Le SIM swap ne force pas la serrure. Il convainc le serrurier.
Les entreprises verrouillent la porte d'entrée à coups de clés d'accès et de MFA, pendant que la récupération de compte repose toujours sur un numéro de téléphone qu'un conseiller de centre d'appels peut réattribuer sur un simple coup de fil bien mené. La serrure la plus onéreuse au monde ne sert à rien si le tailleur de clés travaille pour quelqu'un d'autre.
Le bien le plus précieux que vous possédiez est celui que vous n'avez jamais choisi, que vous ne pouvez pas renouveler et que vous ne contrôlez pas : votre numéro de mobile. Une attaque par SIM swap ne touche jamais votre mot de passe ni votre application d'authentification. Elle s'exerce sur un salarié de votre opérateur, convaincu de transférer votre numéro vers une carte SIM détenue par l'attaquant. À partir de cet instant, tout service qui considère « pouvoir recevoir un SMS à ce numéro » comme une preuve d'identité croit que l'attaquant, c'est vous et, du point de vue des systèmes de récupération, c'est désormais simplement vrai.
Suivez le mécanisme et la partie gênante devient évidente. Votre banque, votre messagerie et votre console cloud partent toutes du principe que l'attaquant se présente par la porte d'entrée, là où vivent les mots de passe et les invites MFA. Mais chacun de ces services entretient aussi une porte dérobée appelée récupération de compte, conçue pour le client qui a tout oublié. Par construction, la récupération doit contourner votre sécurité : c'est sa raison d'être. Et dans un nombre remarquable de systèmes, ce chemin de récupération se termine par un SMS.
Le véritable fondement de la confiance dans l'architecture de votre compte se révèle donc être un téléconseiller que vous n'avez jamais rencontré, en train d'authentifier un inconnu sous la pression du temps. Ce n'est pas une figure de style : cela a été testé. Des chercheurs de Princeton ont mené cinquante tentatives frauduleuses de SIM swap contre cinq opérateurs prépayés américains et ont constaté que les cinq reposaient sur au moins une procédure d'authentification qu'un attaquant pouvait déjouer, parfois avec des informations aussi triviales que les derniers numéros composés. Votre modèle de menace s'arrête à l'écran de connexion. Celui de l'attaquant commence juste derrière.
Comment fonctionne concrètement une attaque par SIM swap ?
Le mode opératoire est rudimentaire, ce qui est précisément le problème. Un attaquant réunit assez d'informations personnelles pour se faire passer pour vous : nom, adresse, le type de réponses que des années de fuites de données ont déjà mises en circulation. Il contacte votre opérateur en prétendant avoir perdu ou cassé son téléphone et demande le transfert du numéro vers une nouvelle carte SIM. Si son interlocuteur se laisse convaincre, votre téléphone perd le réseau et celui de l'attaquant s'allume.
Vient ensuite la réaction en chaîne. « Mot de passe oublié » sur votre messagerie, avec un code de réinitialisation envoyé par SMS. Une fois la messagerie tombée, tout ce qui en dépend tombe avec elle, car l'e-mail est la deuxième clé maîtresse et le numéro de téléphone l'ouvre. À aucun moment l'attaquant n'a franchi un dispositif de sécurité. Le système de récupération fait exactement ce pour quoi il a été conçu, simplement pas ce à quoi il était destiné.
Remarquez ce qui n'a jamais eu voix au chapitre : la robustesse de votre mot de passe, votre application d'authentification, votre toute nouvelle clé d'accès. Les organisations ont passé des années à durcir l'authentification en laissant intacte, en dessous, la couche de récupération, si bien que le contrôle le plus solide de la chaîne est rarement celui que l'attaquant doit réellement vaincre.
