Il est 14 h 12, vous êtes dans le métro. Votre téléphone affiche « Aucun service ». Ce n'est pas la première fois, la ligne 4 est capricieuse. Vous remontez à l'air libre : toujours rien. Vous redémarrez l'appareil, vous retirez la carte SIM, vous soufflez dessus comme sur une cartouche de console. Rien.
Pendant ce temps, à trente kilomètres de là, quelqu'un reçoit vos SMS. Y compris celui de votre banque qui contient le code de validation d'un virement de 4 800 euros.
Le SIM swap — littéralement « échange de carte SIM » — est l'une des rares attaques mobiles où le pirate ne touche jamais votre téléphone. Il n'installe aucun logiciel espion, ne vous envoie pas de lien piégé au moment de l'attaque, ne devine pas votre code de déverrouillage. Il fait bien plus simple : il demande poliment à votre opérateur de basculer votre numéro sur une carte qu'il détient. Et il l'obtient.
Votre numéro est devenu une clé, pas une adresse
Pendant vingt ans, un numéro de téléphone n'a servi qu'à une chose : être joignable. Aujourd'hui, il est devenu le trousseau maître de votre vie numérique.
Réfléchissez à ce qui transite par SMS ou par appel sur votre ligne :
- les codes de validation de virement de votre banque ;
- les codes de récupération de compte Google, Apple, Microsoft, Facebook, Instagram ;
- les confirmations de connexion à votre espace impôts, à votre assurance, à votre mutuelle ;
- les liens de réinitialisation de mot de passe de la moitié des services que vous utilisez.
Un attaquant qui contrôle votre numéro ne vole pas un contact : il vole la procédure de secours de tous vos comptes. C'est la raison pour laquelle le SIM swap reste, malgré son ancienneté, l'une des attaques les plus rentables du paysage de la fraude mobile. Cybermalveillance.gouv.fr et l'ANSSI classent d'ailleurs le détournement de ligne mobile parmi les vecteurs de compromission d'identité les plus destructeurs pour les particuliers, précisément parce qu'il donne accès à tout le reste en une seule opération.
Comment un escroc obtient votre ligne en trois étapes
Étape 1 : la collecte préalable
Le SIM swap ne commence jamais par l'opérateur. Il commence par vous, ou plutôt par vos données publiques et fuitées. L'attaquant assemble un dossier : nom, prénom, date de naissance, adresse postale, numéro de téléphone, parfois les quatre derniers chiffres d'une carte bancaire ou un numéro de client.
Ces informations proviennent de trois sources principales :
- les fuites de données massives chez des opérateurs, des transporteurs ou des sites marchands — la France en a connu plusieurs vagues retentissantes depuis 2024 ;
- les réseaux sociaux, où l'on publie sans y penser une date de naissance, une ville, un nom de jeune fille de la mère, un nom d'animal ;
- le smishing préparatoire, un faux SMS d'opérateur ou de service de livraison qui sert uniquement à compléter les cases manquantes du dossier.
Ce travail préparatoire est invisible. C'est ce qui rend le SIM swap si déroutant : la victime ne se souvient d'aucun clic malheureux, parce qu'il n'y en a pas eu au moment décisif.
Étape 2 : la demande de duplicata
Armé de ce dossier, l'attaquant contacte l'opérateur — en boutique, par téléphone ou via l'espace client si le mot de passe a également fuité. Le prétexte est banal, universel, jamais suspect :
« Bonjour, on m'a volé mon téléphone hier soir dans le RER. J'ai déjà racheté un appareil, il me faudrait une nouvelle SIM avec mon numéro. »
Il n'y a rien d'anormal dans cette demande. Des milliers de clients honnêtes la formulent chaque jour. Le conseiller pose des questions de vérification — que l'attaquant a préparées. Le duplicata est émis, ou l'eSIM est envoyée par courriel sous forme de QR code à scanner.
Étape 3 : la bascule
À la seconde où la nouvelle carte est activée, la vôtre est désactivée. C'est une règle technique incontournable : un numéro ne peut être rattaché qu'à une seule SIM active. Votre téléphone perd le réseau. Les appels et les SMS destinés à votre ligne arrivent désormais chez l'attaquant.
La fenêtre d'exploitation est courte — souvent moins d'une heure — mais elle suffit largement. Réinitialisation du mot de passe de la messagerie, puis de la banque, puis validation des virements avec les codes qui arrivent maintenant sur son écran.
