Une arnaque au SIM swap ou à la portabilité frauduleuse transfère ton numéro de téléphone vers une SIM ou un compte que l’attaquant contrôle, et avec lui chaque code SMS envoyé par tes comptes. Protège-toi dans deux directions : rends ton compte opérateur plus difficile à détourner avec un code PIN, et fais passer tes connexions importantes du SMS à une appli d’authentification, une clé de sécurité ou une clé d’accès.
Comment les codes SMS protègent un compte, et où ils faiblissent
L’authentification à deux facteurs demande quelque chose que tu possèdes en plus du mot de passe. Un code par SMS prouve que tu détiens le numéro de téléphone à cet instant. Cela arrête quiconque n’a volé que ton mot de passe.
| Protège contre | Point faible | |
|---|---|---|
| Code par SMS ou appel | Mots de passe volés | Qui prend le contrôle du numéro obtient le code |
| Appli d’authentification | Mots de passe volés, détournement du numéro | Peut encore être saisi sur un faux site |
| Clé de sécurité ou clé d’accès | Mots de passe volés, détournement, faux sites | Il faut avoir l’appareil avec soi |
La CISA qualifie FIDO/WebAuthn de seule méthode largement disponible résistante au hameçonnage, et indique aussi que toute authentification multifacteur vaut mieux que rien.
Ce qu’est le SIM swapping
- Collecte d’informations L’attaquant rassemble ce que demande ton opérateur : adresse, date de naissance, parties de numéros d’identité, depuis les réseaux sociaux ou des données qui ont fuité.
- Appel à ton opérateur Se faisant passer pour toi, il demande de transférer le numéro vers une nouvelle SIM ou de le porter chez un autre fournisseur.
- Ton téléphone devient muet La FCC le cite comme premier signe : plus de service, ou appels d’urgence seulement.
- Les codes vont chez lui Désormais, les réinitialisations de mot de passe et codes de connexion par SMS parviennent à l’attaquant, qui s’empresse de changer tes mots de passe.
Cinq étapes qui compliquent un transfert
- Ajoute un code PIN ou un mot de passe à ton compte mobile si tu n’en as pas. Demande à ton opérateur quelles protections il propose.
- Sors les comptes clés du SMS : e-mail, stockage cloud et réseaux sociaux vers une appli d’authentification, une clé d’accès ou une clé de sécurité.
- Enregistre des codes de secours là où tu peux les atteindre sans ton téléphone. Google, par exemple, t’en donne dix, chacun utilisable une fois.
- Active les alertes par e-mail et SMS pour les comptes importants, afin de remarquer aussitôt un changement que tu n’as pas fait.
- Partage moins ton numéro principal. La FCC range ton numéro de téléphone parmi les informations à garder hors des réseaux sociaux.
N’utilise jamais un numéro temporaire pour des codes en deux étapes
Un numéro d’authentification à deux facteurs doit t’atteindre aussi longtemps que le compte existe. Un numéro temporaire est fermé après un code et peut ensuite appartenir à quelqu’un d’autre : le code de connexion suivant irait donc à un inconnu ou nulle part.
| Ton propre numéro | Un numéro à usage unique | |
|---|---|---|
| Connexion en deux étapes | Oui, idéalement remplacé par une appli ou une clé | Jamais |
| Réinitialisation du mot de passe par SMS | Oui | Jamais |
| Une inscription dont tu as besoin une fois | Possible, mais ton numéro se diffuse | Oui : garde ton numéro principal hors d’une base de données de plus |
C’est le côté confidentialité de la même idée : moins il y a d’endroits qui détiennent ton numéro principal, moins il y a à collecter pour un transfert. Où les numéros à usage unique conviennent et où non : numéros de téléphone temporaires.
Questions fréquentes
Qu’est-ce que la protection SIM swap ?
Des mesures qui rendent plus difficile le transfert de ton numéro à ton insu : un code PIN ou un mot de passe sur ton compte opérateur, et des connexions qui ne dépendent pas du SMS.
L’authentification à deux facteurs par SMS est-elle sûre ?
Plus sûre qu’un mot de passe seul, plus faible qu’une appli d’authentification ou une clé de sécurité, car un numéro détourné reçoit les codes.
Comment savoir si j’ai subi un SIM swap ?
Ton téléphone n’a soudain plus de service ou n’autorise plus que les appels d’urgence, souvent suivi de messages de réinitialisation de mot de passe que tu n’as pas demandés.
Puis-je utiliser un numéro virtuel pour la 2FA ?
Pas un numéro temporaire. Les codes en deux étapes doivent t’atteindre pendant des années, et un numéro pour un code a disparu après lui.