Le compromis que personne ne chiffre
Il y a une raison à cette situation, et ce n'est pas la bêtise. L'identité centralisée, adossée à la biométrie, a gagné parce que c'est ce que les gens achètent réellement. L'identité auto-souveraine, où vous détenez vos propres identifiants et où aucune entreprise ne peut les céder à votre place, est techniquement viable depuis des années et échoue toujours au même endroit : l'adoption. Entre la garde de leur propre identité et une reconnaissance faciale qui fonctionne du premier coup, les utilisateurs choisissent la reconnaissance faciale. Commodité et vulnérabilité sont la même décision de conception, vue sous deux angles.
Le numéro de téléphone est l'expression la plus pure de ce compromis. Il est court, universel, et quelqu'un d'autre l'a déjà vérifié pour vous, ce qui en fait un identifiant irrésistible. Il a donc accumulé, sans que personne ne le décide vraiment, des rôles successifs : coordonnée de contact, puis identifiant, puis second facteur, puis ancre de récupération. Chaque étape se justifiait isolément. La somme est une clé maîtresse confiée à un opérateur télécom dont le personnel du service client n'a jamais été destiné à devenir le gardien de votre accès professionnel.
Que font les régulateurs face à la fraude au SIM swap ?
Demandez à la Securities and Exchange Commission américaine. Le 9 janvier 2024, son compte X officiel a annoncé l'approbation des ETF bitcoin au comptant, un jour avant la véritable décision, et le cours du bitcoin a réagi à un message que la SEC n'avait jamais publié. Le compte-rendu de l'incident publié par la SEC elle-même a confirmé qu'une personne non autorisée avait pris le contrôle du numéro de téléphone associé au compte via un SIM swap effectué auprès de l'opérateur, et que l'authentification multifacteur du compte avait été désactivée des mois plus tôt, sans être rétablie avant la brèche. L'un des régulateurs les plus surveillés au monde a perdu un canal de communication capable de faire bouger les marchés, victime de la même attaque qui vide des comptes d'épargne ordinaires, et le point d'entrée était un numéro de téléphone.
Le cadre réglementaire commence à rattraper son retard, aux États-Unis en tout cas. En novembre 2023, la FCC a adopté des règles sur la fraude au SIM swap et au portage de numéro, imposant aux opérateurs mobiles américains d'authentifier solidement un client avant tout transfert de numéro vers une nouvelle carte SIM ou un nouvel opérateur, et de le prévenir immédiatement à chaque demande de ce type. Mesurez ce que cela implique : il a fallu qu'un régulateur fédéral ordonne aux opérateurs téléphoniques de vérifier l'identité de leur interlocuteur avant de céder un numéro. C'est dire la faiblesse du réglage par défaut.
La France n'a pas d'équivalent direct à ce jour. L'ARCEP encadre la portabilité du numéro sous l'angle de la concurrence, pour que le changement d'opérateur reste simple, et c'est précisément cette simplicité qu'exploite un attaquant du SIM swap. Le RGPD protège vos données personnelles, mais il ne dicte pas la procédure de vérification qu'un conseiller doit suivre avant de transférer une carte SIM. Tant que cela ne change pas, la difficulté à voler votre numéro dépend de l'opérateur auquel vous êtes abonné et des protections que vous avez explicitement demandées, ce qui en fait votre problème à gérer plutôt qu'un filet de sécurité acquis d'avance.
Comment déconnecter le numéro de téléphone de la récupération de compte ?
Traitez cela comme un audit, car c'en est un. Quelque part dans votre organisation existe une liste, aujourd'hui non écrite, de tous les systèmes où un numéro de téléphone permet de réinitialiser l'accès. Rédigez-la. Incluez les comptes les plus critiques et les moins audités : bureaux d'enregistrement de noms de domaine, DNS, facturation cloud, la messagerie personnelle du dirigeant qui sert encore d'adresse de récupération pour les comptes admin de l'entreprise. Personne n'a écrit cette liste parce que le travail n'a rien de gratifiant ; la faire émerger au grand jour est la moitié de l'intérêt d'une revue de stratégie technique.
Puis coupez le lien, en commençant par les risques les plus lourds. Remplacez les seconds facteurs par SMS par des solutions applicatives ou matérielles, et supprimez le repli SMS au lieu de vous contenter d'ajouter l'option la plus solide par-dessus : une porte dérobée ne cesse pas d'en être une parce que vous avez installé une meilleure porte d'entrée. Demandez à votre opérateur quelle protection contre le portage abusif il propose, et sous quel nom. Aux États-Unis, l'option gratuite Number Lock de Verizon, par exemple, bloque les portages et transferts de carte SIM tant que le titulaire du compte ne la désactive pas lui-même ; la plupart des opérateurs, Orange, SFR, Bouygues Telecom ou Free, proposent un dispositif comparable, et un opérateur incapable d'en nommer un vous apprend déjà quelque chose sur votre niveau de risque. Faites migrer la récupération des comptes à forte valeur vers des canaux qui ne passent plus du tout par un numéro.
Appliquez le même raisonnement partout où les identifiants se concentrent. À mesure que les organisations connectent des agents IA à leurs systèmes de production, elles créent à toute vitesse de nouvelles ancres d'identité, et la leçon du numéro de téléphone, c'est ce qui se passe quand un identifiant dérive au point de devenir, de fait, un identifiant de sécurité à part entière. C'est la même discipline que nous décrivons dans notre analyse sur la sécurisation des systèmes agentiques : savoir ce qui peut agir, savoir ce que cela peut atteindre, et savoir comment l'accès se récupère quand quelque chose tourne mal.
Rien de tout cela n'est exotique, et c'est précisément pour cette raison que ce travail n'est jamais fait. Votre sécurité vaut ce que vaut le chemin le moins coûteux pour revenir dans vos comptes, et aujourd'hui, ce chemin, c'est un simple appel téléphonique que vous n'entendrez jamais.
Questions fréquentes
La double authentification par SMS vaut-elle mieux que rien ?
Oui, face aux attaques opportunistes comme le bourrage d'identifiants, elle relève le niveau d'exigence. Mais elle fait aussi de votre opérateur mobile un maillon de votre périmètre de sécurité, et un attaquant emprunte toujours le chemin le plus faible qui lui est ouvert. Si le SMS reste disponible en solution de repli, considérez le compte comme protégé uniquement par SMS, quels que soient les facteurs plus solides ajoutés par ailleurs, car c'est ainsi qu'un attaquant le traitera.
Que faire si mon téléphone perd soudainement le réseau sans raison apparente ?
Traitez cela comme un incident en cours, pas comme un simple aléa réseau. Depuis un autre appareil, contactez votre opérateur au sujet d'un possible changement de carte SIM non autorisé, puis sécurisez d'abord votre messagerie principale : changez le mot de passe et révoquez les sessions actives avant de toucher à quoi que ce soit d'autre. La messagerie est le pivot dont dépendent tous vos autres comptes, et un attaquant en possession de votre numéro enchaînera les réinitialisations de mot de passe pendant que votre téléphone reste muet ; chaque minute passée à patienter au téléphone avec votre opérateur avant de sécuriser la messagerie est une minute perdue à surveiller la mauvaise porte.
Une entreprise peut-elle retirer entièrement le numéro de téléphone de la récupération de compte ?
Pour les comptes admin et à forte valeur, dans une large mesure oui : clés de sécurité matérielles, codes de secours hors ligne et procédures de secours documentées peuvent remplacer la récupération fondée sur un numéro. Certains services grand public exigent encore un numéro ; dans ce cas, réservez-y une ligne dédiée, jamais publiée ni utilisée pour des appels, et tenez un registre écrit précis des services qui y restent rattachés.
À lire aussi
- Sur Ubuntu 26.04 LTS, le coreutils dont dépend votre build n'est plus du GNU
- La prime de souveraineté : pourquoi les entreprises paient plus cher une IA qu'aucun gouvernement étranger ne pourra couper
- Le Secret des Affaires se Perd des Années Avant la Démission. Demandez au Poulet Faccenda.
- Security & Trust
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.