Qu’est-ce que l’échange de cartes SIM et comment l’éviter ?

Qu’est-ce que l’échange de cartes SIM ?

L’échange de cartes SIM, également connu sous le nom de piratage de cartes SIM ou SIM swapping, est un type de fraude par lequel des criminels trompent votre fournisseur de service mobiles pour qu’il transfère votre numéro de téléphone vers une nouvelle carte SIM qu’ils contrôlent. Après une attaque par échange de cartes SIM, le fraudeur recevra tous vos appels et SMS sur son téléphone.

Outre les problèmes évidents de confidentialité personnelle, cela permet au cybercriminel de consulter les codes d’authentification à deux facteurs (2FA) et d’accéder potentiellement à vos comptes en ligne (y compris les plus sensibles, comme votre compte bancaire) pour modifier vos mots de passe. Tout cela sans que vous ayez de contact direct avec l’arnaqueur.

Une arnaque à l’échange de cartes SIM se produit lorsqu’un fraudeur convainc un fournisseur de services de transférer le service de la victime sur une carte SIM qu’il contrôle.

L’échange de cartes SIM est un cybercrime grave qui peut conduire directement à une fraude au virement bancaire ou à une usurpation d’identité. En 2024, le FBI a enquêté sur 982 attaques par échange de cartes SIM, avec des pertes s’élevant à près de 26 millions de dollars. Une étude de IDCARE, une organisation caritative australienne et néo-zélandaise, a révélé que 90 % des attaques se produisent sans interaction avec la victime, ce qui fait de l’échange de cartes SIM une forme de fraude particulièrement difficile à contrer.

Mais la compréhension de son fonctionnement vous donne une meilleure chance de repérer les signes avant-coureurs d’une attaque.

Comment se déroule l’échange de cartes SIM ?

Les attaques par échange de cartes SIM se déroulent généralement en trois étapes. L’auteur utilise d’abord des tactiques d’ingénierie sociale pour obtenir les informations personnelles sensibles de la victime. Il utilise ensuite ces informations pour se faire passer pour la victime et convaincre son opérateur de procéder au transfert de numéro. Enfin, il utilise son accès au numéro de téléphone de la victime pour commettre une fraude financière ou une usurpation d’identité.

Voici un aperçu plus détaillé de ces trois étapes principales :

1. Le cybercriminel collecte des informations personnelles

L’échange de cartes SIM commence souvent par une attaque de phishing, au cours de laquelle les arnaqueurs tentent de voler vos informations sensibles en se faisant passer pour une entreprise ou une personne de confiance. Ils peuvent par exemple mener une arnaque sur Instagram, par exemple en créant un faux profil de support client pour vous inciter à révéler votre numéro de téléphone ou votre adresse. D’autres tactiques de phishing incluent les arnaques de type Sugar Daddy et les arnaques sentimentales, où les fraudeurs feignent un intérêt romantique pour vous soutirer des informations.

Le cybercriminel peut également accéder à vos données personnelles par l’intermédiaire de courtiers en données illicites ou de référentiels de violations de données, que l’on trouve souvent sur le Dark Web. Dans certains cas, un spyware peut être utilisé pour voler des informations directement sur vos appareils.

Pour mener à bien une attaque par échange de cartes SIM, un pirate informatique peut d’abord demander des informations personnelles.

2. Le cybercriminel usurpe votre identité

Avec vos informations personnelles, l’arnaqueur tentera ensuite de convaincre votre opérateur mobile de transférer votre numéro de téléphone vers une carte SIM qu’il contrôle. Il peut prétendre que la carte SIM d’origine a été perdue, volée ou endommagée, et utiliser vos informations sensibles pour « prouver » son identité.

3. Le cybercriminel accède à votre numéro de téléphone

S’il réussit à obtenir l’approbation du transfert par votre opérateur, il commencera à recevoir tous vos SMS et appels. Cela lui permet d’intercepter les codes d’authentification à deux facteurs qui sont souvent envoyés dans le cadre des processus de réinitialisation de mot de passe. L’arnaqueur peut ainsi réinitialiser vos mots de passe et vous bloquer l’accès à d’importants comptes en ligne, comme vos comptes bancaires ou de réseaux sociaux.

