Échange de carte SIM

Définition

L'échange de carte SIM consiste à faire transférer votre numéro de téléphone vers une carte contrôlée par l'attaquant, qui reçoit alors à votre place les appels et les codes de vérification envoyés par SMS.

Comment ça fonctionne

L'attaquant rassemble d'abord des informations personnelles suffisantes pour se faire passer pour vous auprès de l'opérateur — éléments souvent publics, ou obtenus par un hameçonnage préalable. Il demande ensuite le transfert du numéro vers une nouvelle carte, en invoquant une perte ou un changement d'appareil. Dès l'activation, votre téléphone perd le réseau : c'est le signe le plus immédiat, et il précède de peu les tentatives de réinitialisation. L'attaquant utilise alors « mot de passe oublié » sur vos comptes et reçoit les codes par SMS. Cette attaque explique pourquoi le SMS est le second facteur le plus fragile.

Pourquoi ça marche

Le numéro de téléphone sert de clé à beaucoup de comptes, mais personne ne le surveille. Une perte de réseau ressemble à une panne banale : on attend qu'elle passe, et c'est ce temps que l'attaquant utilise.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Perte soudaine et inexpliquée du réseau mobile, alors que le téléphone fonctionne
• Impossibilité d'appeler ou de recevoir des SMS sans panne connue de l'opérateur
• Notification de l'opérateur signalant un changement de carte SIM non demandé
• Emails de réinitialisation reçus juste après la perte du réseau
• Contact préalable inhabituel demandant des informations personnelles ou une pièce d'identité

Comment vérifier

Si le réseau disparaît sans raison, insérez la carte dans un autre appareil ou vérifiez auprès d'une autre ligne s'il y a une panne locale. En l'absence de panne, appelez immédiatement l'opérateur depuis une autre ligne : le délai entre le transfert et l'exploitation est court.

Les questions à se poser, dans l'ordre

1. 1

   Votre téléphone a-t-il perdu le réseau sans raison, sans panne connue ?

   Si oui : Appelez votre opérateur immédiatement depuis une autre ligne.

2. 2

   Recevez-vous des emails de réinitialisation que vous n'avez pas demandés ?

   Si oui : Changez le mot de passe de votre messagerie depuis un appareil sain, puis prévenez votre banque.

3. 3

   L'opérateur confirme-t-il un changement de carte que vous n'avez pas fait ?

   Si oui : Faites annuler le transfert, puis suivez la checklist d'urgence.

Que faire

Demandez à votre opérateur d'ajouter un code confidentiel ou un blocage de portabilité sur la ligne. Remplacez, autant que possible, la double authentification par SMS par une application d'authentification ou une clé de sécurité, qui ne dépendent pas du numéro.

Si c'est déjà arrivé

Appelez l'opérateur depuis une autre ligne pour faire annuler le transfert, puis contactez votre banque. Depuis un appareil sain, changez les mots de passe des comptes sensibles en commençant par la messagerie, et retirez le numéro comme moyen de récupération là où c'est possible. Déposez plainte et signalez les faits sur cybermalveillance.gouv.fr.

• Checklist d'urgence : « Vous n'avez plus accès à un compte, ou il envoie des messages sans vous »
• L'assistant « J'ai cliqué » : les gestes après un appel, dans l'ordre

Pour que ça ne se reproduise pas

• Demandez à votre opérateur un code confidentiel ou un blocage sur la ligne.
• Remplacez la double authentification par SMS par une application ou une clé de sécurité là où c'est possible.
• Limitez les informations personnelles publiques qui permettent de se faire passer pour vous.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
• Comment un mot de passe est réellement voléComment les pirates obtiennent-ils un mot de passe ?
• Activer la double authentification, et bien la choisirComment protéger mes comptes avec la double authentification ?
• Reprendre un compte piraté (messagerie, réseau social)Mon compte a été piraté, comment le récupérer ?

Questions fréquentes

Pourquoi mon téléphone n'a-t-il plus de réseau ?

Un numéro ne peut être actif que sur une seule carte à la fois. Si un transfert a été effectué, votre carte est désactivée dans la seconde. C'est pourquoi une perte de réseau soudaine, sans panne connue, mérite un appel immédiat à l'opérateur depuis une autre ligne.

Faut-il abandonner la double authentification par SMS ?

Elle vaut mieux que rien et reste préférable à un mot de passe seul. Mais dès qu'un service propose une application d'authentification ou une clé de sécurité, préférez-la : ces méthodes ne dépendent pas du numéro et ne sont donc pas affectées par cette attaque.

Attaques liées

• Contournement de la double authentification
• Piratage de messagerie
• Faux conseiller bancaire
• Détournement de la récupération de compte

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement