Imaginez la scène. Vous êtes tranquillement chez vous, vous consultez vos messages, regardez quelques vidéos et posez votre smartphone sur la table. Quelques minutes plus tard, vous le reprenez et constatez qu’il n’affiche plus qu’un désespérant “Aucun service”. Vous redémarrez, vérifiez votre carte SIM, regardez si votre opérateur rencontre une panne et, comme souvent, vous concluez que “ces fichus opérateurs” ont encore un problème.
Sauf que cette fois, le problème n’est peut-être pas chez l’opérateur. Il est possible que quelqu’un soit tout simplement en train d’utiliser votre numéro de téléphone.
C’est le principe du SIM swapping, une technique d’escroquerie qui consiste à convaincre un opérateur téléphonique de transférer votre numéro sur une autre carte SIM contrôlée par le fraudeur. Pour vous, le téléphone devient soudainement aussi utile qu’une télécommande sans piles. Pour l’escroc, en revanche, c’est une véritable clé d’accès à une partie de votre vie numérique.
Et le plus inquiétant dans cette histoire, c’est que le pirate n’a pas forcément besoin de casser votre téléphone, de découvrir votre mot de passe ou de prendre le contrôle de votre ordinateur. Il lui suffit parfois de convaincre quelqu’un, chez votre opérateur, qu’il est vous.
Le principe du SIM swapping est finalement assez simple. Un fraudeur récupère suffisamment d’informations personnelles sur sa victime pour se faire passer pour elle auprès de l’opérateur téléphonique. Il peut ensuite demander le remplacement ou le transfert de la carte SIM.
Lorsque l’opération fonctionne, votre numéro est transféré vers la carte SIM du fraudeur. Votre smartphone perd alors brutalement sa connexion au réseau tandis que le téléphone du pirate commence à recevoir vos appels et vos SMS.
Et c’est là que les choses deviennent sérieuses. Votre numéro de téléphone sert aujourd’hui à récupérer des mots de passe, confirmer des connexions ou valider certaines opérations. Vous recevez probablement régulièrement ces fameux SMS contenant un code à six chiffres destiné à prouver que vous êtes bien la personne qui tente de se connecter.
Sauf qu’après un SIM swap, ce code arrive chez quelqu’un d’autre. Le pirate peut alors tenter de récupérer vos comptes, notamment ceux qui utilisent votre numéro comme moyen de récupération.
C’est probablement la partie la plus contre-intuitive du problème. La double authentification est une excellente protection, mais toutes les méthodes d’authentification ne se valent pas. Lorsqu’un service utilise votre numéro de téléphone pour vous envoyer le deuxième facteur par SMS, le système part du principe que celui qui contrôle votre numéro est bien vous.
Le SIM swapping vient précisément casser cette logique. Imaginez une porte blindée équipée de trois serrures. Vous êtes plutôt rassuré. Le problème, c’est que la clé de la troisième serrure est envoyée par courrier à votre adresse… et que quelqu’un vient de faire transférer votre courrier chez lui. La serrure fonctionne parfaitement.
C’est simplement la personne qui reçoit la clé qui a changé. C’est pour cette raison qu’une application d’authentification ou une clé de sécurité physique constitue une meilleure protection pour les comptes particulièrement sensibles.
On pourrait penser que ce genre d’arnaque concerne principalement quelqu’un qui possède quelques milliers d’euros en cryptomonnaies et qui a eu la mauvaise idée de publier son numéro de téléphone sur Internet. Pas exactement.
En janvier 2024, le compte X officiel de la Securities and Exchange Commission américaine, le régulateur des marchés financiers, a été compromis à la suite d’un SIM swap.
Les pirates avaient réussi à faire transférer le numéro de téléphone associé au compte vers une autre carte SIM. Ils ont ensuite utilisé les codes de récupération reçus sur ce téléphone pour prendre le contrôle du compte.
Puis ils ont publié un faux message annonçant que la SEC avait approuvé les ETF Bitcoin. Le marché a immédiatement réagi : le prix du Bitcoin a fortement bougé avant que la SEC ne confirme que le message était faux.
L’affaire est particulièrement intéressante parce qu’elle montre jusqu’où peut aller un simple transfert de numéro. On ne parle plus ici de pirater le compte Instagram d’un particulier pour publier des photos de chats à sa place. Un numéro de téléphone compromis a servi de point d’entrée à une attaque ayant temporairement perturbé les marchés financiers.
Le responsable de l’opération a finalement été condamné à une peine de prison. Et le scénario est presque caricatural : le fraudeur avait utilisé une fausse identité pour obtenir le transfert du numéro vers une nouvelle carte SIM, avant de récupérer les codes nécessaires au piratage du compte.
Le piratage n’a donc pas commencé dans une cave sombre remplie d’écrans clignotants. Il a commencé dans une boutique de téléphonie.
Le SIM swapping est évidemment très intéressant pour les pirates lorsqu’il permet d’accéder à des comptes contenant des cryptomonnaies. Une affaire jugée dans l’Oregon illustre parfaitement le problème. Un homme de Portland a participé à une opération destinée à prendre le contrôle des numéros de téléphone de victimes afin d’accéder à leurs comptes liés aux cryptomonnaies.
Il a finalement été condamné à plusieurs années de prison et à plusieurs millions de dollars de restitution. Le principe était relativement simple : faire croire à l’opérateur que le propriétaire du numéro demandait son transfert, récupérer les SMS et les appels, puis utiliser ces informations pour accéder aux comptes en ligne.
