Et si le petit code à six chiffres qui protège votre compte en banque était en réalité la porte d’entrée la plus fragile de tout votre patrimoine numérique ? Nous avons tous été conditionnés à faire confiance à ce SMS providentiel qui arrive au moment du paiement en ligne ou de la connexion à notre espace client. Il nous rassure, il nous donne l’impression d’être bien gardés, comme un digicode devant l’immeuble. Pourtant, des travaux récents dans le domaine de la sécurité informatique viennent de confirmer ce que certains spécialistes murmuraient depuis longtemps : ce fameux code peut être intercepté sans que le pirate ne touche jamais à votre téléphone. Le maillon faible n’est pas votre appareil, ni même votre mot de passe. C’est le SMS lui-même, et l’infrastructure vieillissante sur laquelle il repose. Attachez votre ceinture, on plonge dans les coulisses d’une des arnaques les plus redoutables de notre époque.

Le SMS que vous croyiez sécurisé transite par une faille vieille de trente ans

Imaginez que le réseau qui achemine vos SMS soit comparable à un vieux système postal conçu à une époque où les facteurs se connaissaient tous et où personne ne songeait à tricher. C’est précisément le cas du protocole SS7, une tuyauterie technique qui date des années 1980 et qui relie entre eux les opérateurs téléphoniques du monde entier. À sa naissance, la confiance était le principe fondateur : chaque opérateur était supposé être un acteur honnête. Le problème, c’est que ce vieux système n’a jamais vraiment été blindé contre les intrus modernes.

Résultat : un attaquant qui parvient à accéder à cette infrastructure peut intercepter et rediriger vos messages sans même toucher à votre carte SIM. Votre téléphone reste dans votre poche, l’écran ne montre rien d’anormal, et pourtant le code censé verrouiller votre compte file directement vers un inconnu. C’est ce type de vulnérabilité qui a été démontré : une attaque capable de capter les codes d’authentification envoyés par SMS, ce fameux 2FA que l’on croyait infaillible.

Le SIM swap : comment un pirate devient vous en un coup de fil

Il existe une autre méthode, encore plus sournoise dans sa simplicité, appelée le SIM swap, ou détournement de carte SIM. Le principe ? Un fraudeur convainc votre opérateur mobile de transférer votre numéro de téléphone vers une carte SIM qu’il contrôle. Aucun besoin de vous voler physiquement votre appareil : tout se joue dans les bureaux de l’opérateur, à distance, par un simple échange téléphonique ou en ligne.

Comment y parvient-il ? En jouant les caméléons. Le pirate rassemble d’abord un maximum d’informations sur vous : bribes glanées sur les réseaux sociaux, données récupérées via des campagnes de phishing, ou renseignements achetés sur le dark web. Une fois son dossier suffisamment étoffé, il appelle l’opérateur en se faisant passer pour vous, invoque un téléphone perdu ou une carte défectueuse, et demande une nouvelle SIM. Dès que le transfert est effectif, tous vos SMS, y compris vos codes bancaires, arrivent chez lui. Il peut alors réinitialiser vos mots de passe et se promener dans vos comptes comme s’il était chez lui.

Ce que les banques ne vous disent pas sur le « code de sécurité »

Le SMS de vérification a longtemps été présenté comme la parade ultime. Or il souffre d’une faiblesse structurelle : il dépend entièrement du réseau téléphonique, et donc de ses failles. Les chiffres témoignent de l’ampleur du phénomène. En 2024, le centre de plaintes en ligne du FBI a enregistré 982 signalements spécifiquement liés au SIM swap, pour des pertes déclarées dépassant les 26 millions de dollars. Un chiffre en recul par rapport au pic de 68 millions atteint en 2021, mais qui traduit surtout une évolution des méthodes plutôt qu’une accalmie.

Les cibles de choix ? Les plateformes financières et surtout les échanges de cryptomonnaies, où les sommes en jeu donnent le vertige. Un réseau de fraude lié à l’affaire FTX aurait ainsi dérobé quelque 400 millions de dollars en cryptoactifs. Des groupes organisés, comme celui surnommé Scattered Spider, ont fait de la combinaison entre ingénierie sociale et SIM swap leur spécialité pour contourner le fameux 2FA par SMS. Autrement dit, le maillon faible n’a jamais été vous : c’est le canal lui-même.

Reprendre le contrôle avant que votre numéro ne vous trahisse

La bonne nouvelle, c’est qu’il existe des remparts autrement plus solides. La première recommandation consiste à abandonner le code par SMS au profit d’une application d’authentification installée directement sur votre appareil, comme celles proposées par Microsoft, Google ou Authy. Leur atout majeur : elles génèrent des codes localement, sans passer par le réseau cellulaire. Même si un pirate s’empare de votre numéro, il se retrouve les mains vides.

Pour les comptes les plus précieux, la protection la plus robuste reste la clé matérielle, ces petits dispositifs physiques compatibles avec le standard FIDO2, souvent connus sous le nom de YubiKeys. Ressemblant à une clé USB, cet objet doit être physiquement présent pour valider une connexion. Impossible de l’intercepter à distance, impossible de le dupliquer par un simple coup de fil à l’opérateur. C’est la différence entre un digicode que n’importe qui peut espionner et une serrure dont vous seul possédez la clé.

Au fond, cette histoire nous rappelle une vérité dérangeante : la sécurité que nous croyons acquise repose parfois sur des fondations vieilles de plusieurs décennies. Le SMS n’a jamais été conçu pour garder nos économies, et le savoir, c’est déjà reprendre une longueur d’avance. Alors, la prochaine fois que ce petit code s’affichera sur votre écran, poserez-vous la question de savoir qui, vraiment, le reçoit en même temps que vous ?