L'eSIM a changé la géographie de l'attaque
Jusqu'à récemment, le SIM swap avait une contrainte physique : il fallait récupérer une carte en plastique, donc se déplacer en boutique ou attendre un courrier. Cette friction protégeait un peu.
L'eSIM a supprimé cette friction. Une carte SIM dématérialisée s'active à distance, en quelques minutes, avec un simple QR code reçu par courriel. Pour l'utilisateur légitime, c'est un progrès réel : plus de délai, plus de découpe de carte, changement d'appareil instantané. Pour l'attaquant, c'est un raccourci.
Les opérateurs français ont réagi en durcissant les procédures : envoi d'un code de confirmation sur la ligne existante, délai de carence de 24 à 72 heures avant activation, notification systématique par courriel. Ces garde-fous fonctionnent — à condition que vous lisiez les notifications. Un courriel « Votre demande d'eSIM a bien été prise en compte » que vous n'avez pas demandé est le signal d'alarme le plus important de tout cet article.
Si vous recevez un SMS ou un courriel confirmant une demande de duplicata SIM que vous n'avez pas initiée : appelez immédiatement votre opérateur depuis un autre téléphone. Vous avez peut-être quelques heures d'avance sur l'attaquant.
Les signaux qui doivent vous alerter
Le SIM swap est bruyant, contrairement à un logiciel espion. Il produit des symptômes très reconnaissables, à condition de ne pas les attribuer à un simple bug.
| Signal observé | Interprétation naïve | Interprétation à retenir |
|---|---|---|
| Perte totale de réseau sans raison | « Panne opérateur » | Ligne potentiellement désactivée |
| SMS d'un service que vous n'avez pas sollicité | « Spam » | Tentative de réinitialisation en cours |
| Courriel « votre eSIM est prête » | « Erreur de l'opérateur » | Demande frauduleuse en cours |
| Proches disant qu'ils n'arrivent plus à vous joindre | « Problème de réseau » | Vos appels sont détournés |
| Déconnexion soudaine de vos comptes | « Bug de l'application » | Prise de contrôle en cours |
Le réflexe salvateur tient en une phrase : une perte de réseau isolée, alors que les personnes autour de vous captent normalement, n'est jamais banale. Demandez à un voisin dans le train, regardez le téléphone d'un collègue. Si tout le monde capte sauf vous, ce n'est pas le réseau, c'est votre ligne.
Verrouiller sa ligne avant l'attaque : les six mesures utiles
1. Activez le code PIN de la carte SIM
C'est la mesure la plus élémentaire et la plus négligée. Beaucoup d'utilisateurs désactivent le code PIN pour gagner trois secondes au démarrage. Ce code ne protège pas contre le SIM swap lui-même, mais il empêche l'exploitation immédiate d'une SIM physique volée avec le téléphone — un scénario fréquent. Changez surtout le code par défaut (0000, 1234) fourni par l'opérateur.
2. Sortez le SMS de votre authentification bancaire et de vos comptes critiques
C'est la parade structurelle. Tant que le SMS reste votre second facteur, votre sécurité repose sur un conseiller téléphonique que vous ne connaissez pas. Privilégiez :
- l'application de votre banque avec validation par empreinte ou reconnaissance faciale (le dispositif « Sécur'Pass » ou équivalent selon les établissements) ;
- une application d'authentification générant des codes hors ligne pour vos comptes Google, Microsoft ou vos réseaux sociaux ;
- une clé de sécurité physique USB-C ou NFC pour les comptes vraiment sensibles : c'est le seul facteur qu'un attaquant à distance ne peut pas intercepter, quel que soit le contrôle qu'il a sur votre numéro.
3. Demandez un verrouillage de ligne à votre opérateur
Orange, SFR, Bouygues Telecom et Free proposent tous, sous des appellations différentes, des mécanismes de protection : mot de passe supplémentaire sur le compte, question secrète, blocage des demandes de duplicata à distance, obligation de se présenter en boutique avec une pièce d'identité. Ces options ne sont presque jamais actives par défaut. Un appel de dix minutes au service client suffit à les mettre en place — c'est le meilleur retour sur temps investi de tout cet article.
