SIM swapping : ce qu’il faut savoir pour se protéger

Votre numéro de téléphone est encore plus précieux que vous ne le pensez : il est essentiel pour récupérer l’accès à votre compte bancaire, à votre messagerie électronique, à votre portefeuille de cryptomonnaies et à vos réseaux sociaux. Mais ce caractère pratique présente un inconvénient, car des individus malintentionnés peuvent vous dérober votre numéro sans même toucher à votre téléphone, puis pirater les comptes qui utilisent des codes SMS pour la connexion ou la récupération. Ils peuvent réinitialiser vos mots de passe, accéder à vos comptes et usurper votre identité.

En 2023, cette tactique, baptisée « SIM swapping », a coûté près de 49 millions de dollars (près de 42 millions d’euros) aux Américains. Récemment, il a également été révélé que l’un des plus importants vols de cryptomonnaies de l’histoire avait été commis à l’aide de cette technique : 400 millions de dollars (soit 340 millions d’euros) d’actifs ont été dérobés à la plateforme d’échange de cryptomonnaies FTX.

Ce guide vous présente le SIM swapping, son fonctionnement, les signes à repérer et, surtout, les moyens de le contrer. Que vous soyez déjà confronté à des activités suspectes ou que vous cherchiez simplement à vous en prémunir, vous trouverez ici des conseils clairs, pratiques et faciles à mettre en œuvre.

Qu’est-ce qu’une carte SIM et comment fonctionne-t-elle ?

Une carte SIM (pour Subscriber Identity Module ou « module d’identification de l’abonné » en français) est une puce de la taille d’un ongle qui identifie l’utilisateur auprès de son réseau grâce aux éléments suivants :

1. Identité et localisation géographique : la carte SIM stocke votre identité internationale d’abonné mobile (IMSI) et un numéro d’identification de carte à circuit intégré (ICCID). L’IMSI sert à identifier votre abonnement au réseau, tandis que l’ICCID est l’identifiant unique de la carte SIM. Ensemble, ils permettent à votre réseau mobile d’authentifier et de gérer votre connexion.
2. Clés de sécurité : la carte SIM contient des clés de chiffrement utilisées pour authentifier votre appareil auprès du réseau mobile avant le début d’un appel, l’envoi d’un SMS ou d’une connexion de données. Ces clés fonctionnent comme un secret partagé entre votre carte SIM et le réseau, utilisé pour prouver votre identité en toute sécurité. Cet « échange de mots de passe » se produit en arrière-plan chaque fois que votre téléphone interagit avec le réseau afin de garantir que seuls les appareils autorisés accèdent aux services mobiles.

Sans profil SIM valide, votre réseau ne pourra pas acheminer les appels, les SMS ou les données. Lorsque vous placez votre carte SIM dans un nouveau téléphone, votre identité est transférée avec elle. Avec les cartes eSIM, votre numéro peut être transféré numériquement via votre opérateur vers un nouvel appareil sans nécessiter de carte physique. Grâce à ce transfert simplifié, le SIM swapping est devenu un problème majeur.

Qu’est-ce que le SIM swapping ?

Le SIM swapping, également appelé échange de SIM, SIM jacking ou arnaque à la carte SIM, consiste pour un fraudeur à tromper ou à soudoyer un opérateur afin qu’il transfère votre numéro de téléphone vers une carte SIM dont il a le contrôle.

Une fois le transfert effectué, tous les appels vocaux et SMS qui vous sont destinés sont transmis vers son téléphone. Grâce aux codes à usage unique, le fraudeur peut réinitialiser vos mots de passe, vider vos portefeuilles ou acheter des cryptomonnaies en votre nom.

Il est facile de devenir une cible. Les numéros de téléphone sont liés à davantage de comptes que la plupart des utilisateurs ne le pensent. Si un fraudeur y accède, il ne se contente pas de détourner votre numéro, il usurpe également votre identité numérique. Examinons cela de plus près.