Quelles informations les pirates de cartes SIM recherchent-ils ?

Vos informations personnelles sont la clé du succès d’un pirate de carte SIM, car elles déterminent s’il sera en mesure d’usurper votre identité. Plus il dispose de détails vous concernant, plus il sera convaincant auprès de votre opérateur téléphonique, et plus sa demande de transfert de numéro aura de chances d’être approuvée.

Voici quelques-uns des détails clés que les pirates de cartes SIM recherchent pour tromper les opérateurs mobiles :

• Informations financières : Les détails de la carte de crédit associée à votre compte, comme les quatre derniers chiffres, la date d’activation, le dernier paiement et le CVC (code de vérification de la carte) au dos.

• Détails de l’appareil : le numéro IMEI (International Mobile Equipment Identity), numéro de série unique de votre appareil, ou le numéro ICCID (Integrated Circuit Card Identifier), numéro de série unique de votre carte SIM.

• Données personnelles : Votre numéro de téléphone, votre adresse de facturation, votre nom complet, votre date de naissance ou votre adresse e-mail.

• Journaux d’appels : Les informations sur les numéros récemment composés, les dates des appels ou l’identité des destinataires.

• Identifiants de comptes : Les informations d’authentification confidentielles comme les codes PIN d’accès au compte, les mots de passe, les codes d’accès à usage unique ou les réponses aux questions de sécurité.

Combien de temps dure un échange de cartes SIM ?

Une attaque par échange de cartes SIM peut durer jusqu’à ce qu’elle soit détectée et que l’opérateur rétablisse le contrôle au propriétaire légitime du compte, ou jusqu’à ce que l’attaquant atteigne son objectif. À moins de repérer les signes avant-coureurs, une attaque par échange de cartes SIM ne prendra probablement fin qu’une fois que le cybercriminel aura accédé à vos comptes en ligne et transféré des fonds ou effectué des achats importants, après quoi il abandonnera votre numéro.

Comment éviter l’échange de cartes SIM

Les principaux moyens de se protéger contre les attaques par échange de cartes SIM consistent à améliorer la sécurité de votre compte et à préserver la confidentialité de vos informations sensibles. Les pirates de cartes SIM exploitent les mots de passe faibles et les informations facilement accessibles pour convaincre les opérateurs de téléphonie mobile qu’ils sont le titulaire légitime du compte. L’utilisation de mots de passe complexes et uniques, la limitation des informations que vous partagez sur les réseaux sociaux et l’ajout de mesures d’authentification supplémentaires à vos comptes peuvent tous contribuer à votre protection.

Voici un aperçu plus détaillé de ce que vous pouvez faire pour mieux vous protéger contre les attaques par échange de cartes SIM :

• Limitez les informations que vous partagez en ligne : Les pirates de cartes SIM cyberharcèlent souvent leurs cibles avant de passer à l’acte. Chaque information que vous publiez peut être utilisée pour établir un profil de votre identité. Gardez les détails personnels tels que votre adresse, votre numéro de téléphone, votre nom complet et votre date de naissance aussi privés que possible.

• Ne répondez pas aux demandes non sollicitées d’informations personnelles : Bien que les entreprises légitimes puissent vous contacter à l’occasion, elles ne vous demanderont jamais de détails sensibles comme votre mot de passe, votre code PIN ou vos codes d’accès à usage unique. Méfiez-vous des messages non sollicités de quelqu’un qui prétend avoir besoin de ces informations, il pourrait s’agir d’un attaquant de carte SIM qui tente de vous tromper.

• Utilisez des mots de passe forts : Des mots de passe forts et uniques constituent une première ligne de défense contre les pirates de cartes SIM et autres arnaqueurs. Pensez à utiliser un bon gestionnaire de mots de passe pour vous aider à les gérer, afin de pouvoir les rendre longs, aléatoires et difficiles à déchiffrer.

