Votre téléphone affiche soudain « Aucun service ». Un simple problème de réseau ? Peut-être. Mais cela peut aussi signifier que votre numéro vient d’être transféré sur la carte SIM (ou l’eSIM) d’un escroc. Le SIM swapping exploite une faiblesse bien connue de notre vie numérique : le fait que nous ayons fait du numéro de téléphone une clé d’authentification alors qu’il n’a jamais été conçu pour cela. Et avec l’eSIM, le problème ne disparaît pas. Il change de forme.
Le scénario commence avec des données. Nom, prénom, adresse, date de naissance, numéro de téléphone, adresse électronique, parfois IBAN ou informations contractuelles… Les multiples fuites de données enregistrées ces dernières années (et plus encore ces derniers mois) offrent aux fraudeurs une matière première particulièrement efficace. Une fois suffisamment renseigné, l’escroc contacte l’opérateur en se faisant passer pour son client. Il explique avoir perdu son téléphone, cassé sa carte SIM ou changé d’appareil et demande l’activation d’une nouvelle SIM. Si les contrôles d’identité sont insuffisants, l’opérateur associe alors le numéro de la victime à une carte contrôlée par le fraudeur. À cet instant, le téléphone légitime perd généralement le réseau. Mais surtout, les appels et SMS destinés à la victime arrivent désormais chez l’attaquant.
Le véritable butin, ce sont les comptes numériques
Voler un numéro de téléphone présente finalement peu d’intérêt en soi. Ce qui intéresse le fraudeur est tout ce qu’il permet d’ouvrir.
Une banque envoie un code de validation par SMS ? Il le reçoit. Un réseau social permet de réinitialiser un mot de passe avec le numéro de téléphone ? Même chose. Une messagerie utilise le SMS comme deuxième facteur d’authentification ? Il peut tenter de la récupérer.
C’est ce qui rend le SIM swapping particulièrement dangereux. Il peut servir de point de départ à une prise de contrôle beaucoup plus large de l’identité numérique de la victime. Email, comptes bancaires, réseaux sociaux, services professionnels ou portefeuilles de cryptomonnaies peuvent ensuite tomber les uns après les autres. La GSMA parle ainsi de scénarios pouvant aller jusqu’à la prise de contrôle d’une grande partie de la vie numérique d’une personne.
Le problème tient donc aussi au SMS lui-même. Pendant des années, les organisations l’ont utilisé comme second facteur d’authentification parce qu’il était simple, universel et peu coûteux. Mais un code envoyé par SMS prouve essentiellement que quelqu’un contrôle momentanément un numéro. Pas nécessairement qu’il est la personne à laquelle ce numéro appartient.
L’eSIM règle-t-elle le problème ? Non
On pourrait penser que la généralisation des eSIM rend cette fraude plus difficile puisqu’il n’existe plus de petite carte plastique à retirer ou à remplacer. C’est en partie vrai… mais seulement pour les attaques physiques.
Avec une eSIM, le profil opérateur est téléchargé à distance dans un composant sécurisé du téléphone. La GSMA estime que son architecture apporte un niveau de sécurité comparable à celui d’une SIM traditionnelle et son analyse du protocole de Remote SIM Provisioning conclut que ses objectifs de sécurité sont correctement assurés face à des attaquants réseau lorsque les acteurs impliqués sont légitimes.
Mais le SIM swapping ne consiste justement pas principalement à pirater cryptographiquement la SIM. Il consiste à convaincre le système qu’un fraudeur est le client légitime. Un escroc qui parvient à faire valider une demande de changement peut donc faire provisionner une eSIM sur son propre terminal plutôt que récupérer une carte SIM physique. L’eSIM peut même fluidifier certaines procédures, puisque l’activation peut être réalisée à distance.
Le risque se déplace ainsi vers l’authentification du client, les parcours de changement de terminal, les espaces clients, les centres d’appels et les employés ou prestataires disposant du pouvoir d’autoriser ces opérations. La faiblesse n’est plus la carte, mais la procédure d’identification qui autorise son remplacement.
Les opérateurs doivent traiter un changement de SIM comme une opération sensible
Pour les opérateurs, la première protection consiste donc à cesser de considérer le remplacement d’une SIM ou le provisioning d’une eSIM comme une simple opération de support client. C’est une véritable opération de sécurité.
