Votre téléphone affiche soudainement « Aucun service » alors que le réseau fonctionne normalement autour de vous ? Si la coupure persiste sans explication, il faut envisager un SIM swapping. Cette fraude consiste à faire transférer votre numéro vers une autre carte SIM ou eSIM contrôlée par un attaquant. Votre propre SIM cesse alors de fonctionner, tandis que le fraudeur peut recevoir les appels et SMS destinés à votre numéro.
Le danger vient surtout des comptes qui utilisent encore les SMS pour l’authentification ou la récupération d’accès. Un attaquant peut exploiter le numéro détourné pour recevoir un code à usage unique, réinitialiser un mot de passe et tenter de prendre le contrôle d’une messagerie, d’un réseau social, d’un compte financier ou d’un service lié aux cryptomonnaies.
Une perte brutale et inexpliquée du réseau doit donc entraîner une réaction rapide : contactez l’opérateur depuis un autre moyen de communication, faites vérifier toute modification récente de la SIM ou de l’eSIM et sécurisez immédiatement vos comptes les plus sensibles.
Qu’est-ce que le SIM swapping et comment fonctionne l’attaque ?
Le SIM swapping, parfois appelé échange frauduleux de carte SIM, ne consiste généralement pas à pirater directement le smartphone. L’objectif est de faire associer par l’opérateur le numéro de la victime à une nouvelle SIM ou eSIM contrôlée par le fraudeur.
L’attaquant peut commencer par rassembler des informations personnelles : nom, adresse, date de naissance, numéro de téléphone ou identifiants de compte. Ces données peuvent notamment provenir d’une fuite de données, d’un phishing, d’un smishing ou d’informations rendues publiques en ligne.
Il peut ensuite tenter de se faire passer pour le titulaire de la ligne auprès de l’opérateur en prétendant, par exemple, avoir perdu sa carte SIM ou devoir la remplacer. Une autre possibilité consiste à compromettre l’espace client de l’abonné pour exploiter les opérations de remplacement ou de transfert disponibles.
Des attaques peuvent également exploiter des faiblesses dans les procédures de vérification d’identité ou, dans certains cas, des accès internes compromis. La sécurité d’un échange de SIM ne repose donc pas uniquement sur le smartphone de la victime.
Une fois la nouvelle SIM activée, l’ancienne perd normalement l’accès au réseau mobile. Ce phénomène explique l’un des symptômes les plus caractéristiques : le téléphone de la victime perd brutalement son réseau tandis que le fraudeur contrôle désormais la ligne associée au numéro.
Comment savoir si sa carte SIM a été piratée ?
Une coupure de réseau n’est évidemment pas une preuve de SIM swapping. Une panne de l’opérateur, un problème matériel ou une carte SIM défectueuse peuvent produire des symptômes similaires. C’est surtout une coupure persistante et inexpliquée, éventuellement associée à d’autres événements inhabituels, qui doit vous alerter.
- Le téléphone affiche subitement « Aucun service », « Appels d’urgence uniquement » ou un message indiquant que la SIM n’est plus valide.
- La perte de réseau persiste alors que d’autres personnes utilisant le même opérateur captent normalement.
- Vous recevez un message concernant une nouvelle SIM, une eSIM ou une modification que vous n’avez pas demandée.
- Des alertes signalent des tentatives de connexion ou de réinitialisation sur votre messagerie, vos réseaux sociaux ou d’autres comptes.
- Vous découvrez des changements de mot de passe ou de coordonnées de récupération que vous n’avez pas effectués.
- Votre opérateur confirme qu’une nouvelle SIM ou eSIM a récemment été activée sur votre ligne.
Cybermalveillance.gouv.fr recommande justement d’alerter immédiatement son opérateur en cas de perte prolongée et inexpliquée de connexion afin de vérifier qu’un échange frauduleux de carte SIM n’a pas eu lieu.
Si votre réseau fonctionne normalement mais que vous observez plutôt des applications inconnues, une utilisation inexpliquée du microphone ou de la caméra, des connexions suspectes ou d’autres anomalies sur l’appareil, consultez plutôt notre guide pour savoir si votre téléphone est piraté. Il s’agit d’une problématique différente.
Que faire immédiatement en cas de SIM swapping ?
La priorité est double : reprendre le contrôle du numéro et empêcher le fraudeur d’utiliser celui-ci pour récupérer vos autres comptes. Si votre ligne ne fonctionne plus, utilisez un ordinateur connecté à Internet ou un autre téléphone considéré comme sûr.
