Le SIM swapping consiste à faire transférer votre numéro de téléphone sur la carte SIM d'un escroc. Une fois qu'il le détient, il reçoit vos codes de validation par SMS, réinitialise vos mots de passe et vide vos comptes. Vous ne remarquez qu'une chose : votre téléphone n'a plus de réseau.
Comment se déroule une attaque
1. La collecte. L'attaquant rassemble ce qu'il faut pour se faire passer pour vous : nom, date de naissance, adresse, numéro de téléphone, parfois les quatre derniers chiffres d'une carte. Rien de sophistiqué. Ces informations traînent dans les fuites de données, sur les réseaux sociaux, ou s'obtiennent par un simple hameçonnage.
2. L'appel à l'opérateur. Il contacte le service client en se présentant comme vous, avec un prétexte crédible : téléphone volé, carte SIM défectueuse, passage à un nouvel appareil. Il fournit les informations collectées, qui suffisent souvent à passer la vérification d'identité.
3. Le transfert. L'opérateur bascule votre numéro sur une carte SIM que l'attaquant détient, ou sur une eSIM qu'il active à distance. Votre carte à vous cesse instantanément de fonctionner.
4. La prise de contrôle. Il enchaîne les réinitialisations de mots de passe. Chaque service qui envoie un code par SMS le lui envoie désormais à lui. Boîte mail d'abord, puis tout ce qui s'y rattache, y compris les comptes de plateformes d'échange.
L'opération complète prend souvent moins d'une heure, et elle a lieu de préférence la nuit ou le week-end, quand vous mettrez plus longtemps à réagir.
Pourquoi les détenteurs de crypto sont visés en priorité
Trois raisons qui se cumulent, et qui expliquent que le phénomène soit sur-représenté dans ce milieu.
Les transferts sont irréversibles. Un virement bancaire frauduleux peut être bloqué, contesté, parfois annulé. Une transaction sur blockchain ne revient jamais. L'attaquant sait qu'une fois les fonds partis, l'affaire est close.
Les cibles sont identifiables. Beaucoup de gens exposent publiquement leur intérêt pour la crypto, sur les réseaux sociaux ou dans des groupes de discussion. Se vanter d'une plus-value revient à se désigner.
Les fuites de données des plateformes. Plusieurs incidents ont exposé des listes de clients avec noms, adresses et numéros de téléphone. Ces fichiers circulent et constituent des listes de cibles qualifiées : des gens dont on sait qu'ils détiennent des cryptomonnaies et dont on a déjà les informations nécessaires à l'usurpation.
La leçon principale : abandonner le SMS
Tout l'édifice de l'attaque repose sur un seul point : le fait que des services acceptent d'envoyer un code de sécurité par SMS. Supprimez ce maillon, l'attaque perd l'essentiel de son intérêt.
| Méthode | Résiste au SIM swap ? | Commentaire |
|---|---|---|
| Code par SMS | Non | À remplacer partout où c'est possible |
| Application d'authentification | Oui | Les codes sont générés sur l'appareil, sans réseau |
| Clé de sécurité physique | Oui | Le plus robuste, y compris contre l'hameçonnage |
| Validation par e-mail | Partiellement | Inutile si la boîte mail est elle-même protégée par SMS |
Une précision qui a son importance : basculer vers une application d'authentification ne sert à rien si vous laissez le SMS actif comme méthode de secours. Beaucoup de services conservent cette option en arrière-plan, et c'est précisément celle que l'attaquant utilisera. Il faut la désactiver explicitement, pas seulement ajouter une méthode plus sûre par-dessus.
Attention aussi à un piège fréquent : sauvegarder les codes de récupération de son application d'authentification dans une boîte mail elle-même protégée par SMS. La chaîne ne vaut que ce que vaut son maillon le plus faible.
Les autres protections
Verrouillez votre ligne chez l'opérateur. La plupart proposent, sur demande, un code confidentiel ou une interdiction de portabilité qui bloque tout changement de SIM sans une vérification renforcée. Ce n'est presque jamais activé par défaut et rarement mis en avant. Un appel au service client suffit.
Cloisonnez vos identifiants. Utilisez une adresse e-mail dédiée à vos comptes crypto, différente de celle que vous donnez partout ailleurs, et un mot de passe unique par service.
Réduisez votre exposition. Ne publiez pas vos montants, ne détaillez pas vos positions dans des groupes publics, ne laissez pas votre numéro de téléphone associé à un pseudonyme identifiable.
Sortez vos fonds des plateformes. C'est la protection la plus radicale : un SIM swap donne accès à des comptes en ligne, pas à un portefeuille froid dont la clé est chez vous. Ce qui n'est pas sur une plateforme n'est pas accessible par cette voie.
Que faire si ça arrive
Le seul signe précoce est brutal : votre téléphone perd le réseau sans raison. Pas de 4G, pas d'appels, alors que le wifi fonctionne. Si cela survient sans explication, considérez l'hypothèse immédiatement, ce sont des minutes qui comptent.
Appelez votre opérateur depuis un autre téléphone. Signalez le transfert frauduleux et demandez le blocage immédiat de la ligne.
Changez les mots de passe critiques depuis un autre appareil, en commençant par votre boîte mail, puis les plateformes d'échange.
Retirez vos fonds des plateformes accessibles vers un portefeuille dont vous seul détenez les clés.
Portez plainte et signalez. Conservez tout : horaires, captures, identifiants de transaction. L'usurpation d'identité et l'escroquerie sont punies par la loi française, et la responsabilité de l'opérateur peut être engagée s'il a transféré la ligne sans vérification suffisante. C'est une différence notable avec la plupart des arnaques crypto, où il n'existe aucun tiers à qui demander des comptes.
Une chose à ne jamais faire : répondre à quelqu'un qui vous contacte ensuite en proposant de récupérer les fonds. Les victimes sont systématiquement ciblées par une seconde vague, et ces offres sont sans exception des arnaques.
SIM swapping : les questions fréquentes
C'est quoi le SIM swapping ?
C'est une attaque qui consiste à faire transférer le numéro de téléphone d'une victime sur une carte SIM contrôlée par l'escroc. Celui-ci contacte l'opérateur en se faisant passer pour elle, avec des informations personnelles collectées au préalable, et invoque un vol ou une panne. Une fois le numéro récupéré, il reçoit les codes de validation envoyés par SMS et réinitialise les mots de passe des comptes de la victime.
Comment savoir si je suis victime d'un SIM swap ?
Le signe est immédiat et sans ambiguïté : votre téléphone perd tout accès au réseau mobile, plus d'appels ni de données cellulaires, alors que le wifi continue de fonctionner. Cette perte de réseau survient sans raison technique apparente. Si elle se produit et que vous détenez des cryptomonnaies, traitez-la comme une attaque en cours plutôt que comme une panne.
Comment se protéger du SIM swapping ?
La mesure décisive est de supprimer le SMS comme méthode de validation partout où c'est possible, au profit d'une application d'authentification ou d'une clé de sécurité physique. Il faut aussi désactiver explicitement le SMS comme méthode de secours, que beaucoup de services conservent en arrière-plan. En complément, demandez à votre opérateur de verrouiller la portabilité de votre ligne et évitez d'exposer publiquement votre détention de cryptomonnaies.
Pourquoi les détenteurs de crypto sont-ils ciblés ?
Parce que les transactions sur blockchain sont irréversibles : contrairement à un virement bancaire, il n'existe aucune procédure d'annulation une fois les fonds partis. S'y ajoutent l'exposition publique de beaucoup d'utilisateurs sur les réseaux sociaux et les fuites de données de plateformes d'échange, qui fournissent aux attaquants des listes de cibles avec noms, adresses et numéros de téléphone.
L'application d'authentification suffit-elle ?
Elle protège du SIM swap puisque les codes sont générés sur l'appareil sans passer par le réseau mobile, mais à deux conditions. Le SMS ne doit plus être actif comme méthode de secours sur le compte, sinon l'attaquant l'utilisera. Et les codes de récupération de l'application ne doivent pas être stockés dans une boîte mail elle-même protégée par SMS, ce qui reconstituerait la faille.
Que faire immédiatement après un SIM swap ?
Appelez votre opérateur depuis un autre téléphone pour signaler le transfert frauduleux et faire bloquer la ligne. Changez ensuite les mots de passe critiques depuis un autre appareil, en commençant par la boîte mail puis les plateformes d'échange. Retirez les fonds encore accessibles vers un portefeuille dont vous détenez les clés. Conservez toutes les preuves et portez plainte.
L'opérateur est-il responsable ?
Sa responsabilité peut être engagée s'il a procédé au transfert sans vérification d'identité suffisante, ce qui est fréquemment le cas dans ces attaques. C'est une différence importante avec la plupart des fraudes en cryptomonnaies : il existe ici un tiers identifiable à qui demander des comptes. Conservez pour cela l'horodatage précis de la perte de réseau et l'ensemble des échanges avec le service client.
Un portefeuille matériel protège-t-il du SIM swapping ?
Oui, et c'est la protection la plus radicale. Un SIM swap donne accès à des comptes en ligne protégés par des codes SMS, pas à une clé privée conservée hors ligne sur un appareil physique. Les fonds détenus en conservation personnelle restent hors de portée de ce type d'attaque, contrairement à ceux laissés sur une plateforme d'échange.
