Un SMS arrive : six chiffres, envoyés parce que quelqu’un tente de se connecter à l’un de vos comptes. Puis un appel ou un message suit, demandant de relire ou de transférer ce code. Ce geste unique explique une grande partie des piratages de comptes signalés aux autorités : la Federal Trade Commission a reçu plus de 2,6 millions de signalements de fraude en 2023, et les victimes ont déclaré avoir perdu 10 milliards de dollars à cause de la fraude cette même année. Ce n’est pas un logiciel espion qui fait le travail, ni un mot de passe volé : c’est le code lui-même.
Comment six chiffres suffisent à voler un compte
L’attaque commence avec une information que vous avez déjà laissée filer sans y penser : votre numéro de téléphone, associé à un email ou un identifiant retrouvé dans une base de données piratée. L’escroc saisit ce numéro et cet email sur la page de connexion d’une banque, d’une messagerie ou d’une plateforme de vente. Le service, suivant sa procédure de sécurité habituelle, envoie alors un code à usage unique sur votre téléphone pour vérifier que c’est bien vous. Quelques secondes plus tard, l’escroc vous contacte directement — par SMS, par appel, parfois en se faisant passer pour un livreur, un conseiller bancaire ou un agent du support technique — et vous demande de lire ou de transférer le code que vous venez de recevoir par erreur. Dès que vous obtempérez, il termine la connexion de son côté. À partir de là, le compte lui appartient : votre numéro, vos options de réinitialisation, votre double authentification, tout peut être discrètement modifié avant que vous ne remarquiez quoi que ce soit. Ce schéma explique pourquoi les chiffres cités plus haut sont si élevés : la fraude signalée à la FTC couvre de nombreuses catégories, mais le piratage de compte via un code de vérification détourné reste l’une des méthodes les plus rapides et les moins coûteuses pour un escroc, puisqu’elle ne nécessite aucune intrusion technique, seulement un appel ou un message convaincant au bon moment. Ce qui rend cette méthode si durable, c’est qu’elle exploite la confiance envers un système conçu pour vous protéger. L’attaque ne bat pas la sécurité techniquement, elle la contourne socialement, en convainquant le propriétaire légitime du téléphone de devenir le maillon faible d’une chaîne pourtant solide.
Un message d’apparence banale
Ce qui suit est un scénario illustratif, et non un cas réel, destiné à montrer comment cette arnaque se déroule habituellement.
Imaginons la réception d’un SMS d’un transporteur indiquant qu’un colis n’a pas pu être livré et qu’un code est nécessaire pour reprogrammer la livraison. Quelques minutes plus tôt, un autre code de vérification, sans rapport apparent, est arrivé d’une application d’achat en ligne. Les deux messages semblent indépendants, mais ne le sont pas : quelqu’un tente de se connecter au compte d’achat ailleurs, et le message de « livraison » est la même personne réclamant ce code sous un autre prétexte. Celui qui le transfère, pensant régler un simple souci de colis, découvre ensuite que le moyen de paiement enregistré sur le compte d’achat a servi à une commande jamais passée, et que le mot de passe a déjà été changé. Le temps de comprendre ce qui s’est produit, l’escroc a souvent aussi modifié l’email et le numéro de récupération associés au compte, verrouillant le véritable propriétaire hors de son propre espace et transformant ce qui ressemblait à un incident de livraison mineur en un litige interminable avec un service client, une banque, ou les deux à la fois.
Comment bloquer cette arnaque avant que le code ne quitte votre téléphone
La parade tient moins à la technologie qu’à une règle fixe : un code de vérification ne se partage avec personne, sous aucun prétexte, jamais. Aucune entreprise sérieuse ne demande de lire ou de transférer un code à usage unique — elle demande seulement de le saisir soi-même, sur le site ou l’application que l’on utilise activement. Quelques habitudes autour de votre numéro de téléphone ferment la plupart des portes.
Considérer toute demande de code comme suspecte par défaut
Si un code arrive sur votre téléphone sans que vous ayez vous-même tenté de vous connecter à quoi que ce soit, c’est le signal que quelque chose cloche : quelqu’un d’autre tente un accès en utilisant votre numéro ou votre email. Ne le lisez pas à voix haute, ne le transférez pas, ne le saisissez dans aucune conversation, même si elle prétend venir du service client. Supprimez le message une fois certain de ne pas l’avoir demandé, ou faites une capture d’écran avant de le supprimer, au cas où vous devriez le signaler plus tard.
Vérifier la demande par un canal séparé
Si un appel ou un SMS prétend venir de votre banque, d’un transporteur ou d’une plateforme que vous utilisez, raccrochez ou ignorez le message et contactez directement cet organisme via le numéro ou l’application que vous connaissez déjà, jamais celui fourni dans le message suspect. Un conseiller réel peut consulter votre compte sans avoir besoin d’un code qui vient de vous être envoyé.
Séparer votre numéro de téléphone de vos comptes les plus sensibles
Quand c’est possible, utilisez une application d’authentification plutôt que le SMS pour la double authentification, car les codes générés par une application ne dépendent pas d’un numéro manipulable par un simple échange de messages. Pour les inscriptions ou services qui n’ont pas besoin de votre véritable numéro, un numéro secondaire ou virtuel garde votre ligne principale hors des bases de données qui finissent, tôt ou tard, par fuiter ou être revendues.
Ralentir volontairement l’échange
Les escrocs comptent sur l’urgence pour vous empêcher de réfléchir clairement : un colis sur le point d’être retourné, un compte sur le point d’être bloqué, un paiement sur le point d’échouer. Chaque fois qu’un message vous pousse à agir en quelques minutes, traitez cette pression elle-même comme un signal d’alerte. Prendre ne serait-ce que trente secondes pour poser le téléphone et reconsidérer la demande suffit souvent à briser le scénario préparé par l’appelant. Il est aussi utile de dire à voix haute à un proche ce que le message demande : formuler la requête hors du contexte pressant du téléphone révèle fréquemment à quel point elle sonne faux.
Pourquoi un second numéro réduit cette exposition
Les arnaques au code de vérification fonctionnent parce que votre numéro de téléphone occupe une place centrale dans votre identité en ligne : il est lié à votre banque, à la récupération de votre email, à vos comptes d’achat, et finit souvent dans des listes de courtiers en données après une seule inscription mal protégée. Une application de confidentialité téléphonique qui fournit un numéro secondaire et jetable permet de réserver votre numéro principal aux quelques comptes qui en ont réellement besoin — banque, proches, services officiels — tandis que tout le reste, des inscriptions commerciales aux vérifications ponctuelles, passe par un numéro que l’on peut changer ou abandonner s’il commence à attirer des messages indésirables. Cela ne rend invisible à aucun contrôle légitime ni n’exempte de quelconque vérification ; cela réduit simplement le nombre d’endroits où votre véritable numéro apparaît, ce qui réduit d’autant les façons dont un escroc peut cibler votre ligne principale avec une fausse demande de code. Moins de points d’entrée signifie moins d’occasions pour ce type de manipulation d’atteindre votre numéro réel. Avec le temps, cela diminue aussi le volume de SMS et d’appels non sollicités qui parviennent à votre téléphone, car un numéro qui n’apparaît jamais dans les bases marketing ou les listes de contacts revendues a beaucoup moins de chances d’être récupéré par les scripts que les escrocs utilisent en masse.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays