Le SIM swap désigne l’obtention frauduleuse, auprès d’un opérateur de téléphonie, d’une carte SIM ou d’une eSIM rattachée au numéro de mobile d’une victime. L’attaquant qui y parvient reçoit à sa place appels et SMS, au premier rang desquels les codes de sécurité à usage unique envoyés par les banques.
La mécanique : des données volées à la ligne détournée
Avant tout contact avec l’opérateur, le fraudeur réunit un dossier sur sa cible : état civil, adresse, nom de l’opérateur, parfois références client ou copie de pièce d’identité. Ces éléments proviennent de fuites de données, de la consultation des réseaux sociaux ou de campagnes d’hameçonnage, y compris de SMS frauduleux imitant l’opérateur lui-même.
Muni de ce dossier, il se fait passer pour le titulaire de la ligne — en boutique, au téléphone ou depuis l’espace client — et invoque la perte ou le vol du téléphone pour obtenir un duplicata de carte SIM, l’activation d’une eSIM sur un nouvel appareil, voire la portabilité du numéro chez un autre opérateur. La réussite dépend surtout des ressorts de l’ingénierie sociale : un scénario plausible, appuyé par suffisamment de justificatifs pour franchir les contrôles du service client. Dès que la nouvelle carte est activée, celle de la victime cesse de fonctionner.
Ce que rapporte une ligne détournée
Un numéro de mobile sert aujourd’hui de clé de récupération pour les messageries, les réseaux sociaux, les portefeuilles de cryptoactifs et les espaces bancaires en ligne. En captant les SMS de la victime, le fraudeur intercepte les codes à usage unique qui valident connexions et virements, et déclenche des réinitialisations de mot de passe dont le numéro constitue le point de passage obligé. Les appels étant détournés de la même manière, les rappels de vérification n’atteignent plus leur destinataire.
Ce mode opératoire se distingue d’autres contournements de l’authentification multifacteur, telles les attaques par fatigue MFA : la victime n’est pas sollicitée au moment des faits, puisque les codes arrivent directement sur l’appareil de l’attaquant, sans fausse page de connexion ni notification à approuver.
Les signaux visibles côté victime
Le téléphone de la victime perd le réseau sans raison apparente et ne le retrouve pas après redémarrage, alors que la zone est couverte ; les appels et les SMS ne partent plus. Beaucoup d’opérateurs notifient par courriel ou par SMS la commande d’une nouvelle carte, l’activation d’une eSIM ou une demande de portabilité : recevoir un tel message sans avoir rien demandé constitue une alerte sérieuse, au même titre que des déconnexions inexpliquées de comptes en ligne.
Prévention : les conseils publiés pour les particuliers
Le dispositif national cybermalveillance.gouv.fr consacre des contenus à cette fraude et aux données personnelles qui la rendent possible. Ses conseils s’articulent autour de quelques mesures :
- définir auprès de l’opérateur, lorsque l’option existe, un code confidentiel exigé pour toute opération sensible sur la ligne ;
- limiter l’exposition de ses informations personnelles, en particulier sur les réseaux sociaux, car elles alimentent l’usurpation d’identité ;
- appliquer les réflexes face à l’hameçonnage et ne jamais transmettre références client ou copies de pièces d’identité en réponse à un message non sollicité ;
- en cas de détournement avéré, contacter sans attendre l’opérateur pour suspendre la ligne, prévenir sa banque et signaler les faits — les SMS préparatoires peuvent être transférés au 33700.
Côté établissements : réduire la valeur de la ligne mobile
Pour une banque, le numéro de mobile d’un client est à la fois un canal de contact et, souvent encore, un facteur d’authentification. Les lignes directrices du NIST sur l’identité numérique rangent les codes à usage unique transmis par SMS ou par appel vocal parmi les authentifiants « restreints » : leur usage reste admis, mais les organisations qui y recourent doivent en évaluer le risque, en informer leurs utilisateurs et proposer au moins une alternative. Le détournement de ligne figure parmi les menaces qui motivent ce classement.
Plusieurs alternatives réduisent la place du SMS dans les parcours d’authentification. Les méthodes d’authentification résistante au phishing, clés FIDO et passkeys en tête, lient la vérification à un appareil enrôlé sans passer par le canal téléphonique ; une confirmation donnée dans l’application bancaire, protégée par le déverrouillage de l’appareil — dont Touch ID et Face ID illustrent l’apport et les limites —, échappe elle aussi à l’interception des SMS.
Certains opérateurs proposent par ailleurs aux établissements des services de vérification indiquant si la carte SIM associée à un numéro a été changée récemment ; interroger ce signal avant un virement inhabituel, l’enrôlement d’un nouvel appareil ou une réinitialisation d’identifiants permet de soumettre l’opération à des contrôles renforcés plutôt que de la suspendre à un simple code SMS.
Un maillon dans des chaînes de fraude plus larges
Le détournement de ligne intervient rarement de manière isolée. En amont, la collecte passe par l’hameçonnage sous toutes ses formes, et le faux conseiller bancaire du vishing peut extorquer les derniers éléments manquants du dossier d’usurpation. En aval, la ligne captée sert à valider des virements, mais aussi à franchir des parcours d’entrée en relation à distance, où elle voisine avec l’usurpation faciale visant les processus KYC. Le panorama de l’évolution de la cybercriminalité en France replace ces fraudes fondées sur l’usurpation d’identité dans l’ensemble des menaces qui pèsent sur les particuliers comme sur les entreprises.
Questions fréquentes sur le SIM swap
Comment savoir si sa ligne mobile a été détournée ?
Une perte de service prolongée dans une zone habituellement bien desservie, persistant après redémarrage et sans incident annoncé par l’opérateur, constitue l’indice principal. S’y ajoutent des messages évoquant une carte SIM ou une portabilité jamais demandées, ou des identifiants soudain refusés sur des comptes en ligne. Composer son propre numéro depuis un autre poste permet de vérifier si la ligne aboutit encore sur son téléphone.
L’eSIM protège-t-elle contre le SIM swap ?
Pas entièrement : l’eSIM supprime l’envoi d’une carte physique, donc le risque d’interception de courrier, mais son activation à distance repose sur les mêmes vérifications d’identité auprès de l’opérateur. Un fraudeur muni d’un dossier d’usurpation convaincant peut faire activer une eSIM sur son propre appareil aussi vite qu’un duplicata classique, l’opération s’effectuant entièrement en ligne.
Que faire dans les premières heures après un détournement ?
Cybermalveillance.gouv.fr conseille de joindre l’opérateur au plus vite pour suspendre la ligne et récupérer son numéro, puis de prévenir sa banque afin de bloquer les opérations en cours. Le changement des mots de passe des services rattachés au numéro, la conservation des preuves et le dépôt de plainte complètent ces démarches, la fraude relevant de l’usurpation d’identité.
Pourquoi les banques utilisent-elles encore des codes par SMS ?
Le SMS fonctionne sur n’importe quel téléphone, sans application à installer ni clé à distribuer, ce qui en a fait un choix d’universalité lors de la généralisation de l’authentification forte. Les référentiels du NIST le classent pourtant parmi les authentifiants restreints, à accompagner d’alternatives ; la migration vers les confirmations applicatives et les passkeys progresse au rythme de l’équipement des clients.
