Illustration d'un smartphone dont la carte SIM est retirée et remplacée, représentant un numéro de téléphone détourné

Une attaque par échange de carte SIM ne cible pas directement un portefeuille crypto ou un compte de plateforme d'échange. Elle cible le numéro de téléphone qui se trouve derrière. En convainquant un opérateur mobile de transférer ce numéro vers une carte SIM contrôlée par l'attaquant, tout ce qui repose sur ce numéro pour l'identité ou la vérification devient accessible, y compris les comptes bancaires, les e-mails et tout compte de plateforme d'échange utilisant encore des codes SMS comme second facteur d'authentification.

Le Centre de plaintes pour crimes sur internet du FBI a enregistré 982 plaintes pour échange de carte SIM en 2024, pour des pertes signalées juste sous les vingt-six millions de dollars, bien que ce chiffre sous-estime l'ampleur réelle, car l'échange de carte SIM constitue généralement l'étape d'accès d'un crime plus vaste et le vol financier qui en résulte est souvent comptabilisé sous des catégories distinctes une fois les fonds déplacés. En mars 2025, T-Mobile a été condamné à payer trente-trois millions de dollars en arbitrage après qu'un seul échange de carte SIM a permis à des attaquants de vider le portefeuille en cryptomonnaies d'un client, illustrant à quel point un seul échange réussi peut être catastrophique pour un détenteur de cryptomonnaies en particulier.

Comment l'attaque est menée

Collecte d'informations sur la cible

Avant de contacter un opérateur, un attaquant rassemble généralement suffisamment d'informations personnelles pour usurper de manière convaincante l'identité de la victime, souvent issues de fuites de données antérieures, d'activité sur les réseaux sociaux, ou de phishing ciblé. Les indices publics indiquant qu'une personne détient d'importantes sommes en cryptomonnaies, une discussion dans des communautés en ligne, des adresses de portefeuille visibles, ou un profil public lié au trading, peuvent faire de cette personne une cible spécifique pour ce type de recherche.

Ingénierie sociale de l'opérateur ou complicité interne

Avec suffisamment de détails personnels en main, l'attaquant contacte l'opérateur mobile de la victime, prétend que la carte SIM d'origine a été perdue ou endommagée, et demande que le numéro soit transféré vers une nouvelle carte SIM en sa possession. Certains cas documentés ont impliqué un employé d'opérateur soudoyé ou complice réalisant directement le transfert, contournant totalement le besoin de manipuler un représentant du support, ce qui explique en partie pourquoi les régulateurs ont poussé les opérateurs à renforcer leurs procédures de vérification internes pour ce type de demande précis.

Prise de contrôle des comptes via le numéro volé

Une fois le numéro actif sur l'appareil de l'attaquant, celui-ci peut intercepter les codes de vérification SMS et les utiliser pour réinitialiser des mots de passe ou approuver des tentatives de connexion sur des comptes e-mail, de plateforme d'échange et de portefeuille. L'e-mail est souvent la première cible, car un compte e-mail compromis permet fréquemment d'autres réinitialisations de mot de passe sur tous les autres services qui y sont liés, créant une prise de contrôle en cascade capable d'atteindre un compte de plateforme d'échange crypto en quelques minutes après l'échange initial.

Point clé

L'authentification à deux facteurs par SMS est nettement plus faible que l'authentification par application ou par matériel, précisément parce que le numéro de téléphone lui-même, et pas seulement l'appareil, peut être redirigé à l'insu de la victime jusqu'à ce que le service cesse soudainement de fonctionner.

L'échange de eSIM : une variante plus récente de la même attaque

L'essor de la technologie eSIM, qui stocke un profil d'opérateur numériquement plutôt que sur une carte physique amovible, a introduit une version plus rapide de la même attaque sous-jacente. Au lieu de demander le remplacement d'une carte SIM physique, un attaquant convainc un opérateur, ou dans certains cas documentés manipule directement l'application libre-service ou le portail web d'un opérateur, de transférer le profil eSIM vers un nouvel appareil. Comme aucune carte physique ne doit être expédiée ni échangée en personne, une prise de contrôle basée sur l'eSIM peut être réalisée entièrement à distance et souvent plus rapidement qu'un échange de carte SIM traditionnel, parfois en quelques minutes après que l'attaquant a obtenu un accès suffisant au compte. Cette évolution a poussé certains opérateurs à ajouter une vérification supplémentaire spécifiquement pour les transferts eSIM, bien que l'adoption de cette protection supplémentaire ne soit pas universelle selon les opérateurs et les forfaits.

Un scénario réaliste : d'une fuite de courtier en données à un compte de plateforme d'échange vidé

  • Une fuite de données antérieure et sans rapport chez un détaillant en ligne expose le nom, l'adresse du domicile, la date de naissance et les quatre derniers chiffres d'une carte de paiement d'une victime, informations agrégées et vendues plus tard sur un marché criminel.
  • Un attaquant achète ces données et les combine avec des informations publiques issues des réseaux sociaux pour construire un profil suffisamment convaincant pour répondre aux questions de vérification d'identité standard d'un opérateur mobile.
  • L'attaquant contacte l'opérateur via un chat en ligne ou un appel téléphonique, prétend que le téléphone d'origine a été perdu, et obtient avec succès le transfert du numéro vers une nouvelle carte SIM ou eSIM.
  • En quelques minutes, l'attaquant utilise le numéro détourné pour recevoir un code de réinitialisation de mot de passe pour le compte e-mail de la victime, puis utilise l'e-mail compromis pour déclencher d'autres réinitialisations de mot de passe sur un compte de plateforme d'échange en cryptomonnaies.
  • L'authentification à deux facteurs par SMS du compte de la plateforme d'échange, liée au même numéro détourné, approuve la connexion, et l'attaquant retire les fonds vers un nouveau portefeuille avant que la victime ne remarque que son téléphone a perdu le service.

Chaque étape de cette chaîne repose sur un élément de l'identité de la victime qui avait déjà fuité ailleurs, des mois ou des années plus tôt, lors d'une fuite de données entièrement sans rapport avec ses avoirs en cryptomonnaies. C'est en partie pourquoi surveiller son exposition aux données personnelles compte, même pour une personne qui n'a jamais directement rencontré d'arnaque spécifiquement crypto.

Les attaques par échange de carte SIM comparées à la prise de contrôle de compte par phishing

La prise de contrôle de compte par phishing exige généralement que la victime participe activement à sa propre compromission, en saisissant directement un mot de passe ou un code à usage unique sur une fausse page. Un échange de carte SIM ne requiert aucune action de la victime une fois l'opérateur convaincu de transférer le numéro. Cela rend l'échange de carte SIM considérablement plus difficile à prévenir par la seule vigilance individuelle, puisqu'il n'y a ni e-mail frauduleux ni lien suspect qu'une personne prudente pourrait remarquer et éviter. La défense doit plutôt se situer au niveau du compte de l'opérateur et des méthodes d'authentification qui y sont liées, plutôt qu'au niveau d'un message ou d'un clic individuel.

Reconnaître une attaque en cours

  • Un téléphone perd soudainement tout service cellulaire, affichant aucune barre ou un statut appels d'urgence uniquement, sans explication claire telle qu'une panne connue.
  • Des e-mails inattendus de réinitialisation de mot de passe ou des notifications de connexion arrivent pour des comptes que vous n'avez pas tenté d'accéder.
  • Un opérateur confirme une demande de changement de carte SIM ou de transfert de numéro que vous n'avez pas initiée.
  • Vous êtes déconnecté d'un compte e-mail, de plateforme d'échange ou lié à un portefeuille sans avertissement.

Si un téléphone perd inopinément le service, la réponse appropriée consiste à traiter cela comme un probable échange de carte SIM en cours plutôt que comme un problème technique, et à agir rapidement pour sécuriser les comptes e-mail et de plateforme d'échange depuis un autre appareil tout en contactant directement l'opérateur. Attendre de voir si le service revient de lui-même donne à l'attaquant plus de temps pour achever une prise de contrôle de compte.

Réduire son exposition avant qu'une attaque ne survienne

  • Définir directement auprès de votre opérateur mobile un code PIN ou une exigence de vérification supplémentaire pour toute demande de changement de carte SIM ou de portabilité, une mesure que la CISA recommande spécifiquement comme défense de base contre l'échange de carte SIM.
  • Abandonner la vérification par SMS chaque fois que possible, en la remplaçant par une application d'authentification ou une clé de sécurité matérielle pour les comptes e-mail, de plateforme d'échange et liés au portefeuille.
  • Éviter de lier publiquement votre identité à des avoirs crypto visibles, car cette visibilité fait partie de ce qui rend une personne spécifique digne de l'effort d'un échange de carte SIM ciblé.
  • Utiliser une adresse e-mail dédiée et non devinable pour les comptes de plateforme d'échange, non réutilisée sur d'autres services, ce qui limite les dégâts en cascade si un compte est compromis.

Il vaut également la peine de contacter un opérateur mobile de manière proactive, avant qu'un incident ne survienne, pour se renseigner spécifiquement sur les protections disponibles sur le compte.

  • Vérifier si un code PIN de portabilité ou de changement de carte SIM, distinct d'un mot de passe de compte standard, peut être défini sur le compte, et s'il s'applique à la fois aux demandes de transfert de carte SIM physique et d'eSIM.
  • Vérifier si l'opérateur exige une vérification d'identité en personne dans un point de vente pour toute demande de transfert de carte SIM ou de numéro, et si cette exigence peut être activée comme préférence permanente du compte.
  • Vérifier si l'opérateur envoie une notification indépendante, telle qu'un e-mail vers une adresse non liée au numéro de téléphone lui-même, chaque fois qu'un changement de carte SIM ou de numéro est demandé.
  • Vérifier si un blocage temporaire peut être placé sur le compte, empêchant tout changement de carte SIM ou de numéro jusqu'à sa levée manuelle par le titulaire du compte en personne ou via un canal distinct vérifié.

Une fois qu'un compte de plateforme d'échange a effectivement été compromis à la suite d'un échange de carte SIM, la réponse passe de la prévention au confinement et à la collecte de preuves, ce qui est traité en détail dans notre guide sur ce qui se passe lorsqu'un compte de plateforme d'échange est compromis. Le chevauchement entre ces deux sujets est significatif, car un échange de carte SIM est fréquemment le mécanisme précis derrière une prise de contrôle de compte de plateforme d'échange plutôt qu'un événement distinct et sans rapport.

Que faire après avoir repris le contrôle de votre numéro

  • Contacter votre opérateur mobile pour confirmer que le transfert frauduleux a été entièrement annulé et demander un numéro de référence d'incident écrit pour vos dossiers.
  • Changer le mot de passe de chaque compte qui utilise le numéro de téléphone pour la vérification ou la récupération, en commençant par l'e-mail, puisqu'un e-mail compromis constitue fréquemment le point pivot vers tout le reste.
  • Examiner l'historique de connexion et les appareils connectés sur vos comptes e-mail et de plateforme d'échange à la recherche de toute session qui ne correspond pas à votre propre activité, et révoquer celles que vous ne reconnaissez pas.
  • Déposer un signalement auprès de l'organisme national de signalement de cybercriminalité et, si un compte de plateforme d'échange crypto a été affecté, suivre les étapes de signalement spécifiques à la plateforme couvertes dans notre guide sur la compromission d'un compte de plateforme d'échange.

Récupérer le numéro de téléphone lui-même n'est que la première étape. Chaque compte qui reposait sur lui pour la vérification pendant la période où l'attaquant en avait le contrôle doit être considéré comme potentiellement exposé, pas seulement le compte qui a réellement été vidé.

échange de carte SIMprise de contrôle de compteauthentification à deux facteurssécurité des plateformes d'échange

Questions fréquentes

L'objectif sous-jacent est le même, détourner un numéro de téléphone, mais un transfert d'eSIM peut souvent être réalisé entièrement à distance via les systèmes numériques d'un opérateur, sans nécessiter l'expédition ni l'échange physique d'une carte, ce qui peut le rendre plus rapide et dans certains cas plus difficile à détecter à temps par les systèmes antifraude d'un opérateur.

Une fois qu'un numéro est transféré avec succès, un attaquant disposant d'une connaissance préalable des comptes de la cible peut souvent achever des réinitialisations de mot de passe et vider un compte de plateforme d'échange en quelques minutes, ce qui explique pourquoi la reconnaissance rapide d'une perte de service cellulaire compte plus que presque tout autre signal d'alerte.

Un code PIN d'opérateur augmente considérablement la difficulté d'un échange réussi et est recommandé par la CISA comme protection de base, mais il n'est pas absolu, car des échanges assistés par un complice interne et des tentatives d'ingénierie sociale suffisamment convaincantes ont tous deux été documentés comme contournant les exigences de code PIN dans certains cas.

Oui, significativement. Une application d'authentification ou une clé matérielle est liée à un appareil précis plutôt qu'à un numéro de téléphone, elle ne peut donc pas être redirigée via un transfert de carte SIM au niveau de l'opérateur, ce qui supprime la voie d'attaque précise dont dépend un échange de carte SIM.

Utiliser immédiatement un autre appareil ou une ligne fixe pour contacter votre opérateur mobile et signaler le transfert non autorisé, tout en tentant simultanément de sécuriser votre e-mail et tout compte de plateforme d'échange depuis cet autre appareil avant que l'attaquant ne puisse achever d'autres réinitialisations de mot de passe.

Sources et lectures complémentaires

Articles liés

Que se passe-t-il lorsque votre compte de plateforme d'échange est compromis →Vol de clé privée : signes avant-coureurs et démarche à suivre →Que se passe-t-il après le piratage d'un portefeuille crypto →