4. Nettoyez ce que votre numéro raconte de vous
Chaque formulaire de fidélité, chaque jeu-concours, chaque inscription à une newsletter augmente la surface d'attaque. Vérifiez régulièrement si votre adresse et votre numéro apparaissent dans des fuites connues via le service Have I Been Pwned, et exercez votre droit à l'effacement auprès des sites concernés — la CNIL détaille la procédure et les recours en cas de refus.
Sur le même principe, réservez votre numéro principal aux usages sérieux. Pour un site marchand consulté une fois, une petite annonce ou une inscription ponctuelle, une carte SIM prépayée sans engagement dédiée aux formulaires évite de disséminer la ligne rattachée à votre banque.
5. Sécurisez le maillon d'à côté : votre adresse e-mail
Le SIM swap ne fonctionne pleinement que combiné à un accès à votre messagerie. Une adresse protégée par un mot de passe unique, long, stocké dans un gestionnaire de mots de passe, ferme la moitié du scénario d'attaque. Si vous préférez le papier, un carnet de mots de passe sécurisé rangé chez vous reste infiniment plus sûr qu'un fichier « codes.txt » sur le bureau.
6. Prévoyez un plan B matériel
En cas de perte de ligne, vous devrez appeler votre opérateur et votre banque sans utiliser votre numéro. Beaucoup de foyers n'ont plus aucune alternative. Garder un téléphone mobile basique de secours, chargé, avec une SIM prépayée d'un autre opérateur, transforme une situation de panique en simple contretemps. C'est aussi ce qui vous permettra d'appeler les urgences si votre appareil principal est hors service.
Que faire dans l'heure qui suit
Si vous constatez une perte de ligne suspecte, l'ordre des opérations compte plus que la vitesse.
- Appelez votre opérateur depuis un autre téléphone. Signalez une suspicion de duplicata frauduleux et demandez la suspension immédiate de la ligne. C'est l'action qui coupe l'accès de l'attaquant.
- Appelez votre banque — numéro d'opposition figurant au dos de votre carte, pas un numéro trouvé dans un SMS. Faites bloquer les virements et signalez la compromission de votre second facteur.
- Changez le mot de passe de votre messagerie principale depuis un ordinateur, et vérifiez les règles de redirection automatique : les attaquants en créent souvent pour continuer à intercepter les messages après coup.
- Déconnectez toutes les sessions actives sur vos comptes Google, Apple, Microsoft et réseaux sociaux.
- Déposez plainte en commissariat ou en gendarmerie. Pour une fraude bancaire, la plainte conditionne l'application de l'article L133-18 du Code monétaire et financier, qui prévoit le remboursement des opérations non autorisées.
- Signalez le SMS ou le message frauduleux au 33700 s'il en existe un dans l'enchaînement, et déclarez l'incident sur Cybermalveillance.gouv.fr pour obtenir un accompagnement.
Le remboursement n'est pas automatique — mais il est possible
C'est le point qui inquiète le plus les victimes. La règle de principe est favorable au client : une opération de paiement non autorisée doit être remboursée par la banque, sauf négligence grave de la part du titulaire.
Tout se joue donc sur cette notion de « négligence grave ». La Cour de cassation a rendu plusieurs décisions importantes rappelant que la seule circonstance d'avoir communiqué un code reçu par SMS ne suffit pas, à elle seule, à caractériser une négligence grave lorsque la victime a été trompée par un dispositif crédible. Dans le cas d'un SIM swap, l'argument est encore plus fort : vous n'avez rien communiqué du tout, l'attaquant a obtenu les codes directement.
Conservez donc tout : captures d'écran de la perte de réseau, courriels de l'opérateur, historique des appels au service client, récépissé de plainte. En cas de refus, saisissez le médiateur bancaire, puis la Banque de France si nécessaire.
Ce que cette arnaque nous apprend
Le SIM swap ne dit pas grand-chose de votre prudence individuelle. Il dit surtout que nous avons transformé une infrastructure conçue pour la conversation — le réseau téléphonique — en socle d'identité pour toute la vie numérique.
Tant que ce socle sera administrable par un conseiller au bout d'un fil, sur la base d'informations qui circulent déjà dans des fichiers volés, il restera attaquable. La bonne nouvelle, c'est que la parade est entièrement entre vos mains : chaque compte que vous détachez du SMS est un compte que le SIM swap ne peut plus atteindre.
Commencez par le plus important — votre messagerie et votre banque — et faites-le cette semaine, pas « un jour ». Il faut vingt minutes. Le vol, lui, en prend cinq.