Comment fonctionne le SIM swapping ?

Les escrocs suivent généralement un plan en quatre étapes :

1. Extraction de données : ils récupèrent des publications sur les réseaux sociaux, envoient des courriels frauduleux ou utilisent des informations divulguées lors de fuites de données pour obtenir votre date de naissance, votre adresse et les réponses à des questions de sécurité courantes.
2. Contact avec l’opérateur : à l’aide de ces données, ils se font passer pour vous dans un chat en ligne ou auprès d’un centre d’appels et disent simplement : « Mon téléphone a été volé, j’ai besoin d’une nouvelle carte SIM ». À ce stade, pour réussir à tromper l’opérateur, il est souvent nécessaire de contourner les procédures de vérification d’identité, qui peuvent varier d’un pays à l’autre, notamment en fonction de la sévérité de la législation locale en matière d’enregistrement des cartes SIM.
3. Transfert de numéro : si l’agent du service d’assistance accepte ces explications, il transférera votre numéro de téléphone vers une nouvelle carte SIM ou un profil eSIM, ce qui empêchera votre appareil d’accéder au réseau. À partir de ce moment, tous vos appels et SMS seront redirigés vers l’appareil des fraudeurs.
4. Piratage des comptes : si vos comptes utilisent l’authentification à deux facteurs (2FA) par SMS, les escrocs pourront utiliser ces codes pour réinitialiser vos mots de passe, vider vos portefeuilles ou acheter des cryptomonnaies en votre nom.

Dans de plus rares cas, la permutation de carte SIM est effectuée par un complice interne : un employé de l’opérateur soudoyé pour effectuer le changement. Quelle que soit la méthode utilisée, le résultat est le même : votre vie numérique passe entre les mains d’une autre personne.

💡Conseil : faites preuve d’initiative. Si vous résidez aux États-Unis, le service de suppression des données d’ExpressVPN, qui fait partie de la suite Identity Defender, peut contribuer à limiter la quantité d’informations personnelles accessibles aux courtiers en données, de sorte qu’il sera plus difficile pour les fraudeurs de recueillir des renseignements vous concernant.

Signes que vous pourriez être victime de SIM swapping

Voici quelques signes susceptibles de vous aider à déterminer si vous avez été victime de SIM swapping.

Vous perdez soudainement accès au réseau mobile

La perte soudaine d’accès au réseau mobile est le signe le plus évident. Votre téléphone affiche « Aucun service » ou « Appels d’urgence uniquement » alors que vous vous trouvez dans une zone de couverture avérée et que votre facture est réglée. Si le redémarrage de votre téléphone ne résout pas le problème, cela peut indiquer que votre numéro a été transféré vers une autre carte SIM.

Vous ne pouvez plus envoyer ni recevoir de SMS ou d’appels

Si votre téléphone ne peut plus accéder au réseau mobile, vous ne pourrez plus passer d’appels ni envoyer ou recevoir des SMS. La connexion à un réseau WiFi ne résout pas le problème, car les appels et les SMS transitent uniquement par le réseau mobile, auquel vous n’avez plus accès en cas de SIM swapping.

Activités suspectes sur vos comptes bancaires ou réseaux sociaux

Les fraudeurs agissent rapidement. Une fois qu’ils ont obtenu votre numéro, ils tentent d’accéder aux comptes qui utilisent des codes de sécurité envoyés par SMS. Vous êtes donc susceptibles de recevoir de nombreux courriels de réinitialisation de mot de passe, constater de nouvelles connexions à partir d’appareils ou d’emplacements inconnus, ou recevoir une alerte concernant un virement dont vous n’êtes pas à l’origine.

Vous êtes averti que votre numéro est activé sur un nouvel appareil

Dans certains pays, les opérateurs mobiles envoient désormais des alertes du type « Échange de carte SIM en cours » ou un SMS confirmant l’activation de votre numéro de téléphone sur un nouvel appareil. Si vous recevez ce genre de notification et que vous n’êtes pas à l’origine de l’opération, votre numéro peut avoir été pris pour cible. Rappel : n’approuvez jamais une demande que vous n’avez pas initiée.

