Votre eSIM peut être clonée : le vrai risque du SIM Swapping

Vous perdez soudainement le réseau. Plus d'appels, plus de SMS, plus de data. Votre téléphone devient un bloc inerte. Quelques minutes plus tard, vous recevez des notifications de réinitialisation de mot de passe pour votre boîte mail, puis pour votre banque. Ce n'est pas une panne technique. C'est une attaque en cours contre votre numéro de téléphone. Le SIM swapping, ou clonage de carte SIM, est l'une des fraudes les plus discrètes et les plus dévastatrices du moment. Contrairement à ce qu'on imagine, le pirate ne s'en prend pas à votre appareil. Il s'attaque à l'opérateur pour lui voler votre identité téléphonique.

Comment un escroc peut-il prendre le contrôle de votre numéro sans jamais toucher à votre téléphone ?

Le principe est d'une simplicité déconcertante. L'attaquant contacte votre opérateur mobile en se faisant passer pour vous. Il prétend avoir perdu sa carte SIM, changé de téléphone ou besoin d'un remplacement. Si les contrôles d'identité de l'opérateur sont faibles, ou si l'employé est distrait ou complice, le numéro est transféré sur une nouvelle carte SIM que le fraudeur possède. Votre ancienne SIM est désactivée. Vous perdez le réseau, et le pirate reçoit désormais tous vos appels et vos SMS.

Cette technique ne nécessite aucun piratage technique de votre mobile. L'escroc s'appuie sur des données personnelles récoltées ailleurs : réseaux sociaux, fuites de données, messages de phishing. Avec votre nom, votre date de naissance, votre adresse et parfois les quatre derniers chiffres de votre carte bancaire, il se forge une identité crédible. Certains achètent même ces informations sur des forums clandestins ou soudoyent un employé d'opérateur.

Selon le cabinet Kaspersky, 65 % des Français seraient régulièrement touchés par cette arnaque, avec un préjudice moyen de 10 000 euros par victime.

Pourquoi le SIM swapping est plus dangereux qu'un simple vol de téléphone

Quand on vous vole votre téléphone, vous pouvez verrouiller votre compte iCloud ou Google, changer vos mots de passe, et couper la ligne. Avec le SIM swapping, le voleur a votre numéro. Or, la plupart des services en ligne utilisent encore le SMS comme méthode de récupération ou de double authentification. Recevoir un code par texto est la norme pour valider un achat, réinitialiser un mot de passe ou se connecter à sa banque.

Une fois que le pirate contrôle votre numéro, il intercepte tous ces codes. Il peut alors :

• réinitialiser votre mot de passe de messagerie et prendre le contrôle de votre boîte mail ;
• accéder à vos comptes bancaires et vider vos comptes ou ouvrir de nouveaux crédits ;
• se connecter à vos réseaux sociaux et publier à votre place ou usurper votre identité ;
• utiliser vos comptes pour diffuser des publicités, des fake news ou faire payer des communications à l'étranger.

Certaines victimes se sont retrouvées avec des factures de plus de 1 500 euros. D'autres ont mis des semaines à récupérer l'accès à leurs comptes. Contrairement à Jack Dorsey, l'ex-PDG de Twitter, dont le compte a été repris en 15 minutes par son équipe, une personne lambda n'a ni service de sécurité ni accès prioritaire chez les opérateurs.

Les trois méthodes les plus courantes pour cloner votre SIM

Les escrocs n'ont pas besoin d'être des génies du hacking. Voici comment ils procèdent dans la majorité des cas :

L'usurpation d'identité auprès de l'opérateur

L'attaquant appelle le service client ou se rend en boutique. Il fournit les informations personnelles qu'il a collectées. Si l'opérateur ne vérifie pas rigoureusement l'identité, le transfert est effectué. C'est la méthode la plus répandue.

Le réparateur malveillant

Vous confiez votre téléphone à un réparateur. Vous avez peut-être laissé la carte SIM à l'intérieur, ou des données sensibles dans l'appareil. Certains réparateurs peu scrupuleux copient ou transfèrent votre SIM à leur profit.