L’authentification et l’identification précédant un changement doivent être suffisamment robustes pour résister aux données personnelles volées. Demander une adresse, une date de naissance ou quelques informations présentes sur une facture ne suffit plus lorsque des millions de fiches clients circulent après des violations de données.
Plusieurs protections peuvent être combinées comme l’authentification forte du compte client, la validation depuis un appareil déjà reconnu, un code ou secret spécifique dédié aux opérations sensibles, un contrôle renforcé lorsque le changement intervient depuis un nouvel équipement, une analyse comportementale et un scoring de risque.
L’utilisateur devrait également être averti, idéalement avant l’activation, via plusieurs canaux déjà enregistrés. Aux États-Unis, la FCC a d’ailleurs imposé aux opérateurs des méthodes sécurisées d’authentification, la notification des demandes de changement de SIM et la possibilité pour le client de verrouiller son compte contre ce type d’opération.
Les opérateurs doivent aussi surveiller leurs propres infrastructures. Un nombre anormal de changements réalisés par un même conseiller, revendeur ou compte administrateur, des demandes successives sur une courte période ou des activations depuis des contextes inhabituels doivent déclencher des contrôles.
La formation des centres d’appels et des sous-traitants est tout aussi essentielle. L’ENISA recommande explicitement de renforcer les mécanismes de détection et de blocage ainsi que la sensibilisation des salariés et prestataires exposés à cette fraude.
Enfin, la lutte ne peut pas s’arrêter chez l’opérateur. Les API de détection de SIM swap permettent désormais à une banque ou à un autre service sensible de savoir si un changement de SIM vient récemment d’être effectué et, le cas échéant, d’appliquer des contrôles supplémentaires avant d’autoriser une opération risquée. La GSMA pousse précisément ce type de mécanisme dans ses API d’identité et de prévention de la fraude.
(Cliquez sur le visuel pour télécharger la fiche)
Côté utilisateur, le SMS ne doit plus être votre dernier rempart
L’utilisateur ne maîtrise évidemment pas les procédures internes de son opérateur. Il peut néanmoins réduire fortement les conséquences d’une attaque.
Le premier réflexe consiste à protéger son compte opérateur avec un mot de passe unique et, lorsqu’elle existe, une protection spécifique contre les changements de SIM ou un code confidentiel supplémentaire.
Mais la mesure la plus importante est ailleurs : ne plus dépendre du SMS comme unique deuxième facteur pour ses comptes critiques. Pour l’email, les services financiers ou les comptes professionnels, mieux vaut privilégier une application d’authentification, une passkey ou, pour les comptes les plus sensibles, une clé de sécurité physique. La GSMA et la FTC recommandent elles-mêmes d’éviter de dépendre exclusivement du SMS face au risque de SIM swapping.
L’adresse email principale mérite une attention particulière. Elle permet souvent de réinitialiser les autres comptes. Sa compromission combinée à celle du numéro de téléphone peut transformer une fraude télécom en prise de contrôle généralisée.
Il faut enfin connaître le principal signal d’alerte : un téléphone qui perd brutalement et durablement le réseau sans raison apparente. Ce n’est pas nécessairement une panne.
Dans ce cas, il faut contacter immédiatement son opérateur depuis une autre ligne, vérifier qu’aucun changement de SIM ou d’eSIM n’a été demandé, faire réattribuer le numéro si nécessaire puis sécuriser en priorité la messagerie électronique, les comptes bancaires et les autres services sensibles. Cybermalveillance.gouv.fr recommande précisément de réagir sans délai en cas de perte prolongée inexpliquée de connexion.
Le numéro de téléphone n’est pas une identité
Nous avons progressivement transformé le numéro de téléphone en identifiant, en moyen de récupération de compte et en facteur d’authentification. Une accumulation de fonctions qui lui confère aujourd’hui beaucoup plus de pouvoir qu’il ne devrait en avoir.
Si l’eSIM modernise considérablement la gestion des abonnements mobiles, elle ne corrige pas cette faiblesse fondamentale. Tant qu’une personne pourra prendre le contrôle d’une identité numérique en persuadant un intermédiaire de lui transférer un numéro de téléphone, le SIM swapping restera possible. Pour les opérateurs comme pour les banques et les plateformes numériques, l’enjeu n’est donc plus seulement de sécuriser une SIM.
Il faut surtout cesser de considérer la possession d’un numéro comme une preuve suffisante d’identité.