Que faire en cas de SIM swapping ?

La rapidité est votre meilleure défense. Dès que vous constatez une perte de signal ou une activité inhabituelle, suivez les étapes ci-dessous et conservez une trace écrite de vos actions :

1. Contactez votre opérateur mobile

Utilisez un autre téléphone pour contacter le service d’assistance et signalez que vous pensez être victime de SIM swapping. Demandez à votre interlocuteur de procéder à la suspension de la nouvelle SIM et au rétablissement de votre numéro sur une carte SIM ou un profil eSIM sous votre contrôle. Notez la date, l’heure et le nom de votre interlocuteur.

2. Sécurisez vos fonds

Appelez ensuite votre banque ou la société émettrice de votre carte bancaire. Expliquez la situation, bloquez les opérations et passez en revue les activités récentes avec l’agent de l’assistance. Si vous constatez des paiements non autorisés, lancez immédiatement la procédure de contestation. Activez les alertes en temps réel afin de ne pas passer à côté de nouveaux débits.

💡Conseil : les utilisateurs résidant aux États-Unis peuvent également profiter du service de protection d’identité d’ExpressVPN, Identity Defender avec Credit Scanner, qui peut contrôler de près vos rapports de crédit afin de détecter tout nouveau compte ou toute activité suspecte.

3. Réinitialisez vos mots de passe et optez pour une application 2FA

Commencez par votre compte de messagerie principal, poursuivez avec vos comptes bancaires, vos réseaux sociaux et tous vos services en ligne. Modifiez tous vos mots de passe et remplacez les codes SMS par une application d’authentification, comme Google Authenticator, que les fraudeurs ne peuvent pas intercepter. Quand l’opérateur aura rétabli votre ligne, réactivez la 2FA à l’aide de la nouvelle méthode afin de corriger définitivement cette faille.

4. Signalez le délit

Déposez plainte auprès de votre service national de lutte contre la cybercriminalité. Communiquez les numéros de dossier à votre banque et à votre opérateur ; les documents officiels accélèrent souvent les remboursements et les enquêtes internes.

5. Consignez toutes les démarches que vous effectuez

Notez chaque appel, numéro de dossier et promesse, puis relancez vos interlocuteurs dans les 24 heures afin de confirmer l’avancement du dossier. Un suivi chronologique clair facilite la résolution des différends ultérieurs et démontre que vous suivez activement la situation.

Comment prévenir le SIM swapping ?

Ne liez pas votre numéro de téléphone à vos comptes en ligne

Dans la mesure du possible, évitez d’utiliser votre numéro de téléphone comme méthode de connexion ou de récupération. Utilisez plutôt une adresse électronique ou une application d’authentification pour l’accès et la récupération de votre compte. Vous réduisez ainsi le risque d’être victime d’un piratage de votre numéro de téléphone. Cependant, n’oubliez pas que les comptes de messagerie électronique peuvent également être compromis (et sont souvent la cible des pirates). Par conséquent, l’utilisation d’une application d’authentification constitue le choix le plus sûr.

Utilisez l’authentification multifacteurs

Une authentification multifacteurs (MFA) renforce la sécurité de vos comptes :

• Applications d’authentification : ces applications génèrent des codes sur votre appareil, et non par SMS, ce qui les rend résistantes aux attaques par SIM swapping. Ainsi, même si quelqu’un prend le contrôle de votre numéro, il ne peut pas accéder à vos codes 2FA. Des applications comme Google Authenticator, Authy ou Microsoft Authenticator constituent des outils intéressants.
• Biométrie : de nombreux appareils et applications proposent désormais une authentification biométrique, par empreinte digitale ou reconnaissance faciale, ce qui ajoute un niveau de sécurité supplémentaire et empêche l’accès à certaines applications ou à certaines actions, même si quelqu’un parvient à obtenir votre numéro de téléphone.
• Clés de sécurité physiques : des dispositifs électroniques d’authentification, comme YubiKeys, constituent des outils hautement sécurisés. Ils nécessitent souvent une interaction physique et utilisent des clés de chiffrement, ce qui les rend très difficiles à compromettre. Ils sont particulièrement adaptés à la protection des comptes de messagerie électronique et des comptes financiers.