1. Contactez immédiatement votre opérateur
Contactez l’opérateur depuis ses coordonnées officielles. Demandez-lui de vérifier si une nouvelle SIM ou eSIM a été activée, si un remplacement a été demandé ou si une autre opération concernant votre numéro vient d’être effectuée.
Si le détournement est confirmé, demandez le blocage de la SIM frauduleuse et la réattribution de votre ligne. Cette étape est prioritaire : tant que l’attaquant contrôle le numéro, il peut continuer à recevoir certaines communications qui vous sont destinées.
2. Sécurisez votre messagerie principale
Votre adresse e-mail est souvent le compte pivot permettant de réinitialiser les autres. Connectez-vous depuis un appareil de confiance et changez son mot de passe si une compromission est possible.
Contrôlez également :
- les appareils connectés ;
- les sessions actives ;
- les dernières connexions ou alertes de sécurité ;
- l’adresse et le numéro de récupération ;
- les méthodes d’authentification actuellement enregistrées.
Déconnectez toute session que vous ne reconnaissez pas. Si votre mot de passe a été compromis ou réutilisé sur plusieurs services, notre guide sur les actions à effectuer après une fuite de mot de passe détaille les comptes à sécuriser en priorité.
3. Sécurisez les autres comptes sensibles
Après la messagerie, contrôlez en priorité les comptes Apple, Google ou Microsoft, les gestionnaires de mots de passe, les réseaux sociaux et les services financiers ou liés aux cryptomonnaies que vous utilisez.
Changez les mots de passe lorsque cela est nécessaire et vérifiez qu’aucune méthode de récupération inconnue n’a été ajoutée.
4. Prévenez votre banque si nécessaire
Si votre numéro intervient dans la validation ou la récupération d’un service bancaire, prévenez rapidement votre banque. Signalez le détournement du numéro et vérifiez les dernières opérations ainsi que les appareils ou moyens d’authentification autorisés.
Les applications bancaires peuvent utiliser des mécanismes de validation différents du simple code SMS. Cela limite certains scénarios de SIM swapping, mais ne rend pas inutile la réaction d’urgence : le numéro détourné peut servir à compromettre d’autres comptes utilisés ensuite dans une fraude.
5. Conservez les preuves
Conservez les SMS et e-mails d’alerte, les notifications de changement de SIM, les captures d’écran, les heures approximatives de perte et de récupération du réseau ainsi que les échanges avec l’opérateur.
En cas d’utilisation frauduleuse de vos données ou de préjudice, ces éléments pourront être utiles pour vos démarches auprès de l’opérateur, de la banque ou des autorités.
Pourquoi la double authentification par SMS reste-t-elle vulnérable ?
La faiblesse fondamentale de la 2FA par SMS est simple : la réception du second facteur dépend du contrôle du numéro de téléphone. Si ce numéro est transféré à un fraudeur, les codes SMS peuvent arriver sur la ligne qu’il contrôle alors même que vous possédez toujours physiquement votre smartphone.
Toutes les formes d’authentification multifacteur ne présentent donc pas la même résistance au SIM swapping.
| Méthode | Résistance au SIM swapping | Limite principale |
|---|---|---|
| Code par SMS | Faible | Le code peut suivre le numéro détourné |
| Application TOTP | Élevée face au SIM swapping | Le code reste vulnérable au phishing |
| Clé de sécurité FIDO2 | Très élevée | Le service doit prendre en charge cette méthode |
| Passkey | Très élevée | La sécurité globale dépend aussi de la récupération du compte |
Une application TOTP telle que Google Authenticator ou Microsoft Authenticator constitue une amélioration importante contre le SIM swapping : le code est généré par l’authentificateur et n’est pas envoyé à votre numéro de téléphone.
Il faut néanmoins conserver une distinction essentielle : un code TOTP peut toujours être volé par phishing. Un faux site peut vous convaincre de saisir le code que vous venez de générer.
Les passkeys et les clés de sécurité utilisant les standards FIDO offrent une protection plus forte contre le phishing : l’authentification repose sur la cryptographie à clé publique et est liée au service auquel vous vous connectez.
Comment remplacer le SMS sur ses comptes sensibles ?
Commencez par votre messagerie principale, puis les comptes financiers, le gestionnaire de mots de passe, les comptes Apple, Google ou Microsoft, les réseaux sociaux et les services liés aux cryptomonnaies.
- Ouvrez les paramètres de sécurité du compte.
- Recherchez « authentification à deux facteurs », « validation en deux étapes », « passkey » ou « clé de sécurité ».
- Activez en priorité une passkey ou une clé FIDO lorsque le service la prend en charge.
- À défaut, configurez une application d’authentification TOTP.
- Enregistrez les éventuels codes de récupération dans un emplacement sûr.
