Un numéro de téléphone est la clé maîtresse de la plupart de vos comptes, puisque les codes de réinitialisation et de double authentification y arrivent presque toujours — pourtant, selon une étude américaine du Pew Research Center, 81 % des Américains estiment que les risques liés à la collecte de leurs données personnelles par les entreprises dépassent les bénéfices. Cette méfiance est justifiée : la même enquête du Pew Research Center montre que 67 % des Américains comprennent peu ou pas du tout ce que les entreprises font réellement de données comme leur numéro de téléphone une fois collectées. Les opérateurs détiennent pourtant assez d’informations pour transférer votre numéro vers une nouvelle carte SIM en quelques minutes, parfois avec un simple nom et une date de naissance.
Comment un numéro se fait voler sans que vous le sachiez
Porter un numéro vers une autre carte SIM ne nécessite pas de posséder le téléphone visé. Un attaquant qui a rassemblé quelques informations d’identification — souvent issues d’une fuite de données, d’un tableur mal protégé ou d’un SMS d’hameçonnage — appelle l’opérateur, ou un opérateur concurrent, en se faisant passer pour vous, et demande l’activation de votre numéro sur une nouvelle carte. Si la vérification du conseiller est faible, un nom, une adresse et une histoire plausible peuvent suffire. Une fois le transfert effectué, votre téléphone perd instantanément le réseau, et chaque code de vérification envoyé par SMS atterrit désormais chez l’attaquant. À partir de là, il réinitialise votre messagerie, puis votre accès bancaire, puis tout ce qui repose sur un code par SMS. La fenêtre entre le portage et le moment où vous réalisez que quelque chose cloche est souvent la seule chance d’agir, et elle peut se refermer en moins d’une heure. C’est précisément pour cela que le fait que 67 % des Américains ignorent ce qu’il advient de leurs données, comme le documente le Pew Research Center, pèse autant en pratique : la plupart des gens ne pensent jamais à leur numéro de téléphone comme à un identifiant de sécurité, jusqu’au jour où il est retourné contre eux. Le numéro lui-même est rarement la cible finale : c’est un tremplin commode vers tout ce qui lui fait confiance. Les opérateurs ont amélioré leurs procédures de vérification ces dernières années, après des affaires médiatisées de vol de carte SIM, mais le processus repose encore largement sur le jugement d’un conseiller sous pression, et un jugement se manipule.
Un mardi après-midi comme les autres
Ce scénario illustratif décrit une situation qui pourrait arriver à n’importe qui, et non un cas réel vérifié.
Une graphiste indépendante voit soudain son téléphone afficher « aucun réseau » vers 14 heures. Elle pense à une panne du réseau et continue de travailler. Deux heures plus tard, elle tente de se connecter à sa messagerie depuis son ordinateur portable et se retrouve bloquée : le code de récupération vient d’être envoyé à un téléphone qui n’est plus le sien. Le temps qu’elle se rende en boutique avec une pièce d’identité, son numéro a déjà servi à réinitialiser trois autres comptes, dont une application de paiement. L’opérateur finit par restaurer son numéro, mais démêler les dégâts prend presque une semaine et plusieurs appels à des banques et services qu’elle n’aurait jamais pensé à sécuriser contre son propre numéro. Ce qui frappe dans cette histoire, ce n’est pas le dénouement, plutôt favorable, mais la chronologie. Rien dans son comportement ce jour-là n’était imprudent : elle n’a cliqué sur aucun lien suspect, n’a répondu à aucun appel étrange. L’attaque a réussi uniquement grâce à des informations probablement issues d’une ancienne fuite de données, combinées à un processus de service client qui ne demandait rien qu’on ne lui ait déjà volé ailleurs. Un code PIN de portabilité aurait bloqué le transfert dès la première étape, avant que le reste de l’après-midi ne se déroule.
Verrouiller la porte avant qu’on n’essaie la poignée
Un verrou de portabilité et un code PIN opérateur transforment un numéro de téléphone d’une porte ouverte en une porte dont vous seul détenez la clé. La plupart des opérateurs proposent ces deux fonctions gratuitement, mais aucune n’est activée par défaut, et aucune ne répare les dégâts une fois le portage déjà effectué. L’objectif est de rendre la demande de transfert elle-même impossible à satisfaire pour quelqu’un qui n’a pas cette clé.
