Un téléphone qui perd soudainement le réseau, des SMS qui n’arrivent plus, un accès mail bloqué du jour au lendemain : ces signaux trahissent une prise de contrôle à distance d’une ligne mobile. Longtemps perçu comme une fraude artisanale, le SIM swapping s’appuie sur une chaîne industrielle de fermes de cartes SIM, capable d’alimenter à grande échelle le vol d’identité et des fraudes en tout genre.
Trois étapes pour détourner une ligne mobile
Le mécanisme du SIM swapping tient en trois temps. Le fraudeur commence par récupérer les données personnelles de sa cible, via une fuite par exemple, ou même en faisant des recherches sur les réseaux sociaux. Ces informations lui servent à convaincre l’opérateur téléphonique de transférer le numéro de la victime vers une carte qu’il contrôle, parfois avec la complicité d’un employé peu scrupuleux. Une fois la bascule opérée, le pirate reçoit tous les appels et SMS entrants, y compris les codes de vérification censés sécuriser les comptes en ligne.
Un risque qui dépasse largement le particulier
Si la fraude touche d’abord des particuliers, elle expose tout autant les organisations. Dans un article, publié sur le site de Trend Micro le vice-président en charge des renseignements sur les menaces, Jon Clay, rappelle que lorsqu’un numéro d’un salarié est détourné, l’attaquant peut intercepter les codes à usage unique envoyés par SMS et accéder aux systèmes internes, mettant en danger aussi bien les données clients que les actifs financiers de l’entreprise. Les dirigeants constituent des cibles particulièrement recherchées : l’éditeur de solutions de cybersécurité relève que le détournement de leur ligne peut ouvrir la voie à des cas de fraude au président, l’attaquant se faisant passer pour un PDG ou un directeur financier afin d’obtenir des virements ou des données sensibles.
Une vigilance qui reste de mise sur le terrain
La gendarmerie de la Somme a alerté fin août sur la persistance de ces attaques dans le département, en rappelant que le détournement de carte SIM peut vider des comptes en quelques dizaines de secondes et que l’essor de l’eSIM en a accéléré l’exécution. Deux signaux doivent alerter : l’apparition d’un message “pas de réseau” ou “appels d’urgence uniquement” sur le téléphone, et la réception de mails de changement de mot de passe non sollicités.
Face au risque, il vaut mieux délier autant que possible son numéro de téléphone des comptes sensibles pour opter pour des applications d’authentification dédiée, moins exposées que la réception de code par SMS. En cas de perte de réseau inexpliquée, l’opérateur doit immédiatement être contacté et une plainte doit être déposée pour limiter l’utilisation frauduleuse des données déjà récupérées.
