Le SIM swapping est la seule attaque qui prive une organisation de son second facteur sans jamais toucher à son système d'information. L'attaquant convainc un opérateur de transférer un numéro vers une carte SIM qu'il contrôle. À partir de cet instant, tous les codes SMS destinés à la victime lui parviennent. Aucun contrôle interne n'a été franchi : le facteur a simplement changé de détenteur.
La faiblesse est structurelle, pas conjoncturelle
En choisissant le SMS comme facteur, une entreprise délègue de fait une partie de son contrôle d'accès à un acteur qu'elle ne pilote pas. La sécurité de l'authentification devient dépendante de la robustesse des procédures de service client d'un opérateur, y compris à l'étranger en situation d'itinérance, et de la résistance de ses conseillers à l'ingénierie sociale.
Cette dépendance a trois conséquences concrètes.
Vous ne pouvez pas auditer la chaîne. Les procédures d'identification appliquées au guichet ou en ligne pour une demande de portabilité ne vous sont pas opposables.
Vous ne pouvez pas durcir le facteur. Aucune configuration côté entreprise n'empêche un transfert de ligne.
Vous découvrez l'attaque après coup. Le signal — perte soudaine de réseau sur le téléphone de la victime — appartient à l'utilisateur, pas au système.
Le préalable habituel de l'attaque est la collecte de données personnelles suffisantes pour se faire passer pour le titulaire : informations publiques, fuites antérieures, réseaux sociaux professionnels. Les dirigeants et administrateurs, dont l'exposition publique est forte, sont naturellement les cibles prioritaires.
Enchaînement typique et points de rupture
| Étape | Action de l'attaquant | Où il est possible d'agir |
|---|---|---|
| Préparation | Collecte d'informations sur la cible | Réduire l'exposition publique des rôles sensibles |
| Détournement | Demande de portabilité ou de nouvelle SIM | Verrous et alertes proposés par l'opérateur |
| Bascule | La ligne cesse de fonctionner chez la victime | Consigne de signalement immédiat |
| Exploitation | Réception des codes SMS | Ne pas dépendre du SMS sur les comptes sensibles |
| Persistance | Réinitialisation de mots de passe par SMS | Supprimer le SMS des parcours de récupération |
| Impact | Virements, accès aux services critiques | Validation d'intention liée à l'opération |
La lecture de ce tableau montre où se situe le vrai levier : les deux dernières lignes. Les premières relèvent d'acteurs externes ; les dernières sont entièrement sous votre contrôle.
Pourquoi la récupération de compte est le point critique
Dans la plupart des organisations, le SMS n'est pas seulement un second facteur : c'est aussi le mécanisme de secours quand tout le reste échoue. « Mot de passe oublié » envoie un code par SMS. « Nouveau téléphone » envoie un code par SMS.
Conséquence : même une organisation qui a déployé des passkeys sur ses comptes sensibles peut rester vulnérable, parce que le chemin de récupération ramène au numéro de téléphone. Un attaquant qui contrôle la ligne n'a pas besoin de casser le facteur fort — il demande simplement à le réinitialiser.
C'est le principe du maillon faible appliqué au cycle de vie de l'identité. Tant qu'un parcours alternatif accepte le SMS, le niveau de sécurité global est celui du SMS.
Parades applicables
- Supprimer le SMS des parcours de récupération des comptes à privilèges et des fonctions financières. Prioritaire, et souvent réalisable sans projet lourd.
- Prévoir une récupération par preuve non téléphonique : validation par un responsable identifié, réenrôlement en présentiel, ou méthode de résolution personnelle établie hors ligne lors de l'enrôlement initial, indépendante de tout canal de transport.
- Attacher la validation aux opérations sensibles. Si un virement exige une preuve d'intention contextualisée, la simple réception de codes SMS ne suffit plus à produire un préjudice.
- Sensibiliser sur le signal spécifique. Une perte de réseau inexpliquée sur un téléphone professionnel doit être signalée comme un incident de sécurité, pas traitée comme un problème d'opérateur. La consigne est simple et rarement donnée.
- Réduire l'exposition des rôles sensibles. Numéros professionnels non publiés, séparation entre ligne personnelle et ligne servant à l'authentification, vigilance sur les informations publiées dans les annuaires en ligne.
- Détecter côté service. Une réinitialisation de mot de passe suivie immédiatement d'un enregistrement de facteur puis d'une opération financière constitue un motif à alerter, quelle que soit la validité apparente de chaque étape.
Sur le fond, le SIM swapping illustre la limite d'un facteur fondé sur la possession d'un canal plutôt que sur une preuve produite par la personne. Un facteur qui ne transite par aucun opérateur tiers et qui exige une résolution active de l'utilisateur — la logique du 4ᵉ facteur cognitif — supprime la dépendance à la ligne téléphonique.
FAQ
Le SIM swapping concerne-t-il vraiment les entreprises ?
Oui, en priorité pour les dirigeants, les administrateurs informatiques et les responsables financiers. Ce sont les profils dont l'identité est la plus documentée publiquement et dont les accès justifient l'effort de l'attaquant.
Une eSIM protège-t-elle mieux ?
Elle supprime la manipulation physique d'une carte, mais le risque reste le même : la procédure d'attribution passe par l'opérateur et repose sur une vérification d'identité à distance. Le problème est procédural, pas matériel.
Comment réagir quand un collaborateur signale une perte de réseau suspecte ?
Traitez-le comme une compromission probable : suspendre les opérations sensibles du compte, révoquer les sessions actives, vérifier les facteurs enrôlés et les réinitialisations récentes, puis faire vérifier la ligne auprès de l'opérateur.
Une application d'authentification suffit-elle à régler le problème ?
Elle supprime la dépendance à la ligne pour le facteur quotidien, ce qui est déjà décisif. Elle ne règle rien si le parcours de récupération continue d'accepter un code envoyé au numéro de téléphone.
Aller plus loin : authentification cognitive · MFA résistante au phishing · le SMS-OTP est-il sûr ? · récupération de compte par passkey