• Mettez en place une protection spécifique à la carte SIM : Certains opérateurs proposent des mesures spécifiques conçues pour réduire ou éliminer votre vulnérabilité aux attaques par échange de cartes SIM, comme la protection SIM de T-Mobile. Celles-ci peuvent être intéressantes si le risque vous préoccupe.

• Modifiez le code PIN par défaut de votre carte SIM : Le code PIN de votre carte SIM est un code d’accès unique nécessaire pour modifier les paramètres de la carte SIM. Vous disposez déjà d’un code par défaut, mais vous pouvez le remplacer par un code plus sûr en accédant à l’application des paramètres de votre téléphone et en recherchant une option intitulée « Sécurité SIM » ou similaire. Certains opérateurs proposent également des codes PIN de transfert de numéro, qui ne prennent effet que lorsqu’un changement de carte SIM est demandé.

• Évitez l’authentification par SMS : Utilisez plutôt des applications comme Google Authenticator ou Microsoft Authenticator. Ces applications sont liées à votre appareil, plutôt qu’à votre numéro, et sont sécurisées par un code PIN ou des données biométriques. Il est donc beaucoup plus difficile pour les arnaqueurs de les exploiter dans le cadre d’une attaque par échange de cartes SIM. Certaines entreprises, comme Yubico, proposent même des dispositifs d’authentification matériels qui peuvent ajouter une couche supplémentaire de protection des comptes en séparant l’authentification à deux facteurs de votre numéro de téléphone.

• Configurez des alertes bancaires et d’opérateur mobile : Vous pouvez demander à recevoir des e-mails ou des SMS de notification concernant les modifications apportées à vos comptes bancaires ou d’opérateur mobile. Ces alertes agissent comme un système d’alerte précoce, vous aidant à repérer plus rapidement les tentatives d’échange de cartes SIM ou d’autres activités frauduleuses, afin de pouvoir agir avant que l’attaque ne s’intensifie.

Signes indiquant que vous avez été victime d’une attaque par échange de cartes SIM

Les signes d’une attaque par échange de cartes SIM incluent une perte soudaine des fonctions du service, des alertes inattendues de l’opérateur ou du compte, des blocages de connexion et des frais inconnus. Si vous remarquez l’un de ces signes, agissez rapidement : votre numéro de téléphone et vos comptes en ligne pourraient être compromis.

Vous ne pouvez pas passer d’appels ni envoyer de SMS

Si vous ne pouvez pas passer d’appels, envoyer de SMS ni utiliser les données mobiles, c’est généralement le signe d’un problème de connexion réseau. Bien qu’il puisse s’agir simplement d’une panne de service, il se peut aussi que vous ayez été la cible d’une attaque par échange de cartes SIM et qu’un fraudeur ait transféré votre service cellulaire et votre numéro de téléphone sur son appareil.

Vous êtes informé d’activités menées par quelqu’un d’autre que vous

De nombreux services de téléphonie mobile vous avertiront s’ils détectent une activité inhabituelle sur votre compte. Si vous commencez à recevoir des e-mails concernant une activité suspecte sur vos comptes, il pourrait s’agir d’une attaque par échange de cartes SIM ou d’une autre tentative de prise de contrôle de compte en cours. De même, votre opérateur mobile peut vous envoyer un message de confirmation indiquant que votre numéro de téléphone a été activé sur un nouvel appareil.

Vous n’avez plus accès à vos comptes

En général, la première action d’un pirate de carte SIM est de vous bloquer l’accès à vos comptes en modifiant les mots de passe. Certains comptes bloquent automatiquement l’accès par mesure de sécurité après un trop grand nombre de tentatives de connexion douteuses. La perte d’accès à des comptes en ligne est donc un signe clair que quelqu’un tente d’y accéder ou y est parvenu, et doit vous inciter à prendre des mesures immédiates pour les sécuriser.

