Vous pensiez que le petit code à six chiffres reçu par SMS était le dernier rempart avant votre compte bancaire ? Détrompez-vous. Une technique en pleine expansion permet aujourd’hui à un escroc de recevoir vos messages à votre place, sans jamais toucher à votre téléphone. Le principe est aussi simple que redoutable : ce fameux code de sécurité ne dépend pas de votre appareil, mais de votre numéro. Et un numéro, ça se déplace. Avec l’arrivée massive des cartes SIM dématérialisées, ce qu’on appelle les eSIM, ce déplacement peut désormais se faire en quelques minutes, à distance, pendant que vous vaquez tranquillement à vos occupations. Le temps de comprendre que votre smartphone n’affiche plus « aucun réseau », il est parfois déjà trop tard. Plongeons dans les rouages de cette arnaque nouvelle génération, et surtout, voyons comment ne pas en devenir la prochaine victime.

Ce que vous allez découvrir dans cet article

Avant d’entrer dans le détail, posons les grandes lignes de ce qui vous attend. D’abord, vous comprendrez comment une attaque de type « SIM swap » version eSIM permet de capter vos codes SMS sans jamais dérober physiquement votre smartphone. Ensuite, vous apprendrez à repérer les signaux faibles qui trahissent un transfert de numéro en cours, et surtout quoi faire, minute par minute, pour limiter la casse. Enfin, nous passerons en revue les réglages et les alternatives au SMS qui réduisent réellement le risque, en distinguant les vraies protections de celles qui ne vous offrent qu’une illusion de sécurité.

Le « SIM swap » a changé de forme : l’eSIM accélère tout

Le SMS s’est imposé comme le second facteur d’authentification préféré des banques et des grandes plateformes. Pratique, universel, il repose pourtant sur un canal étonnamment fragile. La promesse est trompeuse : sécuriser un compte en s’appuyant sur la réception d’un texto suppose que ce texto vous parvienne à vous, et à personne d’autre. Or une carte SIM, qu’elle soit physique ou numérique, n’est finalement qu’un jeton associé à un numéro. Une eSIM, c’est simplement une SIM intégrée directement dans l’appareil, qu’on active par un code ou un QR au lieu d’insérer une puce plastique. Plus pratique, plus difficile à voler dans un tiroir… mais pas plus protégée contre un détournement à distance.

Le point de rupture est là : quand le numéro bascule vers un autre appareil, tous les SMS basculent avec lui. L’attaquant ne cherche pas à lire vos messages intimes, il vise avant tout la récupération de compte. Autrefois, les fraudeurs devaient ruser par ingénierie sociale ou compter sur un complice chez l’opérateur. Aujourd’hui, avec des identifiants volés ou fuités, ils peuvent parfois initier eux-mêmes le transfert de la ligne vers leur propre eSIM. La vulnérabilité ne réside donc pas dans le format de la SIM, mais dans le processus humain et procédural qui autorise le portage.

Le moment où tout bascule : la chaîne d’attaque en six étapes

Comprendre le déroulé, c’est déjà savoir où couper le fil. Première étape : la collecte d’informations personnelles. Fuites de données, réseaux sociaux trop bavards, courriels de hameçonnage… l’escroc rassemble de quoi se faire passer pour vous. Deuxième étape : le déclenchement du transfert eSIM, en accédant à votre compte opérateur ou en manipulant le processus de portabilité. Troisième étape : côté victime, le réseau disparaît. Ce « pas de service » est l’indice majeur, mais il arrive souvent trop tard, parfois en pleine nuit.

Quatrième étape : l’interception des codes SMS et la prise de contrôle de l’adresse e-mail « pivot », celle qui commande tout le reste. Cinquième étape : la réinitialisation en cascade des mots de passe, banque, messageries, réseaux sociaux, espace de stockage en ligne. Sixième et dernière étape : le verrouillage défensif. L’attaquant change vos mots de passe, supprime les alertes et met en place des règles de transfert pour vous tenir à l’écart le plus longtemps possible. Un bonus non négligeable pour lui : l’accès à vos applications de messagerie liées au numéro, de quoi arnaquer vos proches en se faisant passer pour vous.

Les signes qui ne trompent pas et le plan d’urgence

Certains signaux doivent immédiatement vous alerter : un téléphone qui affiche « aucun réseau » sans raison, des SMS attendus qui n’arrivent jamais, une notification de votre opérateur évoquant un changement de SIM, ou des connexions inhabituelles à vos comptes. Dans les quinze premières minutes, le mot d’ordre est simple : agir depuis un autre appareil et une autre connexion. Contactez d’abord votre opérateur pour bloquer le transfert et suspendre la ligne, puis sécurisez votre e-mail principal, et enfin vos services financiers, dans cet ordre.

Gardez précieusement toutes les preuves : captures d’écran, horaires précis, références d’appel, messages de l’opérateur. Demandez explicitement un blocage de la portabilité, un audit des actions récentes et la réattribution de votre numéro. Une fois la ligne récupérée, ne relâchez pas la vigilance : révoquez toutes les sessions actives, régénérez vos codes de secours, et vérifiez les règles de transfert de courriel ainsi que vos paramètres d’authentification, que l’attaquant a peut-être modifiés en douce.

Remplacer le SMS : les protections qui tiennent vraiment

La règle d’or tient en une phrase : un numéro de téléphone n’est pas une preuve d’identité. Les défenses les plus solides s’appuient donc sur autre chose. Les passkeys et les clés de sécurité physiques résistent au détournement de SMS, car elles restent liées à un objet ou un appareil que l’escroc ne possède pas. Les applications d’authentification constituent un bon compromis, à condition de maîtriser leurs limites, notamment côté sauvegardes et synchronisation.

Côté opérateur, activez les options souvent proposées mais rarement enclenchées : code confidentiel, restrictions de changement de ligne, verrouillage empêchant le portage du numéro. Ces protections existent mais reposent presque toujours sur une activation manuelle de votre part. Enfin, une bonne hygiène de compte change tout : adresse de récupération distincte, mots de passe uniques gérés par un gestionnaire dédié, codes de secours conservés hors ligne. Pour les comptes les plus sensibles, banque en ligne et portefeuilles de cryptomonnaies en tête, privilégiez systématiquement une clé physique ou une application d’authentification plutôt que le SMS.

Retenons l’essentiel : l’eSIM ne crée pas la faille, mais elle rend le SIM swap plus rapide et plus discret. Reconnaître l’attaque, c’est guetter la perte de réseau et les alertes de l’opérateur ; s’en protéger durablement, c’est cesser de considérer le numéro de téléphone comme une clé de coffre-fort. La vraie question n’est peut-être plus de savoir si le SMS est sûr, mais combien de temps encore nous accepterons de confier la porte de nos vies numériques à un simple texto. Et vous, avez-vous déjà vérifié quelles protections dorment, inactives, dans les paramètres de votre compte mobile ?