Demandez à votre opérateur un code PIN ou un verrouillage de compte

La plupart des opérateurs vous permettent de configurer un code PIN ou une question de sécurité spécifique pour votre compte. Il est ainsi plus difficile pour les fraudeurs de se faire passer pour vous.

Certains proposent également des fonctionnalités de verrouillage du numéro ou du compte, qui ajoutent une étape de vérification supplémentaire avant le transfert de votre numéro vers une autre carte SIM.

D’autres proposent une option de confirmation par rappel, dans le cadre de laquelle ils appellent le numéro enregistré dans votre compte pour confirmer toute modification de celui-ci. Si cette option est activée, elle pourrait permettre de déjouer les tentatives de SIM swapping.

Configurez des alertes sur vos comptes

De nombreuses banques et services en ligne vous permettent d’activer des alertes en cas de tentatives de connexion, de modification de mot de passe ou de retraits. Celles-ci vous permettent d’être averti rapidement en cas d’anomalie.

Vérifiez régulièrement vos comptes les plus importants

Examinez les paramètres de sécurité de vos comptes financiers, de messagerie électronique et de réseaux sociaux. Recherchez tout signe d’accès non autorisé, mettez à jour vos méthodes de récupération et contrôlez les comptes qui utilisent votre numéro de téléphone pour la connexion ou la récupération.

Suivez les règles élémentaires de sécurité en ligne

Adopter de bonnes habitudes en ligne peut vous permettre de contrer la plupart des tentatives de SIM swapping avant leur déclenchement.

• Réfléchissez avant de cliquer : ignorez les liens et les pièces jointes contenus dans des messages inattendus, même s’ils vous semblent familiers. Cela empêche les auteurs de tentatives d’hameçonnage de vous dérober des informations personnelles susceptibles d’être utilisées pour usurper votre identité auprès de votre opérateur téléphonique.
• Ne divulguez pas vos informations personnelles : ne publiez pas et ne partagez pas votre numéro de téléphone, votre adresse ou d’autres renseignements personnels sur des sites publics. Moins vous divulguez d’informations, moins les fraudeurs ont de chances de passer les contrôles de sécurité de votre opérateur.
• Vérifiez l’identité de chaque appelant : si quelqu’un vous appelle au nom de votre opérateur, raccrochez et rappelez le numéro officiel de votre opérateur. En composant un numéro digne de confiance, vous contrecarrez toute tentative d’ingénierie sociale.
• Ne communiquez jamais vos identifiants de compte : votre opérateur ne vous demandera jamais vos mots de passe, vos codes PIN ou vos données bancaires par téléphone, par courriel ou par SMS. En protégeant ces codes, vous empêchez les pirates d’accéder aux données dont ils ont besoin pour faire migrer votre numéro.
• Utilisez systématiquement des mots de passe unique : en utilisant des identifiants distincts pour chaque service en ligne, vous limitez considérablement les dommages causés par une violation de données. Si un site est compromis, les fraudeurs n’auront pas automatiquement accès à vos autres comptes. Un gestionnaire de mots de passe, comme ExpressVPN Keys vous aide à créer et à stocker des mots de passe robustes sans les réutiliser.
• Évitez le remplissage automatique dans les applications : évitez d’utiliser les fonctionnalités de remplissage automatique intégrées aux navigateurs et aux applications, qui peuvent être moins sécurisées qu’un gestionnaire de mots de passe dédié. Si vous perdez votre téléphone ou qu’il est compromis par un logiciel malveillant, les informations enregistrées pour le remplissage automatique risquent de faciliter la tâche des fraudeurs.