- Vérifiez si le SMS reste enregistré comme méthode alternative ou de récupération.
- Lorsque le service le permet, retirez les méthodes moins robustes dont vous n’avez plus besoin, à condition de conserver une solution de récupération fiable.
Cette dernière étape est importante : ajouter une méthode d’authentification plus forte ne signifie pas nécessairement que le SMS est automatiquement supprimé. Un compte utilisant quotidiennement une passkey ou une application d’authentification peut parfois conserver une procédure de récupération reposant sur le numéro de téléphone.
Le code PIN de la carte SIM protège-t-il contre le SIM swapping ?
Non. Le code PIN de la SIM reste utile, mais il répond à un autre risque.
Il permet notamment d’empêcher une personne ayant physiquement récupéré votre carte SIM de l’utiliser immédiatement après son insertion dans un autre appareil ou après un redémarrage nécessitant le PIN.
Lors d’un SIM swapping classique, l’attaquant ne cherche pas à déverrouiller votre carte. Il cherche à obtenir l’activation de votre numéro sur une autre SIM ou eSIM.
Votre code PIN ne peut donc pas empêcher à lui seul une opération frauduleuse effectuée au niveau du compte opérateur. Les protections les plus pertinentes sont notamment un mot de passe unique pour l’espace client, une authentification renforcée lorsqu’elle est proposée et les éventuelles protections supplémentaires appliquées par l’opérateur aux opérations sensibles.
Un antivirus peut-il empêcher un SIM swapping ?
Non, pas directement. Un antivirus mobile n’est pas conçu pour empêcher un opérateur d’associer frauduleusement votre numéro à une autre SIM.
L’attaque peut réussir sans installer le moindre logiciel malveillant sur votre smartphone. C’est pourquoi une analyse antivirus normale peut ne détecter absolument rien alors que votre numéro a bien été détourné.
Une solution de sécurité reste utile contre d’autres vecteurs pouvant précéder une fraude, par exemple certains sites de phishing ou logiciels malveillants. Mais elle ne doit pas être présentée comme une protection contre le SIM swapping lui-même.
eSIM et SIM swapping : le risque a-t-il changé ?
L’eSIM supprime la nécessité de manipuler une carte physique, mais elle ne fait pas disparaître la problématique du détournement de ligne.
Le point critique devient notamment la sécurité des procédures numériques permettant de délivrer, transférer ou activer un profil eSIM. Un attaquant qui compromet l’espace client d’un opérateur ou réussit à contourner ses contrôles d’identité peut chercher à exploiter les fonctions disponibles sur le compte.
Il serait cependant trompeur d’en conclure qu’une eSIM est intrinsèquement plus dangereuse. Le niveau de risque dépend largement des procédures d’authentification, de récupération et de validation appliquées par l’opérateur.
Comment protéger sa ligne auprès de son opérateur ?
Les mécanismes disponibles diffèrent selon les opérateurs, les pays et parfois les offres. Vérifiez dans votre espace client ou auprès du service client s’il existe une protection supplémentaire concernant :
- le remplacement de la carte SIM ;
- l’activation ou le transfert d’une eSIM ;
- la modification des informations du compte ;
- la récupération de l’espace client ;
- la portabilité du numéro.
Sécurisez en priorité l’espace client de l’opérateur avec un mot de passe unique. Activez l’authentification multifacteur lorsqu’elle est proposée et vérifiez que les coordonnées de récupération sont toujours les vôtres.
Si votre opérateur permet d’ajouter un code confidentiel ou une validation supplémentaire aux opérations sensibles, cette protection peut également réduire le risque d’une modification non autorisée.
SIM swapping et port-out scam : quelle différence ?
Les deux fraudes visent à prendre le contrôle d’un numéro, mais leur mécanisme diffère.
Dans un SIM swapping, le fraudeur fait associer le numéro à une autre SIM ou eSIM. Dans un port-out scam, il cherche à faire transférer le numéro vers un autre opérateur en détournant le mécanisme de portabilité.
| Fraude | Principe |
|---|---|
| SIM swapping | Activation frauduleuse du numéro sur une autre SIM ou eSIM |
| Port-out scam | Portabilité frauduleuse du numéro vers un autre opérateur |
| Clonage de SIM | Reproduction ou exploitation des informations techniques d’une SIM selon un autre mécanisme |
En France, le RIO, ou Relevé d’Identité Opérateur, intervient dans la procédure de portabilité. Protéger les informations permettant de gérer sa ligne et son espace client reste donc important.
Le phishing peut-il conduire à un SIM swapping ?
