Lexique

SIM swapping

Le SIM swapping est une fraude qui consiste à faire transférer le numéro de téléphone d’une personne vers une autre carte SIM ou eSIM sans son accord. Le fraudeur peut alors recevoir ses appels et SMS, notamment les codes utilisés pour accéder à certains comptes.

Sommaire

Caractéristiques principales du SIM swapping

  1. Un numéro détourné : la ligne est activée sur une autre SIM à l’insu de son titulaire.
  2. Le téléphone peut rester en votre possession : la fraude vise le transfert de la ligne, sans nécessiter le vol de l’appareil.
  3. Des appels et SMS exposés : le fraudeur peut recevoir les communications destinées au numéro, dont certains codes de connexion.
  4. Des comptes potentiellement menacés : le risque dépend de leurs méthodes de connexion et de récupération.
  5. SIM physique et eSIM concernées : les contrôles lors du remplacement ou du transfert de la ligne sont essentiels.

Comment fonctionne cette fraude ?

Une carte SIM identifie un abonnement sur le réseau mobile. Lors d’un remplacement légitime, l’opérateur rattache la ligne à une nouvelle SIM et désactive l’ancienne. Le SIM swapping, aussi appelé SIM swap, détourne cette opération : le fraudeur obtient l’activation sur un support qu’il contrôle.

Il peut notamment exploiter des informations personnelles volées, un compte client compromis ou une usurpation d’identité auprès de l’opérateur. Le phishing, ou hameçonnage, peut servir à récupérer des informations utilisées pour cette fraude. Un détournement peut aussi passer par une portabilité non autorisée vers un autre opérateur.

Le mot « swapping » signifie ici échange ou remplacement. Il ne s’agit pas nécessairement de copier techniquement la puce. Un changement de SIM demandé par son titulaire reste une opération normale.

Pourquoi les codes reçus par SMS sont-ils concernés ?

Certains services utilisent le numéro de téléphone pour envoyer un code de connexion ou réinitialiser un mot de passe. Après le transfert frauduleux, ces SMS peuvent parvenir à l’attaquant. Cela fragilise notamment la double authentification (2FA) lorsqu’elle repose sur un mot de passe et un code SMS.

Exemple : un fraudeur possède déjà le mot de passe d’un compte. S’il détourne aussi le numéro qui reçoit le code de validation, il peut réunir les deux éléments nécessaires à la connexion. Les autres contrôles du service peuvent toutefois empêcher cet accès.

Le contrôle du numéro ne donne donc pas automatiquement accès à tous les comptes. Il ne copie pas non plus, à lui seul, les photos, les fichiers ou l’historique des messages conservés sur le téléphone. Le risque porte d’abord sur les communications reçues après le détournement et sur les services qui font confiance au numéro.

Le code PIN ou l’eSIM empêchent-ils le SIM swapping ?

Le code PIN protège l’utilisation de la SIM sur laquelle il est configuré. Il ne bloque pas, à lui seul, l’activation d’une autre SIM par l’opérateur. Le code PUK sert à débloquer une SIM verrouillée après des erreurs de PIN ; il n’annule pas un transfert frauduleux.

Une eSIM intégrée ne peut pas être retirée du téléphone, mais son profil peut être remplacé ou transféré selon les procédures prévues. L’absence de carte amovible n’élimine donc pas le risque de détournement de ligne. La protection dépend aussi du compte client et des vérifications réalisées lors de ces démarches.

Quels signes peuvent alerter ?

Une perte soudaine des appels, des SMS et des données mobiles, accompagnée d’un avis de remplacement de SIM ou de transfert non demandé, doit conduire à contacter l’opérateur. Une panne ou un problème de couverture peut aussi couper le service : la perte de réseau seule ne prouve pas un SIM swapping.

Comment réduire le risque et réagir ?

Protégez l’espace client de l’opérateur et votre messagerie avec des mots de passe distincts. Activez les protections supplémentaires proposées et ne transmettez pas de code de validation à une personne qui vous contacte de manière inattendue. Pour vérifier une demande, utilisez les coordonnées officielles de l’organisme.

Pour les comptes importants, privilégiez, lorsque le service le permet, une application d’authentification ou une clé de sécurité plutôt qu’un code SMS. Ces méthodes ne dépendent pas de la réception sur le numéro. Si le SMS est la seule option disponible, conserver cette protection reste préférable à un mot de passe seul.

En cas de soupçon, contactez rapidement votre opérateur depuis un autre moyen de communication pour vérifier la situation, faire suspendre la ligne détournée et récupérer votre numéro. Sécurisez les comptes concernés et prévenez votre banque si des opérations suspectes apparaissent. Conservez les notifications et les échanges ; en cas de fraude avérée, déposez plainte. Les démarches détaillées dépendent de l’opérateur et des services touchés.

Pour aller plus loin

Sources officielles