Comment savoir si votre numéro de téléphone a fuité (et quoi faire)

Votre numéro de mobile n'est connu que de votre famille, de votre travail et de peu d'autres. Alors pourquoi des inconnus vous appellent chaque semaine, pourquoi recevez-vous des SMS pour des jeux auxquels vous n'avez pas participé, et pourquoi un maître chanteur connaît votre nom et votre e-mail ? La réponse la plus probable est que votre numéro a fuité : il circule dans une base de données que vous ne contrôlez pas. On vous explique comment le vérifier et, surtout, quoi faire ensuite, car la fuite est irréversible mais ses conséquences peuvent être contenues.

Comment mon numéro finit-il entre les mains d'inconnus ?

Ce n'est presque jamais parce qu'on vous aurait "piraté le mobile". Les voies habituelles sont bien plus banales :

• Fuites de grandes plateformes. Réseaux sociaux, boutiques en ligne, applis de transport ou de repas : quand l'une d'elles subit une violation, votre nom, votre e-mail et votre téléphone partent dans un lot qui se vend et se revend pendant des années. Si vous êtes sur internet depuis plus de dix ans, il est rare de n'être dans aucune.
• Formulaires et jeux concours. Chaque fois que vous laissez votre numéro dans un jeu, un comparateur de forfaits, une "étude de marché" ou le wifi gratuit du centre commercial, cette donnée entre dans une base commerciale qui peut se vendre (légalement ou non) à des tiers.
• Carnets d'adresses synchronisés. Beaucoup d'applis téléversent votre carnet de contacts sur leurs serveurs. Votre numéro circule non seulement à cause de ce que vous faites, mais de ce que font vos contacts avec les applis qu'ils installent.
• Annuaires et agrégateurs de données. Il existe des entreprises dont le métier est de croiser données publiques et commerciales et de vendre des profils. Votre numéro, associé à votre nom et votre ville, est une marchandise standard.
• L'appel auquel vous avez répondu. Les composeurs automatiques vérifient les lignes actives en appelant et en raccrochant : si vous décrochez, votre numéro est marqué "actif et avec humain", ce qui vaut plus cher. C'est le phénomène que nous expliquons dans on m'appelle et on ne parle pas.

Comprendre cela compte pour une raison : la solution n'est pas de changer de numéro chaque année (le nouveau fuira pareil), mais de réduire où vous le donnez et de blinder ce qui en dépend.

Comment vérifier si mon numéro a fuité ?

Il n'y a pas un unique feu vert/rouge, mais plusieurs vérifications utiles :

1. Cherchez votre propre numéro entre guillemets dans un moteur de recherche ("06 12 34 56 78"). S'il apparaît sur des sites de signalements, des forums ou des annuaires bizarres, il circule publiquement. Faites de même avec votre e-mail.
2. Consultez les services de vérification de violations avec votre e-mail (celui lié à vos comptes). Si votre e-mail figure dans des violations connues, supposez que le téléphone qui l'accompagnait circule aussi.
3. Vérifiez ce que savent de vous ceux qui vous appellent. Si un inconnu vous appelle par votre nom complet, ou si un SMS mentionne de vraies données vous concernant, ce n'est pas un hasard : ils travaillent avec une base issue d'une fuite. Cherchez ce numéro dans l'annuaire des numéros spam : s'il accumule des signalements de campagnes massives, cela confirme que vos données circulent.
4. Regardez vos comptes. Les alertes de "connexion depuis un nouvel appareil" que vous ne reconnaissez pas, les e-mails de réinitialisation de mot de passe non demandés ou les contacts qui reçoivent du spam "de votre part" sont des signes que vos données (et peut-être vos identifiants) sont compromises.
5. Vérifiez les autorisations de vos applis. Passez en revue quelles applications ont accès à vos contacts et à votre téléphone, et retirez l'accès à celles qui n'en ont pas besoin. Chaque carnet synchronisé est une future fuite.

Mon numéro a fuité, que faire maintenant ?

