Aller au contenu principal
Le petit code à six chiffres reçu par SMS rassure au moment de payer en ligne. Il donne l’impression d’un compte bien gardé. Pourtant, des chercheurs en sécurité confirment qu’il peut être intercepté sans toucher à votre téléphone. En cause, une infrastructure vieillissante et des techniques d’usurpation bien rodées.
Un protocole vieux de quarante ans explique pourquoi vos SMS bancaires restent vulnérables
Le protocole SS7 achemine les SMS entre opérateurs du monde entier. Il date des années 1980. À l’époque, la confiance régnait entre opérateurs. Chacun était vu comme un acteur fiable, jamais comme une menace potentielle. Cette architecture n’a donc jamais intégré de protections solides contre les intrusions modernes.
Un pirate ayant accès à cette infrastructure peut intercepter et rediriger vos messages. Il n’a pas besoin de toucher à votre carte SIM. Votre téléphone ne montre aucun signe d’anomalie. Le code censé protéger votre compte part pourtant directement vers un inconnu. Cette faille a déjà permis de capter des codes d’authentification envoyés par SMS.
Le SIM swap, la technique qui transfère votre numéro de téléphone vers un pirate
Le SIM swap, ou détournement de carte SIM, vise à transférer votre numéro vers une carte contrôlée par un fraudeur. Il agit à distance. Aucun besoin de voler votre téléphone : tout se joue par un simple appel ou une démarche en ligne auprès de votre opérateur.
Pour y parvenir, le fraudeur rassemble d’abord des informations personnelles. Il les glane sur les réseaux sociaux, via des campagnes de phishing, ou les achète sur le dark web. Une fois son dossier étoffé, il appelle l’opérateur en se faisant passer pour vous. Il invoque un téléphone perdu ou une carte défectueuse pour obtenir une nouvelle SIM.
Dès que le transfert est validé, tous vos SMS arrivent chez l’attaquant. Cela inclut vos codes bancaires. Il peut alors réinitialiser vos mots de passe. Il accède ensuite à vos comptes en ligne comme s’il s’agissait des siens, sans que vous receviez la moindre alerte.
Des pertes de plusieurs centaines de millions de dollars, des banques aux plateformes crypto
En 2024, le centre de plaintes en ligne du FBI a recensé 982 signalements liés au SIM swap. Les pertes déclarées avoisinent 26 millions de dollars. Ce montant recule nettement face aux 72 millions enregistrés en 2022. Ce recul traduit surtout un changement de méthodes, pas un vrai répit.
Les plateformes de cryptomonnaies restent les cibles les plus lucratives. En novembre 2022, un groupe de fraudeurs a dérobé plus de 400 millions de dollars à la plateforme FTX. La méthode ? Un SIM swap, réalisé en usurpant l’identité d’un employé auprès de son opérateur AT&T.
Des groupes organisés comme Scattered Spider ont fait du SIM swap une arme de choix. Leur but : contourner le 2FA par SMS. Ce collectif a aussi visé de grandes entreprises, dont MGM Resorts en 2023. La faille touche donc autant les particuliers que les géants du secteur.
Applications d’authentification et clés physiques, les alternatives fiables au SMS
La première parade consiste à remplacer le SMS par une application d’authentification. Microsoft, Google ou Authy en proposent chacun une version. Ces outils génèrent les codes directement sur votre appareil. Ils ne passent jamais par le réseau mobile. Résultat : même si un pirate récupère votre numéro, il n’obtient rien d’exploitable.
Pour les comptes les plus sensibles, la clé de sécurité physique offre une protection supérieure. Compatible avec le standard FIDO2, elle existe notamment sous le nom de YubiKey. Cet objet doit être présent physiquement pour valider une connexion. Toute interception à distance devient alors impossible.