SIM Swap : Comment le Piratage de Votre Numéro de Téléphone Peut Vider un Portefeuille Crypto en Auto-Conservation
Un appel de quelques minutes au service clientèle d'un opérateur téléphonique peut suffire à vider des actifs crypto accessibles via un compte lié au numéro de téléphone — exchange, portefeuille logiciel ou service de récupération — sans qu'aucun mot de passe ne soit cassé ni qu'aucune clé privée ne soit dérobée directement. Un hardware wallet correctement isolé, dont la phrase de récupération n'est stockée nulle part en ligne, n'est pas vidé par cette seule manœuvre : le risque porte sur les comptes qui l'entourent, pas sur le wallet lui-même. Le mécanisme s'appelle le SIM swapping : il consiste à transférer le numéro de téléphone d'une victime vers une carte SIM contrôlée par un attaquant, qui intercepte alors ses appels, ses SMS et surtout ses codes de sécurité, selon Trend Micro.
Ce détournement contourne la vérification en deux étapes par SMS, une méthode encore largement utilisée pour accéder à des comptes bancaires ou à des portefeuilles crypto. Pour un détenteur en auto-conservation qui pense avoir sécurisé ses actifs derrière un hardware wallet, le vrai point de faiblesse n'est souvent pas le wallet lui-même, mais le numéro de téléphone qui conditionne l'accès aux comptes associés.
Points clés à retenir
- De nombreux exchanges et wallets s'appuient sur une vérification par téléphone, ce qui permet un transfert d'actifs quasi instantané avec peu de chance de récupération, selon Trend Micro.
- Une fois le numéro repris par l'attaquant, la cascade à travers la vie numérique de la victime peut se jouer en moins d'une heure, selon Atlant Security.
- En mars 2025, un arbitre californien a ordonné à T-Mobile de verser 33 millions de dollars après un SIM swap ayant permis le vol d'environ 38 millions de dollars en crypto, selon Proofpoint.
- Trend Micro recommande d'abandonner la 2FA par SMS au profit d'une application d'authentification ou d'une clé matérielle, non liées au numéro de téléphone.
Comment un simple appel à l'opérateur peut vider un portefeuille crypto en auto-conservation
La carte SIM ne sert pas qu'à passer des appels. Elle stocke l'IMSI et la clé d'authentification réseau (Ki) qui lui permettent de s'authentifier auprès du réseau mobile ; c'est ensuite le numéro de téléphone associé à cette carte, géré côté opérateur et côté plateformes, qui ouvre l'accès à des services critiques comme la 2FA par SMS ou la récupération de compte, rappelle Trend Micro. C'est cette chaîne de dépendance qui transforme un simple numéro en clé d'accès à toute une vie numérique.
La séquence d'attaque suit généralement le même schéma : collecte de données personnelles sur la victime, usurpation d'identité auprès de l'opérateur, demande de transfert de la SIM, interception des codes envoyés par SMS, puis verrouillage progressif de la victime hors de ses propres comptes, détaille Trend Micro. Une fois le numéro sous contrôle, l'attaquant intercepte les codes de double authentification et les liens de réinitialisation de mot de passe, ce qui peut compromettre tour à tour l'e-mail, la banque, les portefeuilles crypto et, dans un contexte professionnel, les systèmes d'entreprise, selon Proofpoint.
La phase de collecte d'informations mérite une attention particulière. « People don't realize that oversharing online creates a blueprint for identity theft » (« Les gens ne réalisent pas que trop partager en ligne crée un mode d'emploi pour l'usurpation d'identité »), résume Rachel Tobac, citée par Atlant Security — une mise en garde qui vaut particulièrement pour les détenteurs de crypto actifs sur les réseaux sociaux. Proofpoint souligne par ailleurs que certains criminels recrutent ou soudoient directement des employés d'opérateurs téléphoniques comme complices internes, ce qui permet de contourner des protocoles de sécurité pourtant conçus pour empêcher ce type de fraude.
Pourquoi les exchanges et wallets crypto sont une cible de choix
Tous les comptes ne se valent pas une fois un numéro de téléphone compromis. Les exchanges et portefeuilles crypto figurent parmi les cibles de plus grande valeur parce que leurs transactions sont irréversibles et qu'il n'existe pas de protection antifraude centralisée comparable à celle du secteur bancaire traditionnel, note Atlant Security.