Vous remarquez des transactions non autorisées

L’objectif final d’une arnaque par échange de cartes SIM est généralement de vider le compte bancaire de la victime. Si vous recevez des notifications concernant des transactions que vous n’avez pas effectuées, cela peut être dû à un échange de cartes SIM. Si tel est le cas, vous devez sécuriser vos comptes financiers, contester les frais et reprendre le contrôle de votre numéro de téléphone le plus rapidement possible.

Que faire si vous êtes victime d’une fraude à l’échange de cartes SIM ?

Si vous êtes victime d’une attaque par échange de cartes SIM, contactez immédiatement votre opérateur, demandez à votre banque de geler vos comptes et de contester les transactions frauduleuses, désactivez l’authentification à deux facteurs par SMS et modifiez vos mots de passe, puis réactivez l’authentification à deux facteurs une fois que votre numéro est de nouveau sous votre contrôle.

1. Contactez votre fournisseur de téléphonie mobile

Contactez votre fournisseur de services de téléphonie mobile dès que possible si vous soupçonnez un échange de cartes SIM. Il ne sera peut-être pas en mesure d’attraper l’arnaqueur, mais il pourra mettre fin à ses agissements en l’empêchant d’accéder à votre réseau mobile.

• Si vous êtes client Verizon, appelez le *611 depuis votre mobile pour passer un appel gratuit, qui fonctionne même si votre appareil a été désactivé, ou appelez le 1-800-922-0204 depuis n’importe quel autre appareil.

• Si vous êtes client AT&T, appelez le 1-800-331-0500 ou utilisez la fonction de verrouillage de compte sans fil dans l’application officielle myAT&T.

• Si vous êtes client T-Mobile, appelez le 611 depuis votre mobile ou le 1-800-937-8997 depuis n’importe quel autre appareil.

• Si vous êtes client US Cellular, appelez le 1-888-944-9400.

2. Sécurisez vos comptes financiers

Contactez votre banque pour l’informer de la situation et lui demander de geler vos comptes afin de bloquer toutes les transactions jusqu’à ce que vous soyez sûr qu’ils sont sécurisés. Si des transactions non autorisées ont déjà été effectuées, démarrez une procédure de contestation pour savoir s’il est possible de les annuler ou de vous les faire rembourser. Votre banque vous conseillera sur les mesures à prendre, si nécessaire.

3. Désactivez l’authentification à deux facteurs et changez vos mots de passe

Tant que vous n’êtes pas certain à 100 % que l’arnaqueur à l’échange de cartes SIM n’a plus accès à vos SMS et appels, empêchez-le de vous bloquer l’accès à d’autres comptes en désactivant l’authentification à deux facteurs dans vos paramètres de compte. Définissez ensuite de nouveaux mots de passe forts sur les comptes sensibles par mesure de précaution.

Une fois votre service cellulaire restauré sur une carte SIM que vous contrôlez, réactivez l’authentification à deux facteurs et assurez-vous que toutes les fonctions de sécurité et les notifications de compte sont activées pour vous aider à détecter et à prévenir les attaques par échange de cartes SIM et autres piratages à l’avenir.

Protégez votre carte SIM contre les attaques par échange de cartes SIM

Les arnaques par échange de cartes SIM commencent souvent de manière subtile, les fraudeurs collectant vos informations personnelles. Une fois équipés, ils ciblent votre numéro de téléphone, puis tentent d’accéder à vos comptes en ligne. Cela signifie que votre première ligne de défense contre les pirates de cartes SIM est d’éviter les arnaques en ligne et les malwares qui pourraient compromettre vos données.

Avast Antivirus Gratuit renforce vos défenses contre les arnaques que les pirates utilisent dans les attaques par échange de cartes SIM, en bloquant les malwares, les liens de phishing et les faux sites web, afin que vous profitiez d’une expérience en ligne plus sûre. Profitez d’une sécurité en ligne complète et gratuite dès aujourd’hui.