Le pirate ne s’attaque donc pas nécessairement directement à votre banque. Il peut commencer par votre numéro de téléphone, puis laisser vos propres systèmes de sécurité lui ouvrir la porte.
C’est probablement la partie la plus importante à comprendre, parce que le SIM swapping ne repose pas uniquement sur une prouesse technique.
Les fraudeurs ont besoin d’informations pour se faire passer pour vous : nom, numéro de téléphone, date de naissance, adresse, identifiants ou autres données personnelles. Ces informations peuvent provenir de fuites de données, de réseaux sociaux, de bases compromises ou simplement de ce que vous rendez public sans vraiment y penser.
Votre profil Facebook indique votre date d’anniversaire ? Votre numéro apparaît quelque part ? Votre nom complet et votre adresse professionnelle sont disponibles en ligne ? Pris séparément, ces éléments semblent relativement anodins. Mis bout à bout, ils peuvent devenir une sorte de kit de déguisement numérique.
Et plus l’escroc possède d’informations, plus il peut donner l’impression d’être réellement la personne qu’il prétend être.
C’est ce qui rend le SIM swapping particulièrement vicieux. Vous n’avez pas forcément de message inquiétant. Pas forcément de notification bancaire. Pas forcément d’e-mail vous indiquant que quelqu’un vient de prendre le contrôle de votre compte. Vous avez simplement… plus de réseau.
Bien entendu, il peut s’agir d’une panne parfaitement normale. Une antenne peut être en maintenance, votre opérateur peut rencontrer un problème ou votre téléphone peut simplement décider qu’il a besoin d’un peu de vacances.
Mais si votre smartphone perd soudainement toute connexion sans raison apparente, il vaut mieux vérifier plutôt que de patienter tranquillement jusqu’au lendemain.
La première chose à faire est de contacter votre opérateur depuis un autre téléphone afin de vérifier qu’aucun changement n’a été effectué sur votre ligne. Si un SIM swap a effectivement eu lieu, il faut ensuite sécuriser rapidement ses comptes, modifier les mots de passe importants et surveiller ses comptes bancaires. Plus on intervient rapidement, moins le pirate dispose de temps pour exploiter le numéro.
La première mesure consiste à protéger correctement le compte que vous possédez chez votre opérateur, notamment avec un code ou un mot de passe spécifique lorsque l’opérateur le permet.
Ensuite, pour vos comptes les plus sensibles, évitez autant que possible de dépendre uniquement des SMS comme deuxième facteur d’authentification. Une application d’authentification constitue généralement une meilleure option et, pour les comptes particulièrement importants, une clé de sécurité physique offre encore une protection supplémentaire.
Il faut également éviter de distribuer trop facilement ses informations personnelles sur Internet. Cela ne signifie évidemment pas qu’il faut disparaître du Web, supprimer toutes ses photos et vivre dans une grotte avec un Nokia 3310. Mais plus un escroc connaît de choses sur vous, plus il lui sera facile de raconter une histoire crédible à votre opérateur.
Enfin, utilisez des mots de passe uniques et solides et surveillez régulièrement les connexions inhabituelles à vos comptes.
Ne paniquez pas, mais ne balayez pas non plus le problème d’un revers de main. Si le réseau revient quelques minutes plus tard, vous pourrez probablement continuer votre journée en pestant contre votre opérateur. En revanche, si votre téléphone reste soudainement sans réseau alors que les autres appareils autour de vous fonctionnent normalement, prenez le temps de vérifier votre ligne.
Car le véritable danger du SIM swapping n’est pas uniquement que quelqu’un puisse recevoir vos SMS. C’est que vous avez peut-être construit toute votre sécurité numérique autour d’un numéro que vous pensiez être sous votre contrôle.
Votre banque l’utilise pour vous identifier. Votre messagerie l’utilise pour récupérer votre compte. Les réseaux sociaux l’utilisent pour confirmer votre identité. Et votre famille l’utilise pour vous appeler.
Pourtant, techniquement, votre numéro n’est pas une identité. C’est simplement un numéro attribué par un opérateur à une carte SIM.
Et si quelqu’un réussit à convaincre cet opérateur de déplacer ce numéro, une partie de votre vie numérique peut déménager avec lui. La prochaine fois que votre téléphone affichera « Aucun service », vous pourrez toujours accuser votre opérateur.
Mais avant de lui envoyer mentalement une lettre recommandée avec accusé de réception, posez-vous une question : “Et si quelqu’un venait simplement de prendre mon numéro ?”
Parce que dans le monde du SIM swapping, le téléphone qui ne sonne plus n’est parfois pas le problème. C’est le signal d’alarme.
Et si le chaos n’était pas toujours du chaos ? Et si, derrière les déclarations…
La catastrophe qui frappe actuellement le Népal rappelle une nouvelle fois que, dans les premières…
Il existe des hommes qui rêvent de laisser leur nom dans l’Histoire. Certains construisent des…
Il y a des objets dont on comprend immédiatement l'utilité, comme un réfrigérateur, une machine…
Il existe une règle parfaitement établie concernant Netflix : plus le catalogue s'enrichit, moins nous…
Plaud One – Édition Explorer, des écouteurs IA pensés pour une nouvelle génération d'usages :…