Partez du principe que vous ne le "dé-fuiterez" pas : une fois qu'une donnée circule, on ne la récupère pas. L'objectif est qu'elle serve au moins possible :

1. Blindez l'authentification. Votre numéro compromis + votre e-mail compromis = des tentatives d'entrer dans vos comptes. Changez les mots de passe importants (commencez par l'e-mail), activez la vérification en deux étapes partout où c'est sensible et, où c'est possible, utilisez une appli d'authentification plutôt que le SMS : le SMS vers un numéro compromis est le maillon faible.
2. Ne confirmez aucune donnée à des inconnus. Celui qui vous appelle avec vos données partielles ("êtes-vous bien M./Mme... ?") cherche à vous faire compléter le reste. Ne confirmez ni nom, ni pièce d'identité, ni adresse à qui vous appelle. Raccrochez et vérifiez par vous-même.
3. Réduisez la surface. Inscrivez-vous sur Bloctel contre le démarchage légal, demandez la suppression de vos données aux entreprises qui vous dérangent et cessez de donner votre vrai numéro dans les formulaires : utilisez un second numéro ou un contact alternatif pour les jeux, les comparateurs et les inscriptions jetables.
4. Filtrez sur le téléphone. Activez le filtrage des appels inconnus de l'iPhone ou d'Android, bloquez les numéros récidivistes et ne rappelez pas les numéros que vous ne reconnaissez pas.
5. Surveillez vos factures et vos comptes. Vérifiez chaque mois relevés et factures à la recherche de mouvements inconnus, et prêtez attention aux SMS de portabilité ou de vérification non demandés : ils pourraient signaler une tentative de duplicata de SIM frauduleux ou d'inscription non autorisée.
6. Signalez. Chaque numéro de spam que vous signalez dans l'annuaire des numéros spam aide la personne suivante à le reconnaître avant d'interagir.

Si en plus vous soupçonnez que vos données ont servi à souscrire quelque chose en votre nom, vous avez la voie de réclamation que nous expliquons dans comment récupérer l'argent d'une arnaque téléphonique.

Questions fréquentes

Devrais-je changer de numéro ? Seulement dans les cas extrêmes (harcèlement persistant). Pour le spam ordinaire, ça ne vaut pas le coup : le nouveau numéro finira dans les mêmes bases dès que vous l'utiliserez pareil. Mieux vaut blinder les comptes et filtrer les appels.

Puis-je demander que mon numéro soit effacé de ces bases ? Auprès des entreprises identifiables, oui : vous avez un droit d'effacement et d'opposition. Auprès des bases illégales qui circulent sur les forums et canaux d'arnaqueurs, il n'y a personne à qui le demander. C'est pourquoi la stratégie est le confinement, pas l'effacement.

Donner mon numéro dans un formulaire est-il toujours une mauvaise idée ? Non, mais soyez sélectif : nécessaire pour votre banque ou votre médecin, superflu pour un jeu ou un wifi gratuit. Lisez pourquoi on le demande et s'il sera transmis à des tiers ; si ce n'est pas clair, ne le donnez pas.

Les applis qui "identifient qui vous appelle" aident-elles ou aggravent-elles le problème ? Elles aident à identifier le spam, mais beaucoup fonctionnent en téléversant votre carnet sur leurs serveurs, c'est-à-dire en faisant fuiter les numéros de vos contacts. Si vous en utilisez une, vérifiez sa politique de confidentialité et ses réglages avant de lui donner accès à vos contacts.

En résumé

Votre numéro circule presque sûrement déjà dans une base que vous ne contrôlez pas, et cela ne se répare pas. Tout le reste, si : mots de passe uniques avec double facteur, zéro confirmation de données à des inconnus, Bloctel, filtrage sur le téléphone et surveillance mensuelle des factures. Et quand on vous appelle depuis un numéro inconnu, il faut quelques secondes pour le chercher dans l'annuaire des numéros spam de NoCall : savoir que d'autres l'ont déjà signalé est le moyen le plus rapide de décider de ne pas décrocher.