Exemples concrets de fraudes par SIM swapping (et les véritables enjeux)

Le SIM swapping n’est pas seulement un problème technique, il revêt un caractère personnel. Pour de nombreuses victimes, tout commence par un petit incident qui se transforme rapidement en une situation plus grave, entraînant des pertes financières, une atteinte à la réputation et des années difficiles pour s’en remettre.

Prenons le cas de Jack Dorsey, l’ancien PDG de Twitter. En 2019, des fraudeurs ont utilisé cette technique pour prendre le contrôle de son numéro de téléphone. En quelques minutes, ils ont utilisé un service de publication par SMS pour publier des tweets insultants depuis son compte. Le piratage n’a pas duré longtemps, mais il a fait la une des journaux du monde entier et a révélé à quel point même les dirigeants du secteur de la technologie peuvent être vulnérables.

Ou celui de Michael Terpin, un investisseur en cryptomonnaies qui a perdu plus de 20 millions de dollars (17 millions d’euros) suite au piratage de son numéro de téléphone. L’auteur de cette attaque est parvenu à contourner les protections de ses comptes, à accéder à son portefeuille numérique et à le vider. Après cela, la victime a poursuivi son opérateur mobile, arguant que la faiblesse des contrôles de sécurité avait favorisé ce vol.

Il ne s’agit pas de cas isolés. Le SIM swapping a été largement utilisé pour viser des célébrités de premier plan comme des utilisateurs anonymes. Voici ce que les auteurs de ces attaques peuvent faire :

• Usurpation d’identité : une fois qu’une personne a pris le contrôle de votre numéro, elle peut usurper votre identité en ligne, prendre le contrôle de votre messagerie électronique, accéder à votre compte bancaire et réinitialiser vos mots de passe. Elle peut également utiliser les données personnelles de vos comptes pour demander des prêts ou des lignes de crédit en votre nom.
• Perte financière : le vol d’un numéro peut entraîner le pillage de comptes bancaires, des achats non autorisés par carte de crédit et même le détournement de cryptomonnaies. Si vos comptes financiers reposent sur une authentification à deux facteurs par SMS, le SIM swapping donne aux fraudeurs tous les outils nécessaires pour accomplir leurs méfaits.
• Atteinte à la vie privée : une attaque réussie peut exposer vos SMS, vos photos, vos autres applications de messagerie et votre répertoire de contacts. La personne malintentionnée pourrait utiliser votre numéro pour envoyer des messages à vos amis, demander des codes d’accès ou consulter vos conversations personnelles à votre insu.
• Atteinte à la réputation : une personne utilisant votre numéro pourrait publier des messages sur vos réseaux sociaux, usurper votre identité dans des messages ou escroquer vos contacts. En fonction de la situation, cela peut nuire à vos relations ou affecter votre carrière.

Conclusion : gardez une longueur d’avance sur les fraudes liées aux appareils mobiles

Le vol d’un numéro de téléphone n’est pas une simple nuisance, c’est une menace pour votre vie numérique. De vos opérations bancaires à vos courriels en passant par les réseaux sociaux, votre numéro peut quasiment tout déverrouiller. C’est pourquoi il est essentiel de vous protéger.

Utilisez des applications d’authentification, configurez des codes PIN pour vos comptes, évitez d’utiliser votre numéro pour vous connecter et restez vigilant face à toute activité suspecte. La prévention ne prend que quelques minutes. Tandis que des années peuvent être nécessaires pour vous remettre des conséquences d’une usurpation d’identité.

Bien qu’un VPN n’empêche pas le SIM swapping, il constitue néanmoins un moyen astucieux de sécuriser vos activités en ligne, en particulier sur les réseaux WiFi publics. ExpressVPN chiffre votre trafic, ce qui renforce la confidentialité de vos données et garantit leur sécurité lorsque vous êtes connecté.