Attaques par SIM swap : comment les pirates détournent votre téléphone pour voler vos cryptos

Une attaque par SIM swap (échange de carte SIM) consiste pour un criminel à prendre le contrôle de votre numéro de mobile en obtenant de votre opérateur qu’il le transfère vers une carte SIM qu’il contrôle. Avec votre numéro, il reçoit vos codes de connexion par SMS et vos liens de réinitialisation de mot de passe, et peut s’introduire dans vos comptes de plateformes d’échange crypto, de messagerie et de réseaux sociaux en quelques minutes.

Les détenteurs de cryptos sont des cibles de choix, car les cryptos volées se déplacent vite et se récupèrent difficilement. Les personnes qui parlent publiquement de leurs avoirs sont particulièrement exposées. La bonne nouvelle, c’est que quelques changements dans la manière de sécuriser vos comptes rendent les SIM swaps bien moins dangereux.

Comment fonctionne une attaque par SIM swap

1. 1Repérage. L’attaquant rassemble des informations personnelles — nom, adresse, date de naissance, numéro de téléphone — issues de fuites de données, des réseaux sociaux ou d’opérations de phishing.
2. 2Prise de contrôle chez l’opérateur. Il contacte votre opérateur mobile en se faisant passer pour vous, prétend avoir perdu ou cassé son téléphone et demande une nouvelle SIM. Certaines attaques impliquent des employés corrompus ou des comptes de l’opérateur compromis.
3. 3Transfert du numéro. Votre numéro passe sur sa SIM. Votre téléphone perd le réseau.
4. 4Réinitialisation des comptes. Il demande la réinitialisation des mots de passe de vos comptes de messagerie et de plateformes d’échange, reçoit les codes par SMS et se connecte.
5. 5Vol. Il modifie vos paramètres de sécurité, retire les cryptos vers ses propres portefeuilles et publie parfois des arnaques depuis vos comptes de réseaux sociaux.

L’ensemble du processus peut prendre moins d’une heure. Des comptes très en vue ont aussi été touchés : en janvier 2024, la Securities and Exchange Commission, le gendarme boursier américain, a indiqué qu’une partie non autorisée avait pris le contrôle du numéro de téléphone associé à son compte X lors de ce qui semblait être un SIM swap, puis s’était servie du compte pour publier une fausse annonce.

Ce que les attaquants peuvent et ne peuvent pas faire

C’est pourquoi la principale défense consiste à faire en sorte que votre numéro de téléphone ne soit plus la clé de vos comptes.

Signes d’alerte indiquant que vous pourriez être victime

• Votre téléphone affiche soudain aucun service ou le mode appels d’urgence uniquement, alors que le Wi-Fi fonctionne toujours.
• Vous recevez des SMS ou e-mails inattendus concernant des changements de SIM, des demandes de portabilité ou des réinitialisations de mot de passe.
• Vous êtes déconnecté de vos comptes ou applications sans explication.
• Des amis vous disent avoir reçu des messages étranges de votre part.

Si vous constatez ces signes, agissez immédiatement : chaque minute compte.

Comment vous protéger des SIM swaps

Corrigez votre authentification à deux facteurs

1. 1Passez du SMS à une application d’authentification ou à une clé de sécurité physique sur les plateformes d’échange, la messagerie et tout compte lié à de l’argent. Notre guide sur l’authentification à deux facteurs pour les comptes crypto compare les options.
2. 2Supprimez votre numéro de téléphone comme méthode de récupération partout où le service le permet.
3. 3Conservez vos codes de secours hors ligne, pas dans votre messagerie.

Renforcez votre compte mobile

• Demandez à votre opérateur un code PIN de portabilité, un code PIN de compte ou un verrouillage de SIM. Les noms et les options varient selon l’opérateur et le pays.
• Utilisez un mot de passe unique et robuste pour votre espace client en ligne chez l’opérateur.
• Demandez si l’opérateur propose une vérification supplémentaire pour les changements de SIM.

Réduisez votre exposition

• Ne dites pas publiquement combien de cryptos vous détenez.
• Utilisez un numéro de téléphone ou une adresse e-mail distincts et privés pour vos comptes financiers si c’est faisable.
• Verrouillez les profils de réseaux sociaux qui révèlent votre date d’anniversaire, votre adresse ou votre numéro de téléphone.

Gardez vos avoirs à long terme en auto-conservation

Les fonds placés sur une plateforme d’échange ne sont pas plus sûrs que votre identifiant sur cette plateforme. L’épargne à long terme conservée dans un portefeuille matériel n’est pas accessible via votre numéro de téléphone. Consultez comment sécuriser votre compte sur une plateforme d’échange pour les réglages propres aux plateformes.

Idées reçues sur le SIM swap

• « Mon opérateur ne se ferait jamais avoir. » Les attaquants utilisent des données personnelles volées, l’ingénierie sociale et parfois des complices internes. Les opérateurs ont renforcé leurs protections, mais aucun système n’est parfait.
• « Je ne suis pas assez connu pour être ciblé. » De nombreuses victimes sont des personnes ordinaires dont le numéro de téléphone est apparu dans une fuite de données ou sur un forum consacré aux cryptos.
• « J’utilise la 2FA, donc je suis protégé. » Si cette 2FA repose sur le SMS, un SIM swap la neutralise.
• « Un mot de passe solide suffit. » Les réinitialisations de mot de passe par SMS contournent même le mot de passe le plus solide.

Que faire si vous êtes victime d’un SIM swap

1. 1Appelez votre opérateur depuis un autre téléphone et signalez la fraude. Demandez-lui de rétablir votre numéro et de verrouiller le compte.
2. 2Sécurisez d’abord votre messagerie, puisqu’elle contrôle les réinitialisations de mot de passe ailleurs. Changez les mots de passe et déconnectez les autres sessions.
3. 3Contactez vos plateformes d’échange pour geler les comptes et les retraits.
4. 4Changez les mots de passe et la 2FA de tous vos comptes financiers.
5. 5Prévenez vos contacts que les messages provenant de votre numéro ou de vos réseaux sociaux peuvent être frauduleux.
6. 6Signalez l’infraction à la police et à toute autorité compétente en matière de cybercriminalité, et conservez des traces. Notre guide sur que faire si votre portefeuille est compromis détaille les étapes associées.

Méfiez-vous de toute personne qui vous contacte ensuite en proposant de récupérer vos cryptos moyennant des frais : c’est une arnaque de suivi courante. Une fois vos comptes de nouveau sécurisés, revoyez chaque paramètre de sécurité modifié dans l’urgence et notez les méthodes de récupération qu’utilise désormais chaque compte, afin de ne pas être pris au dépourvu la prochaine fois.

En résumé

Les attaques par SIM swap exploitent le fait que de nombreux comptes considèrent votre numéro de téléphone comme une preuve d’identité. Supprimez cette faiblesse : passez du SMS à une application d’authentification ou à une clé de sécurité, verrouillez votre compte chez l’opérateur, limitez ce que vous partagez publiquement et conservez votre épargne en auto-conservation. Un numéro détourné devient alors un simple désagrément plutôt qu’une catastrophe. Pour d’autres moyens de défense, parcourez nos guides de sécurité.