Le SIM swapping, que l’on appelle aussi échange frauduleux de carte SIM, est une forme d’arnaque numérique particulièrement sournoise dont les conséquences se révèlent particulièrement lourdes. Mieux vaut donc comprendre son fonctionnement, reconnaître les signes d’alerte et adopter les bons réflexes pour s’en protéger.
Comment fonctionne une attaque par SIM swapping ?
Une attaque par SIM swapping ne repose pas forcément sur un piratage sophistiqué. C’est ce qui la rend aussi inquiétante.
La collecte d’informations personnelles
Dans un premier temps le fraudeur va tenter de rassembler un maximum de renseignements sur la victime. Nom, prénom, date de naissance, adresse postale, adresse mail, numéro client, ancienne facture et parfois même les quatre derniers chiffres d’un compte bancaire.
Ces données proviennent généralement de fuites, d’attaques de phishing ou de réseaux sociaux trop bavards.
Le contact avec l’opérateur mobile
Une fois ces informations réunies, le fraudeur contacte l’opérateur et se fait passer pour la victime. Il peut expliquer que le téléphone a été perdu, volé ou que la carte SIM ne fonctionne plus.
Son objectif est d’obtenir l’activation du numéro de téléphone sur une nouvelle carte SIM ou une eSIM qu’il contrôle.
Si le conseiller se laisse convaincre par le récit du fraudeur, la demande peut être acceptée. À cet instant, l’attaque prend une tout autre dimension.
Le transfert du numéro
Dès que le transfert est effectué, la carte SIM de la victime est désactivée et son téléphone perd l’accès au réseau mobile. Impossible ensuite de passer un appel, d’envoyer un SMS ou de se connecter à internet.
Pendant ce temps, le fraudeur récupère le contrôle du numéro et reçoit à sa place l’ensemble des communications qui lui sont destinées.
L’exploitation des comptes de la victime
Le fraudeur a ensuite la possibilité de s’attaquer aux comptes associés au numéro détourné. Pour cela, il suffit de lancer une procédure de réinitialisation de mot de passe, puis d’intercepter le code de confirmation envoyé par SMS.
Une fois l’accès obtenu, il peut modifier les identifiants, changer les paramètres de récupération et empêcher la victime de reprendre le contrôle de son compte.
Ce dernier découvre alors trop tard qu’il n’a plus accès à sa messagerie, à son compte bancaire ou à certains services en ligne essentiels comme les réseaux sociaux.
Et lorsque plusieurs comptes sont liés entre eux, l’attaque peut rapidement prendre de l’ampleur. Un accès compromis sert de point d’entrée vers un autre, puis vers un troisième.
Les variantes plus sophistiquées
Le SIM swapping ne se limite pas à un appel frauduleux au service client. Dans certains cas, le fraudeur pirate carrément l’espace client de la victime chez son opérateur mobile.
Une fois connecté, il peut tenter de modifier des informations sensibles, demander l’activation d’une eSIM ou préparer un transfert de ligne sans attirer immédiatement l’attention.
En France, une autre technique consiste à récupérer frauduleusement le code RIO. Pour rappel, cet identifiant est utilisé pour transférer un numéro mobile d’un opérateur à un autre.
Une fois en possession de ce code, le fraudeur lance une demande de portabilité et transfère le numéro vers une ligne qu’il contrôle.
Pourquoi le SIM swapping est-il si dangereux ?
Le danger du SIM swapping vient surtout de sa capacité à détourner une sécurité pourtant très répandue à savoir le code de vérification envoyé par SMS.
Beaucoup de personnes se croient à l’abri dès qu’un second code est demandé après le mot de passe. C’est une protection utile, bien sûr. Mais elle montre vite ses limites lorsque le numéro de téléphone n’appartient plus à son propriétaire.
Dès lors le fraudeur a la possibilité de modifier les identifiants de comptes importants comme les messageries mais aussi de réaliser des virements bancaires.
Les portefeuilles de cryptomonnaies sont également des cibles très prisées. Contrairement à une opération bancaire classique, certaines transactions en cryptomonnaies sont difficiles, voire impossibles, à annuler une fois exécutées.
Les signes qui doivent alerter
Le premier signe d’un SIM swapping est souvent brutal. Le téléphone perd soudainement le réseau. Il affiche alors un message de type carte SIM invalide ou aucun service.
Vous ne pouvez dès lors plus envoyer de SMS ou de passer des appels. Bien évidemment, il peut s’agir tout simplement d’une panne réseau ou d’un problème technique.
Mais dans le doute il vaut mieux réagir rapidement. Une perte de réseau inexpliquée, surtout si elle s’accompagne d’alertes de connexion, de demandes de réinitialisation de mot de passe ou de notifications bancaires inhabituelles, doit être prise au sérieux.
Un simple appel à l’opérateur permet souvent de vérifier si la ligne a été transférée ou si une nouvelle carte SIM a été activée sans autorisation.
Comment se protéger contre le SIM swapping ?
Il n’existe pas de protection magique contre le SIM swapping, mais vous pouvez réduire fortement les risques en adoptant quelques réflexes simples.
La première précaution consiste à limiter les informations personnelles visibles en ligne : date de naissance, adresse, numéro de téléphone ou nom de son opérateur mobile.
Pris séparément, ces éléments apparaissent souvent sans importance. Réunis, elles peuvent donner suffisamment de matière à un fraudeur pour rendre son usurpation d’identité crédible.
Il est également essentiel de se méfier des appels ou des messages alarmistes. Les formules comme achat frauduleux, sécurisez votre ligne immédiatement ou votre compte sera bloqué sont souvent utilisées pour provoquer une réaction rapide. C’est précisément dans l’urgence que les erreurs arrivent.
Un opérateur mobile sérieux ne demandera jamais à un client de communiquer un mot de passe complet ou un code reçu par SMS. En cas de doute, le bon réflexe consiste à raccrocher puis à rappeler le service client depuis le numéro officiel indiqué sur le site de l’opérateur.
Que faire en cas de suspicion de SIM swapping ?
Si le téléphone perd subitement le réseau et que la situation semble anormale, il faut agir sans attendre. La première étape consiste à contacter l’opérateur mobile, depuis un autre téléphone, ou à se rendre directement en boutique.
Il faut ensuite prévenir la banque. Même si aucune transaction suspecte n’apparaît encore, mieux vaut demander une surveillance renforcée, voire le blocage temporaire de certaines opérations.
Il faut ensuite changer les mots de passe des comptes importants depuis un appareil sûr. La boîte mail principale doit être traitée en priorité, car elle sert souvent de point d’entrée vers les autres services. Il faut aussi vérifier les méthodes de récupération, les numéros associés et les appareils connectés.
Un dépôt de plainte auprès de la police ou de la gendarmerie est également fortement conseillé. Les captures d’écran, SMS suspects, notifications bancaires, courriels d’alerte et échanges avec l’opérateur peuvent servir de preuves. Il ne faut donc pas les supprimer trop vite.