Cette vulnérabilité tient aussi à la nature même du maillon attaqué : les opérateurs téléphoniques restent des cibles relativement accessibles, avec des conseillers manipulables, un processus de portage qui ne nécessite souvent qu'un nom, un numéro de téléphone et la réponse à une question de sécurité, et une notification de l'utilisateur qui arrive généralement trop tard, selon Atlant Security.
Certains profils sont particulièrement exposés :
- les particuliers à patrimoine élevé ;
- les dirigeants ou personnalités publiques dont le numéro circule plus largement ;
- plus généralement, toute personne pour qui un seul numéro de téléphone débloque l'accès à plusieurs comptes sensibles à la fois.
Le précédent T-Mobile 2025 : quand la sécurité renforcée de l'opérateur échoue
En mars 2025, un arbitre californien a ordonné à l'opérateur américain T-Mobile de verser 33 millions de dollars à un client victime d'un SIM swap ayant permis le vol d'environ 38 millions de dollars en crypto-actifs, selon Proofpoint. Il s'agit d'un cas américain, jugé selon les règles de sa propre juridiction, qui ne constitue pas un précédent applicable en Belgique — mais le mécanisme qu'il révèle dépasse les frontières.
Le détail le plus instructif concerne la manière dont l'attaque a contourné les protections renforcées mises en place par l'opérateur. T-Mobile disposait d'un drapeau de sécurité baptisé « NOPORT », censé bloquer tout transfert non autorisé du numéro. Les attaquants l'ont néanmoins contourné en convainquant un agent du centre d'appel d'émettre à distance un code QR eSIM, malgré ces mesures renforcées, rapporte Proofpoint.
Ce détail change la portée de l'histoire : des garde-fous existaient, mais c'est leur contournement humain — un agent convaincu de passer outre la procédure — qui a permis le vol. Pour un détenteur de crypto en auto-conservation, l'implication pratique est directe : une protection côté opérateur, même renforcée, ne peut pas constituer la seule ligne de défense. Elle reste utile, mais ne remplace pas des mesures qui ne dépendent pas du numéro de téléphone lui-même.
Grille de lecture : quel compte protéger en priorité
Tous les comptes accessibles via un numéro de téléphone ne présentent pas le même niveau de risque en cas de SIM swap. En croisant la hiérarchie des comptes les plus détournés établie par Atlant Security avec les recommandations de protection par type d'accès formulées par Trend Micro, on obtient une grille de priorisation — une lecture propre à cet article, pas un classement officiel du secteur.
Selon Atlant Security, l'ordre de risque observé place l'e-mail en tête, suivi des comptes bancaires et plateformes d'investissement, puis des exchanges et wallets crypto, et enfin des réseaux sociaux. Cet ordre s'explique : la boîte e-mail sert généralement de point de réinitialisation pour tous les autres comptes. « Your Gmail is more important than your bank login. It resets your bank login » (« Votre Gmail est plus important que vos identifiants bancaires : il permet de les réinitialiser »), résume Alex Stamos, ancien responsable de la sécurité chez Facebook, cité par Atlant Security.
| Compte | Pourquoi il est ciblé | Mesure de protection prioritaire |
|---|---|---|
| Sert de clé de réinitialisation pour la plupart des autres comptes | Authentification par application ou clé matérielle, jamais par SMS | |
| Banque / plateformes d'investissement | Accès direct aux fonds, récupération souvent liée au numéro | Vérifier les options d'authentification alternatives proposées par l'établissement |
| Exchanges / wallets crypto | Transactions irréversibles, pas de protection antifraude centralisée | Désactiver la 2FA SMS, privilégier le retrait vers une auto-conservation isolée |
| Réseaux sociaux | Source de données personnelles exploitables pour la reconnaissance | Limiter les informations publiques utilisables pour usurper une identité |
Cette grille ne prétend pas remplacer une analyse individuelle : elle offre un ordre de priorité pour répartir un effort de sécurisation limité dans le temps.
Construire une défense en couches qui ne dépend pas de votre numéro
La recommandation la plus constante dans la littérature technique consiste à abandonner la 2FA par SMS au profit d'une application d'authentification ou d'une clé matérielle, deux méthodes qui ne sont pas liées au numéro de téléphone, selon Trend Micro. Cette bascule retire à l'opérateur téléphonique son rôle de gardien de facto des comptes sensibles.
Atlant Security insiste sur le caractère chirurgical des SIM swaps réussis : ils contournent des mots de passe forts, des applications de 2FA mal configurées, et même des e-mails chiffrés, simplement en détournant un numéro de téléphone. C'est pourquoi la défense recommandée est multicouche plutôt que fondée sur une seule mesure :
- des contrôles renforcés directement auprès de l'opérateur, lorsqu'ils existent ;
- une authentification matérielle découplée du numéro, pour les comptes les plus sensibles ;
- une compartimentation de l'identité, c'est-à-dire éviter qu'un même numéro ou une même adresse e-mail serve de clé à l'ensemble des comptes.
Les signes d'alerte et la marche à suivre en cas d'attaque
Plusieurs signaux permettent de repérer un SIM swap en cours : une perte soudaine de signal sans raison apparente, une activité inhabituelle sur un compte, un blocage d'accès à des services habituellement disponibles, ou une alerte de l'opérateur concernant une activation ou un portage non demandé, selon Trend Micro. La rapidité de réaction compte : une fois le numéro repris, l'attaquant peut cascader à travers plusieurs comptes en moins d'une heure, selon Atlant Security.
En cas de suspicion, une seule séquence d'action est recommandée, à exécuter dans cet ordre :
- Contacter immédiatement l'opérateur téléphonique pour signaler la perte de signal suspecte et demander le blocage ou la reprise de la ligne.
- Dès que possible, depuis un autre appareil non compromis, changer le mot de passe de la boîte e-mail principale, point de réinitialisation de la plupart des autres comptes.
- Alerter la banque et les exchanges ou wallets crypto concernés pour signaler un risque de compromission et geler les opérations sensibles.
- Une fois la ligne reprise, réactiver une méthode de double authentification qui ne repose pas sur le SMS.
Foire aux questions sur le SIM swap et la sécurité crypto
Un SIM swap nécessite-t-il mon téléphone physique ? Non. L'attaque peut se produire sans que le téléphone de la victime ne soit volé ni même touché : les fraudeurs convainquent l'opérateur à partir de données personnelles obtenues ailleurs, selon Trend Micro. Conserver physiquement son téléphone ne constitue donc pas une protection en soi contre ce vecteur d'attaque.
L'eSIM est-elle plus sûre que la SIM physique ? Rien dans les éléments disponibles ne permet d'affirmer que l'eSIM est plus sûre. Sa généralisation introduit surtout de nouveaux processus numériques de transfert de numéro, qui constituent potentiellement une voie de fraude supplémentaire plutôt qu'une protection, selon Trend Micro.
Puis-je demander un blocage de portage à mon opérateur en Belgique ? Le corpus consulté ne confirme pas l'existence d'un dispositif équivalent aux blocages de portage observés chez certains opérateurs britanniques. En l'absence de confirmation, la démarche la plus utile consiste à interroger directement son opérateur sur trois points précis : l'existence d'un blocage ou d'une validation supplémentaire en cas de demande de portage, la procédure exacte de vérification d'identité utilisée par ses conseillers, et le canal de notification en cas de changement de ligne.
La 2FA par application est-elle totalement invulnérable ? Aucune méthode d'authentification ne peut être qualifiée d'invulnérable dans l'absolu. Le risque résiduel se déplace alors vers les méthodes de récupération associées à ces outils : si leur réinitialisation repose elle-même sur un e-mail ou un numéro de téléphone mal protégé, la compartimentation perd une partie de son intérêt. D'où la nécessité de vérifier aussi la chaîne de récupération, pas seulement la méthode de connexion principale.
Conclusion : la prochaine bataille se jouera sur l'eSIM, pas sur le papier SIM
La généralisation de l'eSIM déplace le terrain de la fraude : le transfert d'un numéro ne passe plus par l'échange physique d'une carte, mais par un processus entièrement numérique, potentiellement plus rapide à détourner qu'à surveiller, selon Trend Micro. La question qui se pose désormais n'est plus seulement de savoir comment sécuriser un numéro de téléphone, mais comment des détenteurs de crypto en auto-conservation peuvent réduire leur dépendance à ce numéro avant que le prochain mécanisme de transfert ne soit, à son tour, détourné.