Le vol physique

Si quelqu'un vole votre téléphone et votre carte SIM, il peut l'insérer dans un autre appareil. Mais le plus souvent, les voleurs préfèrent la méthode à distance : elle est moins risquée et permet de cibler des comptes lucratifs.

Méthode	Risque pour la victime	Difficulté pour l'escroc
Usurpation d'identité par téléphone	Très élevé (comptes bancaires, mails)	Faible si l'opérateur a des contrôles faibles
Complicité d'un employé	Très élevé	Moyenne (nécessite un contact interne)
Réparateur malveillant	Élevé (accès physique à la SIM)	Faible si la SIM n'est pas retirée
Vol physique de la carte SIM	Moyen (peut être bloqué rapidement)	Élevé (risque d'être identifié)

Les signes qui doivent vous alerter immédiatement

Le SIM swapping ne passe pas inaperçu si vous savez quoi regarder. Voici les symptômes typiques :

• perte soudaine du réseau mobile alors que vous êtes dans une zone couverte ;
• impossibilité d'envoyer ou de recevoir des appels et des SMS ;
• notifications de réinitialisation de mot de passe pour des comptes que vous n'avez pas sollicitées ;
• alertes de sécurité de votre banque ou de vos applications ;
• connexions suspectes signalées sur vos comptes.

Si vous constatez un ou plusieurs de ces signes, ne perdez pas de temps. Contactez immédiatement votre opérateur pour vérifier si un transfert de ligne a été effectué. Demandez la désactivation de la nouvelle carte SIM et la réactivation de l'ancienne. Ensuite, portez plainte auprès des autorités. Si vos comptes bancaires sont touchés, contactez votre banque pour bloquer les transactions et demander le remboursement des sommes dérobées.

Les trois protections qui rendent le SIM swapping beaucoup plus difficile

Les opérateurs commencent à renforcer leurs procédures, mais vous pouvez agir dès maintenant sans attendre qu'ils le fassent.

Activez un code PIN sur votre compte opérateur

La plupart des opérateurs proposent de définir un code PIN ou un mot de passe spécifique pour toute demande de portabilité ou de remplacement de SIM. Sans ce code, aucune opération ne peut être effectuée, même si l'escroc connaît vos données personnelles. C'est la protection la plus efficace et la plus simple à mettre en place. Appelez votre opérateur ou connectez-vous à votre espace client pour l'activer.

Verrouillez la portabilité de votre numéro

Certains opérateurs permettent de bloquer la portabilité sortante. Cela signifie que votre numéro ne peut pas être transféré vers un autre opérateur sans une procédure renforcée. Renseignez-vous sur cette option, surtout si vous ne changez pas souvent d'opérateur.

Remplacez la double authentification par SMS par une application dédiée

C'est le geste le plus important. Les codes de vérification envoyés par SMS sont le maillon faible de votre sécurité. Une application d'authentification comme Google Authenticator, Microsoft Authenticator ou Authy génère des codes directement sur votre téléphone, sans passer par le réseau mobile. Même si un pirate vole votre numéro, il ne pourra pas intercepter ces codes. De plus en plus de services en ligne (banques, réseaux sociaux, messageries) proposent cette option. Activez-la systématiquement.

Une autre précaution simple : retirez votre carte SIM avant de confier votre téléphone à un réparateur. Cela semble évident, mais beaucoup de victimes l'oublient.

Le SIM swapping n'est pas une fatalité, mais une vigilance de tous les instants

Les opérateurs sont les premières cibles des critiques, et ils le méritent souvent. Mais en attendant qu'ils généralisent des contrôles d'identité plus stricts, c'est à vous de verrouiller votre numéro. Un code PIN chez votre opérateur et une application d'authentification remplacent vos SMS de vérification : ces deux actions réduisent considérablement le risque. Le SIM swapping est une attaque sociale, pas technique. Plus vous rendez difficile l'usurpation de votre identité téléphonique, moins vous êtes une cible intéressante.