Attaque par échange de carte SIM (SIM swap) : comment les pirates détournent votre numéro pour voler vos cryptomonnaies

Imaginez : votre numéro de téléphone cesse soudainement de fonctionner — plus de réseau, plus d'appels — puis, en quelques minutes, vous recevez des notifications de changement de mot de passe et de retraits sur vos comptes. C'est exactement ce qui se passe lors d'une attaque par échange de carte SIM (SIM swap), l'une des méthodes les plus dangereuses pour pirater des comptes crypto, car elle ne vise pas votre portefeuille directement, mais le numéro sur lequel repose toute votre sécurité.

Dans ce guide, nous expliquons en termes simples comment fonctionne cette attaque, pourquoi les SMS représentent une réelle faiblesse, et quelles mesures concrètes peuvent transformer votre compte d'une cible facile en un compte difficile à violer.

Qu'est-ce qu'une attaque par échange de carte SIM ?

L'idée de base est simple : l'attaquant convainc l'opérateur téléphonique qu'il est vous, et fait transférer votre numéro vers une nouvelle carte SIM qu'il possède. Une fois cela réussi, tous les messages et appels qui vous étaient destinés arrivent sur son appareil au lieu du vôtre.

Pourquoi est-ce si dangereux ? Parce que de nombreuses plateformes envoient les codes de vérification par SMS et permettent de récupérer un mot de passe via le numéro de téléphone. Si l'attaquant contrôle votre numéro, il peut recevoir ces codes, réinitialiser vos mots de passe et contourner l'authentification à deux facteurs basée sur les SMS.

Résultat : le numéro censé vous protéger devient la clé qui ouvre tous vos comptes à l'attaquant.

Comment se déroule l'attaque, étape par étape

Cette attaque n'a rien de technologiquement complexe : c'est une chaîne de tromperies et d'informations divulguées :

1. Collecte d'informations : l'attaquant récupère vos données personnelles à partir d'anciennes fuites de données, de vos publications publiques, ou de messages d'hameçonnage se faisant passer pour une plateforme ou une banque.
2. Usurpation d'identité : il appelle l'opérateur téléphonique ou se rend en agence, prétendant avoir perdu son téléphone et vouloir transférer le numéro vers une nouvelle carte SIM.
3. Contournement de la vérification : il utilise les informations divulguées (date de naissance, derniers paiements, adresse) pour convaincre un agent du support que le numéro lui appartient.
4. Activation de la nouvelle carte SIM : une fois activée, votre propre carte SIM se coupe, et votre numéro se met à fonctionner sur l'appareil de l'attaquant.
5. Prise de contrôle des comptes : il demande la réinitialisation des mots de passe, reçoit les codes SMS, et accède à votre e-mail, vos plateformes et vos portefeuilles.

Pourquoi les SMS ne suffisent pas à vous protéger

Les SMS sont simples et pratiques, mais c'est justement leur point faible. Le code reçu par SMS est lié à votre numéro, pas à votre appareil — et quiconque contrôle le numéro reçoit aussi le code. C'est pourquoi il est toujours recommandé de passer à une application d'authentification, qui génère les codes localement sur votre téléphone sans passer par le réseau de l'opérateur.

En pratique : n'utilisez les SMS que lorsqu'il n'existe aucune alternative, jamais pour protéger votre e-mail ou vos comptes financiers.

Comment se protéger : étapes pratiques

La protection se construit en couches successives ; chaque couche rend l'attaque plus difficile et plus coûteuse pour l'attaquant.

1. Activez l'authentification par application plutôt que par SMS

Remplacez la vérification en deux étapes par SMS, sur votre e-mail et vos plateformes, par une application d'authentification générant des codes TOTP, ou utilisez une clé de sécurité physique pour vos comptes les plus importants. C'est l'action isolée la plus importante que vous puissiez entreprendre dès aujourd'hui.

2. Demandez un code PIN de protection à votre opérateur

La plupart des opérateurs téléphoniques permettent d'ajouter un code PIN secret ou un code de sécurité exigé avant tout transfert de numéro ou changement de carte SIM. Activez-le et choisissez un code sans lien avec votre date de naissance ou d'autres numéros faciles à deviner.

3. Sécurisez d'abord votre e-mail

Votre e-mail est la clé de tout ; c'est par lui que se font les réinitialisations de mot de passe. Protégez-le avec un mot de passe fort et unique, et une authentification à deux facteurs via une application ou une clé physique, jamais par SMS.

4. Réduisez ce que vous exposez publiquement

Ne publiez pas votre numéro de téléphone, vos informations d'identité, ni les détails de vos avoirs en cryptomonnaies. Chaque information divulguée devient un outil supplémentaire entre les mains de quiconque tente d'usurper votre identité auprès de votre opérateur.

5. Utilisez un gestionnaire de mots de passe et des mots de passe uniques

Un mot de passe différent pour chaque compte signifie qu'une fuite sur un seul site ne compromet pas les autres. Un gestionnaire de mots de passe rend cela simple et réaliste au quotidien.

6. Dissociez votre numéro de vos comptes financiers sensibles

Dans la mesure du possible, ne liez pas le numéro de récupération de vos comptes importants à votre numéro principal, connu publiquement. Certains utilisateurs préfèrent réserver un numéro discret et distinct uniquement pour leurs comptes financiers.

Que faire si vous pensez être victime ?

La rapidité est essentielle. Si vous perdez soudainement le réseau ou remarquez une activité suspecte :

• Appelez immédiatement votre opérateur téléphonique depuis une autre ligne pour geler le numéro et récupérer votre carte SIM.
• Changez les mots de passe de votre e-mail, puis de vos plateformes financières, depuis un appareil sûr, et activez une vérification indépendante des SMS.
• Vérifiez l'activité de votre compte et l'historique de connexion, et signalez toute opération non autorisée le plus vite possible.
• Documentez tout (horaires, messages, numéros) : cela peut être nécessaire pour un signalement officiel.

Conclusion

Une attaque par échange de carte SIM ne casse pas le chiffrement — elle exploite le maillon le plus faible : notre dépendance au numéro de téléphone et aux SMS. En transférant votre protection vers des applications d'authentification, en ajoutant un code PIN de sécurité auprès de votre opérateur, en sécurisant votre e-mail et en limitant ce que vous exposez publiquement, vous fermez toutes les portes sur lesquelles l'attaquant compte entièrement. Quelques minutes aujourd'hui pour ajuster ces réglages peuvent vous épargner une perte difficile, voire impossible à récupérer.