Le SIM swapping consiste à faire transférer le numéro de téléphone d'une victime vers une carte SIM ou une eSIM contrôlée par l'attaquant. Une fois le transfert effectué, appels et SMS — y compris les codes d'authentification — arrivent chez l'attaquant, et le téléphone de la victime perd son réseau.
Comment le transfert est obtenu
L'attaque ne vise pas un système d'information mais un processus de service client. L'attaquant rassemble des informations personnelles issues de fuites ou de réseaux sociaux, contacte l'opérateur en se faisant passer pour l'abonné et invoque un motif banal : perte du téléphone, changement d'appareil, portabilité vers un autre opérateur. La complicité ponctuelle d'un employé est également documentée.
Le signal d'alerte pour la victime est brutal et souvent tardif : perte soudaine du réseau mobile, suivie de notifications de réinitialisation de mots de passe.
Ce que cela dit du SMS comme facteur
Le SMS n'a jamais été conçu comme un canal de sécurité : il n'est ni chiffré de bout en bout, ni lié à un appareil, et sa livraison dépend de processus opérateurs et d'un acheminement inter-réseaux. C'est l'une des raisons pour lesquelles le NIST classe l'OTP par SMS ou voix en canal « restricted » dans la SP 800-63B.
Les mesures d'atténuation existent — code de portabilité, verrouillage du numéro, délai de carence — mais elles reposent sur un tiers que l'entreprise ne maîtrise pas. Retirer le numéro de téléphone du parcours d'authentification supprime la dépendance.
Aller plus loin : le SMS-OTP est-il encore sûr · SMS-OTP face au SIM swapping · définition de l'OTP · l'authentification cognitive