Ce code à six chiffres reçu par SMS paraît confidentiel, mais le canal qui le transporte n’a jamais été conçu pour la sécurité. Aux États-Unis, l’Internet Crime Complaint Center du FBI a recensé des pertes dépassant 48 millions de dollars liées au détournement de cartes SIM en 2023, un chiffre qui ne compte que les plaintes déposées et qui laisse donc deviner une réalité plus large encore. Plus largement, à l’échelle des États-Unis, une étude du Pew Research Center montre que 81 % des personnes interrogées jugent que les risques liés à la collecte de leurs données personnelles par les entreprises dépassent les bénéfices — un climat de méfiance générale qui éclaire pourquoi un numéro de téléphone traité comme preuve d’identité par les banques et les opérateurs pose problème. Aucun de ces deux chiffres ne mesure directement l’interception de SMS, mais ensemble ils dessinent le terrain sur lequel un numéro détourné peut faire des dégâts bien réels.
Comment un code à usage unique se fait voler concrètement
La vérification par SMS n’a jamais été conçue comme un protocole de sécurité : c’est un système de messagerie pensé pour le confort, détourné pour protéger des virements bancaires ou des réinitialisations de mot de passe. L’attaque la plus courante est le « SIM swap » : un fraudeur réunit assez d’informations personnelles, souvent issues de fuites de données, de réseaux sociaux ou de courtiers en données, pour convaincre le service client de votre opérateur qu’il est vous. Une fois l’histoire crédible, l’agent transfère votre numéro vers une carte SIM contrôlée par l’attaquant. À partir de cet instant, tous les SMS qui vous étaient destinés, codes de connexion inclus, arrivent chez lui, et vous ne le remarquez parfois que lorsque votre téléphone perd totalement le réseau. Une deuxième voie exploite le SS7, le protocole de signalisation vieux de plusieurs décennies qui achemine appels et messages entre opérateurs dans le monde entier : des chercheurs ont montré à plusieurs reprises que ses failles permettent d’intercepter des messages à distance, sans toucher à l’appareil, sans manipuler personne, et parfois depuis un autre pays. Une troisième méthode, plus artisanale, consiste à usurper un compte directement auprès de l’opérateur, via le hameçonnage d’un conseiller client ou, plus rarement, la corruption d’un employé ayant accès aux outils de gestion des comptes. Dans tous les cas, le code SMS n’est sûr que si le maillon le plus faible tient — opérateur, employé, boutique qui délivre les cartes SIM, réseau télécom mondial — un maillon que vous n’avez jamais choisi. C’est souvent ce qu’on oublie : la faille ne vit presque jamais dans le téléphone lui-même, mais dans un centre d’appel quelque part, formé pour aider plutôt que pour se méfier.
Un numéro détourné, un propriétaire bloqué dehors
Ceci est un scénario illustratif, et non un cas réel documenté.
Quelqu’un reçoit un SMS inhabituel de son opérateur confirmant l’activation d’une carte SIM qu’il n’a jamais demandée. Quelques minutes plus tard, son téléphone n’affiche plus aucun réseau. Le temps d’emprunter l’appareil d’un proche pour joindre le service client, le fraudeur a déjà déclenché des réinitialisations de mot de passe sur une application bancaire et deux comptes de réseaux sociaux, chacun protégé par un code SMS qui atterrit désormais sur une carte SIM clonée à l’autre bout de la ville. L’attente au téléphone avec l’opérateur dure 40 minutes. Le service antifraude de la banque demande justement un code de vérification — le même type de code que le fraudeur vient d’utiliser pour entrer, si bien que la mesure censée protéger le compte se retourne contre son propriétaire légitime. La régularisation prend trois jours d’appels, une nouvelle carte SIM, et une banque qui finit par annuler l’un des deux virements frauduleux. Le second est perdu pour de bon, et les semaines suivantes se passent à changer tous les mots de passe liés de près ou de loin à ce numéro.
Réduire ce qu’un numéro détourné peut déverrouiller
Impossible de rendre l’interception de SMS totalement impossible, puisque la faille réside dans une infrastructure télécom que vous ne contrôlez pas. Ce que vous pouvez faire, c’est réduire les dégâts qu’un numéro volé peut causer, et rendre un SIM swap nettement plus difficile à réaliser.