Oui. Un fraudeur peut chercher à récupérer les informations nécessaires à l’usurpation d’identité ou à l’accès à l’espace client de l’opérateur au moyen d’un faux e-mail, d’un SMS frauduleux ou d’un faux site.
Si vous avez récemment communiqué des identifiants après avoir suivi un lien suspect, ne vous limitez pas à surveiller votre carte SIM. Consultez les actions à effectuer lorsque vous avez cliqué sur un lien de phishing et sécurisez les comptes concernés.
De la même manière, des informations personnelles issues d’une fuite de données peuvent faciliter certaines tentatives d’usurpation. Cybermalveillance.gouv.fr cite notamment le détournement de ligne mobile parmi les fraudes pouvant découler de données personnelles compromises.
Qui est responsable en cas de pertes financières ?
Il n’existe pas de réponse universelle. La responsabilité dépend des circonstances, des opérations frauduleuses réalisées, des obligations applicables aux différents acteurs et des mesures de sécurité effectivement mises en œuvre.
En cas de préjudice, demandez à l’opérateur de confirmer les opérations intervenues sur la ligne et conservez une chronologie aussi précise que possible des événements. Signalez parallèlement toute opération financière contestée à l’établissement concerné.
Si vos données personnelles ont été utilisées frauduleusement, conservez les preuves et envisagez un dépôt de plainte. Selon la situation, d’autres démarches peuvent également être possibles.
Évitez en revanche de partir du principe qu’un SIM swapping entraîne automatiquement une indemnisation par l’opérateur ou la banque : la situation doit être examinée au cas par cas.
La meilleure protection : ne plus faire du numéro de téléphone une clé de sécurité
La meilleure stratégie consiste à réduire progressivement la capacité d’un numéro détourné à ouvrir vos autres comptes.
Pour les services sensibles, privilégiez les passkeys et les clés de sécurité FIDO lorsqu’elles sont disponibles. Une application TOTP constitue une bonne alternative lorsqu’une authentification FIDO n’est pas proposée. Le SMS reste préférable à l’absence totale de second facteur lorsqu’aucune meilleure option n’est disponible, mais il est moins adapté à la protection d’un compte particulièrement sensible.
La même logique doit être appliquée aux mécanismes de récupération. Une authentification très robuste perd une partie de son intérêt si un attaquant peut contourner celle-ci avec une procédure « mot de passe oublié » reposant uniquement sur le numéro qu’il vient de détourner.
Le SIM swapping rappelle ainsi une règle importante : contrôler un numéro de téléphone ne constitue pas, à lui seul, une preuve d’identité suffisamment forte pour protéger les comptes numériques les plus sensibles.
FAQ sur le SIM swapping
Pourquoi mon téléphone affiche-t-il soudainement « Aucun service » ?
Une panne réseau ou un problème de SIM peut en être la cause. Mais si la coupure est brutale et persistante, particulièrement si d’autres téléphones utilisant le même opérateur fonctionnent normalement ou si vous recevez des alertes de sécurité, contactez votre opérateur pour vérifier qu’aucune nouvelle SIM ou eSIM n’a été activée à votre insu.
Comment savoir si ma carte SIM a été piratée ?
Une perte soudaine et persistante du réseau est un signal d’alerte important. Des notifications concernant une nouvelle SIM, des réinitialisations de mots de passe ou des connexions inconnues renforcent le soupçon. Votre opérateur peut confirmer si une opération de remplacement ou d’activation a été effectuée sur la ligne.
Le code PIN protège-t-il du SIM swapping ?
Non. Le PIN protège la carte SIM que vous possédez physiquement, mais il n’empêche pas à lui seul l’activation frauduleuse de votre numéro sur une autre SIM ou eSIM.
Google Authenticator ou Microsoft Authenticator protègent-ils du SIM swapping ?
Oui, contre ce mécanisme précis : les codes TOTP générés par une application d’authentification ne sont pas envoyés par SMS et ne suivent donc pas le numéro détourné. Ils peuvent toutefois être volés par phishing si vous les saisissez sur un faux site. Les passkeys et autres authentifications FIDO apportent une meilleure résistance au phishing.
Que faire si mon réseau mobile disparaît brutalement ?
Si la panne reste inexpliquée, contactez rapidement votre opérateur depuis un autre moyen de communication et faites vérifier les dernières opérations sur la ligne. Sécurisez ensuite votre messagerie et vos comptes sensibles et prévenez votre banque si un risque financier existe.
Une eSIM est-elle plus vulnérable au SIM swapping ?
Pas nécessairement. L’eSIM modifie surtout la manière dont une ligne est activée ou transférée. Le risque dépend notamment de la sécurité de l’espace client et des contrôles appliqués par l’opérateur avant une opération sensible.