Définissez un code PIN de portabilité auprès de votre opérateur
Appelez votre opérateur ou utilisez son application pour ajouter un code numérique spécifiquement lié aux changements d’abonnement et aux portages, distinct de votre mot de passe habituel. Ce code doit être fourni avant toute demande de transfert, ce qui bloque le scénario classique d’ingénierie sociale où l’attaquant se contente de réciter votre nom et votre adresse à un conseiller. Notez ce code quelque part hors ligne plutôt que dans une application de notes synchronisée sur le même téléphone. Certains opérateurs ne permettent de définir ce code que par téléphone et non via l’application, mieux vaut donc vérifier les deux canaux si l’option n’apparaît pas en ligne.
Activez le verrou de numéro au niveau du compte
Au-delà du code PIN, la plupart des opérateurs proposent un paramètre distinct de blocage de portage qui empêche toute demande de transfert tant que vous ne le retirez pas vous-même, en agence ou via un canal vérifié. C’est un contrôle plus solide que le PIN seul, car il peut exiger une vérification d’identité plus difficile à falsifier par téléphone. Consultez les paramètres de votre compte ou demandez directement à un conseiller, car cette option est rarement mise en avant. Si votre opérateur ne l’appelle pas ainsi, demandez spécifiquement une « protection contre le changement de carte SIM » ou une « protection de transfert de numéro », le vocabulaire varie assez d’un opérateur à l’autre pour qu’une question trop générale passe à côté.
Réduisez la dépendance au SMS pour la double authentification
Même un numéro verrouillé reste plus sûr qu’un numéro ouvert, mais les codes par SMS restent un maillon faible car ils dépendent toujours de l’infrastructure de l’opérateur. Basculez vos comptes essentiels — messagerie, banque, stockage en ligne — vers une application d’authentification ou une clé de sécurité physique dès que l’option existe. Ainsi, un portage réussi ne livre pas automatiquement vos comptes les plus importants. Commencez par votre messagerie principale, souvent le point de récupération de tous les autres services, puis élargissez aux comptes financiers et à tout service qui conserve vos moyens de paiement.
Repérez les signaux d’une attaque en cours
Un message inattendu de type « nouvelle carte SIM activée » ou une perte soudaine de réseau, surtout accompagnés d’un SMS annonçant un changement que vous n’avez pas demandé, doivent vous pousser à appeler immédiatement votre opérateur depuis un autre téléphone. Agir en quelques minutes plutôt qu’en quelques heures réduit fortement le nombre de comptes qu’un attaquant peut atteindre avant que vous ne repreniez le contrôle. Conservez la ligne fraude de votre opérateur ailleurs que dans les contacts de votre téléphone, car c’est précisément l’appareil auquel vous risquez de ne plus avoir accès au moment où vous en aurez le plus besoin.
Pourquoi une couche de surveillance complète le verrouillage
Un verrou de portabilité et un code PIN réduisent les chances qu’une prise de contrôle aboutisse, mais ils ne vous préviennent pas au moment où quelque chose passe à travers les mailles du filet, et les services clients des opérateurs ne réagissent pas toujours vite, même quand vous les appelez vous-même. Un service de surveillance de la vie privée et de l’identité comble cet écart en guettant les signes indiquant que votre numéro, votre adresse e-mail ou vos informations personnelles circulent dans des fuites de données ou servent à ouvrir de nouveaux comptes, et en vous alertant avant que les dégâts ne s’accumulent. Cette alerte précoce est ce qui transforme une tentative détectée à temps en simple incident sans suite, au lieu d’une semaine de récupération de comptes. Elle aide aussi sur un point que le verrouillage seul ne couvre pas : savoir lesquels de vos autres comptes dépendent encore d’une récupération par SMS, et vous pousser discrètement à corriger cela avant que ça ne devienne le prochain maillon faible. Combiner un verrou côté opérateur avec une couche de surveillance extérieure couvre les deux bouts du problème : la porte et l’alarme. Puisque 81 % des personnes interrogées, selon le Pew Research Center, estiment déjà que les risques liés à la collecte de données dépassent les bénéfices, il est cohérent de considérer la surveillance comme un complément à cette intuition plutôt qu’une contradiction : il ne s’agit pas d’empêcher toute entreprise de détenir vos données, mais de savoir rapidement quand ces données commencent à être détournées.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays