Attaque par échange de SIM : ce que c'est et comment vous protéger

Une attaque par échange de SIM (appelée aussi détournement de SIM) se produit lorsque votre numéro de téléphone est transféré, à votre insu, sur une carte SIM détenue par un escroc. Une fois le numéro passé entre d'autres mains, les appels et les SMS qui lui sont adressés n'atteignent plus votre téléphone : ils arrivent sur l'appareil de l'attaquant. Dans cet article, nous expliquons le fonctionnement de l'attaque, comment la repérer et, surtout, comment vous protéger.

En quoi consiste exactement un échange de SIM ?

Votre carte SIM représente l'identité de votre téléphone sur le réseau de l'opérateur. Votre numéro n'est pas lié à la carte en plastique elle-même, mais à un enregistrement dans les systèmes de l'opérateur. Remplacer une carte perdue ou endommagée est une demande tout à fait légitime et courante. Un échange de SIM consiste à détourner ce processus : le fraudeur tente de convaincre l'opérateur de transférer votre numéro sur une carte qu'il contrôle, en se faisant généralement passer pour vous à l'aide d'informations personnelles collectées ailleurs.

La cible n'est pas votre téléphone, mais les comptes liés à votre numéro. Vous pouvez donc être victime même si l'appareil est dans votre main, que l'écran est intact et que personne ne connaît vos mots de passe.

Pourquoi les attaquants veulent-ils votre numéro ?

De nombreux services envoient un code SMS lors de la connexion et des procédures de « mot de passe oublié ». Quiconque contrôle le numéro peut voir ces codes, ce qui met en danger la messagerie, les réseaux sociaux, la banque et d'autres comptes sensibles.

Il y a ici une distinction importante. Le point faible tient moins à la technologie SMS elle-même qu'à l'hypothèse selon laquelle « celui qui détient le numéro est le propriétaire ». Si le numéro change de mains, toutes les vérifications construites sur ce numéro changent de mains aussi. C'est aussi de là que vient l'idée centrale de la protection : ne liez pas la sécurité de vos comptes importants au seul numéro de téléphone.

Quels sont les signes d'un échange de SIM ?

Aucun signe isolé n'est une preuve, mais prenez-le au sérieux lorsque plusieurs apparaissent ensemble :

• Votre téléphone affiche soudainement « pas de réseau » ou « appels d'urgence uniquement », et un redémarrage ne règle pas le problème.
• Les appels et les SMS cessent complètement, alors que les autres téléphones autour de vous fonctionnent normalement.
• Vous recevez une notification inattendue « changement de SIM », « transfert de numéro » ou « nouvelle carte » de la part de votre opérateur.
• Des e-mails de réinitialisation de mot de passe ou des alertes de connexion depuis un nouvel appareil arrivent alors que vous n'avez rien déclenché.
• Les applications bancaires ou de portefeuille envoient des notifications que vous ne pouvez pas expliquer.

Gardez à l'esprit que la perte de réseau est le plus souvent un problème de réseau ordinaire. Restez calme, mais n'attendez pas : utilisez un autre appareil pour appeler votre opérateur et confirmer ce qui se passe.

Les protections côté opérateur

Les options varient d'un opérateur à l'autre ; considérez donc ce qui suit comme une liste de contrôle :

1. Protégez votre compte opérateur et son application avec un mot de passe fort et unique, et activez la validation en deux étapes si elle est proposée.
2. Demandez si vous pouvez ajouter un mot de passe ou un code PIN supplémentaire exigé pour tout changement de SIM sur votre ligne.
3. Gardez activées les notifications de l'opérateur (SMS, e-mail, application) pour remarquer rapidement une tentative de transfert.
4. Tenez à jour vos coordonnées, comme votre adresse e-mail et un autre numéro de téléphone.
5. Définissez un code PIN sur la carte SIM placée dans votre téléphone. Cela ajoute une couche de protection si le téléphone est perdu ou volé.

Ne donnez jamais votre date de naissance, votre numéro de pièce d'identité ou le nom de jeune fille de votre mère à une personne qui vous appelle. Si un interlocuteur affirme travailler pour votre opérateur, raccrochez et rappelez le service client officiel.

Les protections côté compte

Une vraie résistance se construit dans les paramètres de vos comptes :

• Une méthode plus forte que le SMS : sur les comptes critiques, utilisez une application d'authentification ou une clé de sécurité / une clé d'accès. Elles ne dépendent pas de votre numéro de téléphone.
• Faites de votre messagerie une forteresse : la plupart des récupérations de compte passent par l'e-mail. Donnez-lui un mot de passe unique et une vérification forte.
• Passez en revue les options de récupération : si un service s'appuie uniquement sur votre numéro de téléphone pour la récupération, ajoutez une méthode alternative ou, lorsque c'est possible, retirez le numéro comme moyen de récupération.
• Conservez les codes de secours : gardez hors ligne, dans un endroit sûr, les codes de secours que vous remettent les services.
• Activez les alertes bancaires : utilisez les notifications de transaction et, lorsqu'ils existent, les plafonds de dépense.

Il est aussi utile de vérifier de temps à autre quel compte est lié à quel numéro. Les anciens comptes que vous n'utilisez plus sont autant de maillons de la même chaîne.

Ne donnez pas votre vrai numéro à tout le monde

Une façon indirecte de réduire le risque d'échange de SIM consiste à limiter le nombre d'endroits où figure votre numéro principal. Chaque formulaire d'inscription l'ajoute à une base de données de plus, ce qui élargit la surface d'attaque, aussi bien pour le spam que pour des attaques ciblées. Nous avons détaillé ce point dans pourquoi vous ne devriez pas partager votre numéro de téléphone partout.

Une répartition pratique fonctionne bien : gardez votre numéro principal pour votre banque, votre messagerie et les comptes qui comptent vraiment. Pour les situations à faible risque, comme les essais rapides, les tests ou un second compte, vous pouvez utiliser un numéro virtuel à usage unique. Vous pouvez consulter les pays et services disponibles sur la page des tarifs.

Pour être honnête : les numéros virtuels sont à usage unique et ne vous donnent pas de propriété permanente. Ils ne conviennent donc pas à une validation en deux étapes par SMS sur un compte qui vous importe. Après la création d'un compte, ajoutez une application d'authentification et une adresse e-mail de récupération. Certaines plateformes peuvent restreindre les numéros virtuels ; suivez les conditions du service que vous utilisez.

Que faire si vous soupçonnez un échange de SIM ?

La rapidité compte. Suivez cet ordre :

1. Appelez votre opérateur depuis un autre téléphone, demandez si un changement de SIM a été effectué et faites placer votre ligne sous protection.
2. Depuis un appareil sûr, changez d'abord le mot de passe de votre messagerie, puis mettez à jour les comptes critiques comme la banque et les réseaux sociaux.
3. Appelez votre banque et demandez-lui de protéger temporairement vos cartes et vos comptes.
4. Déconnectez toutes les sessions et réexaminez à nouveau vos méthodes de validation en deux étapes.
5. Signalez l'incident aux autorités compétentes et à votre opérateur par écrit, et conservez des captures d'écran de tous les avis ou alertes.

Questions fréquentes

Un échange de SIM est-il la même chose qu'un clonage de SIM ?

Non. Lors d'un échange de SIM, le numéro est transféré vers une autre carte via les registres de l'opérateur. Le clonage consiste à copier la carte elle-même, et il est beaucoup moins courant aujourd'hui. La logique de protection est similaire : ne vous fiez pas uniquement à une vérification basée sur le numéro.

L'application d'authentification protège-t-elle contre l'échange de SIM ?

Les codes d'authentification sont liés à l'application sur votre appareil, et non à votre numéro de téléphone ; ils ne sont donc pas transmis à un attaquant même si le numéro est pris. Conservez tout de même les codes de secours en sécurité et protégez le moyen de récupération du compte.

Si mon téléphone n'a plus de réseau, s'agit-il d'un échange de SIM ?

La plupart du temps, non. Les pannes de réseau, les problèmes de carte ou une couverture faible sont beaucoup plus fréquents. Mais si la perte de réseau s'accompagne d'alertes de compte que vous ne reconnaissez pas, contactez immédiatement votre opérateur.

Un numéro virtuel supprime-t-il le risque d'échange de SIM ?

Pas à lui seul. Il vous aide à ne pas communiquer inutilement votre numéro principal, mais la vraie protection consiste à utiliser une vérification autre que le SMS sur les comptes importants. Pour plus d'informations, consultez notre page questions fréquentes.