Retirez les SMS des comptes critiques
Dès que le service le propose, remplacez la double authentification par SMS par une application d’authentification ou une clé de sécurité physique. Banque, messagerie et stockage en ligne doivent passer en priorité, car ce sont les comptes que les attaquants enchaînent une fois votre numéro sous contrôle — la messagerie étant souvent la clé maîtresse qui ouvre tout le reste via les liens de réinitialisation. Une application d’authentification génère les codes localement, sans rien faire transiter par le réseau de l’opérateur, et une clé physique va plus loin en exigeant la possession réelle de l’objet.
Verrouillez votre compte chez l’opérateur
Appelez votre opérateur mobile et demandez un code de blocage de portabilité ou une option exigeant une vérification d’identité en boutique avant tout changement de carte SIM. La plupart des grands opérateurs proposent une version de ce service, rarement activée par défaut et presque jamais mise en avant spontanément. Cette seule démarche ferme la faille précise qui transforme un simple appel d’ingénierie sociale en prise de contrôle complète du compte, puisque le conseiller devra alors vérifier l’identité au-delà d’un nom, d’une adresse et de quelques questions de sécurité devinables.
Séparez votre e-mail de récupération de votre numéro
De nombreux parcours de récupération de compte reviennent au SMS si les autres méthodes échouent, ce qui réintroduit discrètement la même faille que vous venez de corriger. Utilisez une adresse e-mail de récupération distincte de votre numéro, et vérifiez les paramètres de récupération de chaque compte important individuellement plutôt que de supposer qu’ils ont hérité de votre choix de double authentification plus sûr — les réglages par défaut reviennent souvent au numéro enregistré sans prévenir.
Repérez les signaux d’alerte précoces
Un SMS inattendu confirmant l’activation d’une carte SIM, une perte de réseau soudaine et inexpliquée, ou des alertes de connexion que vous n’avez pas déclenchées sont les premiers indices d’un détournement en cours. Traitez chacun de ces signaux comme urgent : contactez votre opérateur immédiatement via un chat en ligne ou un autre téléphone, et commencez à surveiller ou geler vos comptes financiers avant que l’attaquant ne termine d’exploiter vos autres identifiants. Chaque minute compte bien plus qu’on ne l’imagine.
Pourquoi un VPN axé vie privée et une surveillance des fuites restent utiles ici
Un VPN n’empêchera pas un SIM swap ni ne corrigera une faille SS7, car ces attaques se déroulent dans l’infrastructure télécom, pas sur votre connexion Wi-Fi. Ce qu’il traite, c’est l’étape plus discrète et plus en amont du problème : la traînée de données qui permet à un attaquant de construire un profil assez crédible pour tromper le service client de votre opérateur. Numéros de téléphone, adresses et détails de comptes fuient via des sessions de navigation non chiffrées, le scraping par les courtiers en données ou l’espionnage sur un Wi-Fi public — autant de matière première pour l’ingénierie sociale qui précède un SIM swap. Un VPN sérieux chiffre votre trafic, de sorte que vos habitudes de navigation, vos identifiants et votre localisation ne traînent pas sur des réseaux que vous ne contrôlez pas, ce qui réduit le volume d’informations personnelles disponibles pour construire une demande de portabilité frauduleuse. Associé à une surveillance du dark web qui signale si votre numéro ou votre e-mail apparaît dans une fuite de données, vous disposez d’un système d’alerte précoce plutôt que de découvrir le problème une fois le réseau coupé. Rien de tout cela ne remplace le blocage auprès de l’opérateur ou la double authentification par application, mais cela retire l’un des ingrédients bruts sur lesquels s’appuient les attaquants pour vous imiter de façon convaincante, souvent le facteur qui détermine si une tentative de SIM swap réussit ou se heurte à un conseiller méfiant. Voyez cela comme une façon de réduire les devoirs de l’attaquant : moins il peut apprendre sur vous à partir de données collectées et de trafic intercepté, moins son discours tiendra la route quand il appellera votre opérateur en se faisant passer pour vous.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays