduire le risque de détournement, étape par étape
L’eSIM supprime une attaque bien précise — le vol ou l’échange physique d’une carte retirée de votre appareil — mais elle ne fait rien, à elle seule, pour bloquer une tentative de prise de contrôle de compte passant par le support de l’opérateur. La vraie protection vient de la combinaison du format difficile à cloner avec des défenses au niveau du compte qui ne dépendent pas du SMS.
Activer un code de blocage de portage chez l’opérateur
Appelez votre opérateur et demandez spécifiquement un blocage de portage, un code PIN de transfert de numéro, ou un verrou sur les modifications de compte. C’est l’étape la plus efficace contre les détournements par ingénierie sociale, car elle oblige toute personne demandant un transfert — y compris un agent du support trompé — à fournir un code que vous avez défini, et pas seulement votre nom et votre date de naissance. La plupart des grands opérateurs proposent cela gratuitement, mais presque aucun ne l’active par défaut : il faut le demander. Notez ce code ailleurs que sur votre téléphone, car l’intérêt est qu’il reste accessible même si l’appareil est déjà compromis.
Sortir les codes à deux facteurs du SMS
Basculez vos comptes les plus sensibles — e-mail, banque, stockage cloud — vers une application d’authentification ou une clé de sécurité physique plutôt que des codes reçus par SMS. La double authentification par SMS est exactement ce que les attaquants recherchent quand ils détournent votre numéro ; une fois que votre authentification ne dépend plus de la réception d’un texto, un détournement réussi devient beaucoup moins utile pour eux. Commencez par les comptes qui pourraient entraîner une cascade s’ils étaient compromis, comme votre e-mail principal, puisqu’il sert généralement de clé maîtresse pour réinitialiser tout le reste.
Repérer les premiers signes d’un détournement
Une perte soudaine et inexpliquée de réseau, surtout accompagnée de SMS inattendus du type « votre carte SIM a été mise à jour », est un signal d’alerte précoce, pas un simple bug à ignorer. Appelez immédiatement votre opérateur via un numéro conservé ailleurs (pas de mémoire sur un téléphone hors service) et demandez une vérification des changements récents de SIM ou de profil eSIM sur votre ligne. Les quinze premières minutes après un détournement sont généralement la fenêtre où les dégâts restent encore maîtrisables, donc traitez une perte de réseau avec plus d’urgence qu’elle n’en a l’air.
Dissocier votre identité de votre numéro quand c’est possible
Pour les services qui n’ont pas besoin de votre vrai numéro, utilisez un numéro secondaire ou un forfait data eSIM non lié à votre identité principale. Cela limite les dégâts qu’un seul numéro compromis peut causer, puisque moins de services y sont rattachés. Si un numéro venait à être détourné, l’impact resterait confiné à l’usage spécifique de cette ligne, plutôt que de se propager en un seul mouvement à vos comptes bancaires et à votre messagerie.
Où une ligne eSIM apporte réellement quelque chose
Un forfait eSIM de voyage ou une ligne secondaire ne remplace pas les habitudes de sécurité évoquées plus haut, mais il ferme la seule brèche purement physique : il n’y a plus de carte à retirer du téléphone, à remettre à un inconnu, ou à perdre avec un portefeuille. Pour une ligne secondaire utilisée pour les vérifications d’applications, la connectivité en voyage, ou la séparation entre numéro personnel et professionnel, provisionner cette ligne numériquement via un service comme Saily élimine totalement le risque de carte physique détournée, puisque le profil réside dans la puce embarquée de l’appareil plutôt que sur un support amovible. Cela déjoue aussi une astuce basique : le clonage ou la réactivation d’une ancienne carte SIM jetée, impossible avec un profil eSIM lié à l’appareil. Rien de tout cela ne remplace un code de blocage de portage ou une authentification par application, mais en tant que couche supplémentaire parmi d’autres, garder un numéro secondaire sur une ligne eSIM supprime une surface d’attaque physique qu’une carte en plastique ne peut tout simplement pas éviter. C’est une amélioration modeste et concrète plutôt qu’une solution complète, ce que beaucoup de fournisseurs omettent de préciser quand ils présentent l’eSIM comme intrinsèquement plus sûre.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays