Si votre téléphone affiche brutalement « aucun service » ou « appels d’urgence uniquement » et que rien ne fait revenir les barres, vous assistez peut-être à un SIM swap en temps réel. Ce n’est pas un incident marginal : le FBI Internet Crime Complaint Center a enregistré des plaintes pour SIM swapping représentant 68 millions de dollars de pertes ajustées en 2021 aux États-Unis. Le phénomène était assez sérieux pour que le régulateur américain des télécommunications adopte des règles obligeant les opérateurs à authentifier leurs clients avant tout transfert de SIM, après une vague de plaintes pour transferts non autorisés. Les trente minutes qui suivent la perte de signal sont souvent la seule fenêtre où l’on peut encore empêcher un attaquant de vider des comptes protégés par des codes SMS.
Comment un SIM swap se déroule concrètement
Un SIM swap ne nécessite aucun accès physique à votre téléphone. L’attaquant réunit d’abord assez d’informations personnelles sur vous — nom, date de naissance, adresse, parfois les derniers chiffres d’un identifiant national — souvent issues d’une fuite de données antérieure ou d’un message d’hameçonnage. Muni de ces éléments, il contacte le service client de votre opérateur mobile ou utilise un espace client en ligne, se fait passer pour vous, et demande le transfert de votre numéro vers une nouvelle carte SIM qu’il contrôle. Si la vérification d’identité de l’opérateur est faible, le transfert aboutit en quelques minutes. Dès qu’il est effectif, votre téléphone perd tout signal, car votre numéro n’appartient plus à votre carte SIM. À partir de là, c’est l’appareil de l’attaquant qui reçoit vos appels et vos SMS, y compris les codes à usage unique que les banques, messageries et plateformes de cryptomonnaies envoient pour « vérifier que c’est bien vous ». Les règles d’authentification renforcée proposées par le régulateur américain existent précisément parce que la vérification côté opérateur a historiquement été le maillon faible, pas votre mot de passe ni votre téléphone lui-même. Ce maillon faible tient à une raison simple : les conseillers clientèle sont formés à résoudre des problèmes vite, et un interlocuteur qui donne un nom, une adresse et quelques chiffres d’identification sonne, au téléphone, exactement comme le vrai titulaire du compte. La rapidité et le confort côté opérateur deviennent l’outil même que l’attaquant exploite.
Une séquence plausible, pas un cas réel
La séquence suivante est un scénario illustratif construit pour montrer comment un SIM swap dégénère une fois enclenché, et ne décrit aucune personne réelle.
Imaginons une personne dont le téléphone affiche toutes ses barres de réseau toute la matinée, puis bascule soudain sur « appels d’urgence uniquement » en pleine réunion. Elle pense à une panne réseau et continue de travailler. Une heure plus tard, elle tente de se connecter à sa messagerie depuis un ordinateur et découvre que le mot de passe a changé. Puis une application bancaire envoie une alerte de connexion depuis un appareil inconnu. Le temps qu’elle appelle son opérateur depuis le téléphone d’un collègue, la carte SIM a déjà été échangée depuis environ quatre-vingt-dix minutes, et une chaîne de réinitialisations de mots de passe a traversé messagerie, banque et portefeuille crypto durant ce laps de temps. L’opérateur confirme qu’une demande de transfert de SIM a été traitée ce matin-là via l’espace client en ligne, validée avec un code PIN de compte deviné ou divulgué des mois plus tôt. Avec le recul, les signaux existaient avant même la coupure de signal : un e-mail de phishing sur un « problème de facturation » reçu une semaine plus tôt, un mot de passe réutilisé sur deux anciens comptes, et un code PIN jamais modifié depuis l’ouverture de la ligne. Aucun de ces détails n’aurait semblé alarmant isolément, ce qui explique justement pourquoi les SIM swaps réussissent si souvent : les pièces du puzzle ne s’assemblent qu’une fois les dégâts déjà faits.
Que faire dans les trente premières minutes
Traitez toute perte de signal soudaine et inexpliquée comme un incident de sécurité avant d’y voir un problème réseau. Une vraie panne touche généralement une zone entière et apparaît sur la page de statut de l’opérateur ; un SIM swap ne vous affecte que vous. La séquence ci-dessous suppose que vous avez accès à un autre appareil — un ordinateur professionnel, une tablette, ou le téléphone d’un proche — puisque votre propre combiné devient temporairement inutilisable pour appeler ou recevoir des SMS.
Vérifiez qu’il s’agit d’un swap, pas d’une panne
Consultez la carte des pannes ou la page de statut de votre opérateur depuis un autre appareil, et demandez à quelqu’un à proximité utilisant le même opérateur si son réseau fonctionne normalement. Si le sien marche et pas le vôtre, sans qu’aucun déplacement ni changement de réglage ne l’explique, traitez la situation comme un SIM swap probable plutôt que d’attendre que ça se résorbe.
Contactez votre opérateur par un autre canal
Utilisez une ligne fixe, le téléphone d’un proche, ou l’application de l’opérateur sur un second appareil pour joindre le service sécurité, pas l’assistance générale. Indiquez que vous suspectez un transfert de SIM non autorisé et demandez le blocage immédiat de la ligne. Les opérateurs qui ont renforcé leur vérification, dans l’esprit des règles proposées par le régulateur américain, doivent pouvoir verrouiller le compte et exiger une vérification renforcée avant toute nouvelle modification.
Verrouillez les comptes liés aux codes SMS
Depuis un autre appareil, connectez-vous à votre messagerie, à votre banque, et à tout compte que vous savez dépendant de codes par SMS, puis changez immédiatement les mots de passe. Là où c’est possible, remplacez la double authentification par SMS par une application d’authentification ou une clé de sécurité physique, puisque tout l’intérêt d’un SIM swap est d’intercepter ces codes. Traitez d’abord la messagerie, généralement le point de récupération de tous les autres comptes.
Surveillez vos comptes financiers et signalez les faits
Vérifiez vos relevés bancaires et de carte à la recherche de connexions ou virements inconnus dans les jours qui suivent, et signalez toute anomalie à votre établissement sans attendre. Déposez plainte auprès de la police, et le cas échéant auprès des autorités compétentes en cybercriminalité, puisque des signalements documentés — comme les 68 millions de dollars de pertes ajustées rapportés en 2021 aux États-Unis — sont ce qui pousse opérateurs et régulateurs à renforcer les vérifications.
Pourquoi un gestionnaire de mots de passe comble cette faille
Un SIM swap réussit parce qu’un point de défaillance unique — votre numéro de téléphone — sert de filet de secours à la fois pour la réinitialisation de mots de passe et pour les codes de double authentification, sous trop de comptes à la fois. La solution n’est pas un téléphone plus robuste, c’est retirer le SMS de l’équation partout où c’est possible. Un gestionnaire de mots de passe qui génère et stocke un mot de passe unique et long pour chaque compte rend plus difficile de deviner les codes PIN d’opérateur ou les réponses de récupération de compte, puisque les attaquants démarrent souvent une tentative de SIM swap après avoir trouvé un mot de passe réutilisé issu d’une ancienne fuite. Beaucoup de gestionnaires intègrent aussi une fonction d’authentificateur intégrée, permettant de sortir les codes de double authentification du SMS pour les basculer vers des codes générés par application, qu’une carte SIM échangée ne peut pas intercepter. Au-delà de la défense immédiate, un gestionnaire de mots de passe signale aussi les mots de passe réutilisés ou faibles sur l’ensemble de vos comptes, ce qui permet de repérer et corriger exactement le type de fuite d’identifiants qui a donné à un attaquant assez de détails personnels pour se faire passer pour vous auprès du service client de l’opérateur. Cela n’empêchera personne d’appeler votre opérateur, mais cela retire l’essentiel de ce qu’il gagnerait à le faire. Voyez cela comme réduire la surface d’attaque aux deux bouts du SIM swap : un mot de passe fort et unique rend moins probable la fuite initiale qui alimente l’attaquant en détails personnels, et un authentificateur applicatif rend le swap lui-même inutile même s’il aboutit.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays