SIM swapping en France : l'arnaque au duplicata de carte SIM et comment s'en protéger

Avec le SIM swapping, un criminel convainc votre opérateur de transférer votre numéro sur une carte SIM entre ses mains. Dès lors, il reçoit vos appels et — bien pire — les SMS contenant les codes de vérification de votre banque. Voici comment ils opèrent, ce qui trahit l'attaque et comment vous protéger.

Contrairement aux arnaques que vous connaissez déjà, ici personne ne vous trompe au téléphone. Le coup porte sur votre opérateur. C'est ce qui rend cette fraude si dangereuse : vous pouvez tout faire bien, ne jamais répondre aux numéros inconnus, et perdre quand même le contrôle de votre ligne. La bonne nouvelle, c'est qu'il existe des défenses concrètes, presque toutes gratuites.

Qu'est-ce que le SIM swapping, exactement ?

Votre numéro ne vit pas dans la carte SIM en plastique. Il vit dans les systèmes de votre opérateur, qui associent ce numéro à une carte donnée. Quand vous perdez votre téléphone ou que la carte tombe en panne, l'opérateur désactive l'ancienne SIM et en active une nouvelle avec le même numéro. Un service légitime et nécessaire.

Le SIM swapping (ou échange de SIM frauduleux) se produit quand un criminel demande ce duplicata en se faisant passer pour vous. S'il y parvient, votre vraie SIM tombe sans service en quelques minutes et votre numéro se met à fonctionner sur le téléphone de l'attaquant. Une variante proche est la portabilité frauduleuse : faire porter votre numéro chez un autre opérateur avec de faux documents.

Dès lors, tout ce qui dépend de votre numéro tombe entre ses mains : les SMS de vérification de votre banque, de votre e-mail et de vos réseaux sociaux ; les appels de confirmation que certains établissements passent avant une opération ; et les SMS de récupération de mot de passe de dizaines de services. Avec le code reçu par SMS, l'attaquant entre dans votre banque en ligne, valide des virements ou vide votre compte — sans que votre mot de passe ait jamais fuité.

Comment parviennent-ils à se faire passer pour vous ?

Le duplicata n'est pas la première étape de la fraude, mais la dernière. Avant, le criminel doit réunir assez de vos données pour convaincre l'opérateur qu'il est le titulaire de la ligne. Cette phase préliminaire est de la pure ingénierie sociale : fuites de données, phishing et smishing vous demandant de "vérifier" vos informations, appels se faisant passer pour votre banque ou votre opérateur, et informations publiques glanées sur vos réseaux sociaux.

Le SIM swapping est donc presque toujours précédé d'une autre tentative d'arnaque. Si vous avez récemment reçu un appel ou un SMS demandant des données personnelles, considérez-le comme une alerte précoce.

Pourquoi le SMS n'est plus un second facteur sûr

Pendant des années, recevoir un code par SMS pour confirmer une opération semblait suffisant : vous seul avez votre téléphone, donc vous seul recevez le code. Le SIM swapping brise cette prémisse à la racine. Si l'attaquant contrôle votre numéro, c'est lui qui reçoit le code.

La conclusion n'est pas que le SMS ne sert à rien, mais que c'est le facteur le plus faible qui soit. Quand vous pouvez choisir une autre méthode de vérification, choisissez-la.

Les signes d'un SIM swap en cours

Votre grand atout défensif, c'est que le SIM swapping laisse une trace très visible : votre téléphone cesse de fonctionner. Le problème, c'est que beaucoup y voient une panne technique et tardent des heures à réagir. Chaque minute compte.

Le signal roi, c'est la perte de réseau inexplicable. Si vous êtes là où vous avez toujours du réseau et qu'il disparaît soudainement, et qu'un redémarrage n'y change rien, n'attendez pas. Prenez un autre téléphone et appelez votre opérateur pour confirmer que votre SIM est toujours active et que personne n'a demandé de duplicata.

Que faire dans les premières minutes

1. Appelez votre opérateur (Orange, SFR, Bouygues Telecom ou Free) depuis un autre téléphone et demandez le blocage de tout duplicata ou portabilité et la réactivation de votre SIM. Dites que vous suspectez une fraude.
2. Contactez votre banque par son canal officiel (l'appli ou le numéro au dos de votre carte) et demandez le gel des accès et des opérations en ligne.
3. Changez les mots de passe de votre e-mail principal et de votre banque depuis un appareil de confiance — pas depuis le téléphone touché.
4. Passez vos comptes en revue à la recherche de mouvements que vous n'avez pas faits.
5. Déposez plainte au commissariat ou à la gendarmerie, et signalez les messages suspects au 33700. Conservez toutes les références.

Comment se protéger avant que cela n'arrive

Le code de sécurité opérateur : votre meilleur bouclier

Les opérateurs en France permettent de définir un code ou mot de passe de sécurité pour les opérations sensibles comme les duplicatas de SIM et les portabilités. Sans ce code, même avec vos données personnelles, le changement ne devrait pas être autorisé.

Il n'est pas toujours actif par défaut. Demandez-le expressément : appelez votre opérateur ou connectez-vous à votre espace client, demandez l'activation d'un code de sécurité pour les opérations de ligne, choisissez un code non devinable (pas de dates de naissance) et conservez-le séparément de tout le reste. C'est gratuit, et c'est la barrière la plus efficace contre le duplicata frauduleux.

Remplacez le SMS par des vérifications plus fortes

Même en cas de SIM swap, si vos comptes critiques ne dépendent pas du SMS, l'attaquant reste sans la pièce maîtresse :

La recommandation pratique : migrez le second facteur de votre banque, de votre e-mail et de vos réseaux vers une appli d'authentification ou des passkeys partout où c'est possible. Ne gardez le SMS que pour les services sans alternative.

Réduisez votre empreinte de données et blindez votre e-mail

Ne donnez jamais de données personnelles à qui vous contacte sans que vous l'ayez initié, méfiez-vous de l'urgence fabriquée, passez en revue ce que vous publiez et réagissez aux avis de fuite de données. Et rappelez-vous que votre e-mail est la clé maîtresse : protégez-le avec la vérification la plus forte disponible et activez les notifications de votre banque à chaque accès ou mouvement.

Votre plan anti-SIM swap

1. Activez le code de votre opérateur dès aujourd'hui.
2. Sortez le SMS de votre 2FA pour la banque, l'e-mail et les réseaux.
3. Traitez toute perte soudaine de réseau comme une urgence, pas comme une panne.
4. Protégez votre e-mail avant tout et activez les alertes bancaires.

Le SIM swapping fait peur parce qu'il attaque ce que vous croyiez inviolable : votre propre numéro. Mais c'est l'une des fraudes qui se préviennent le mieux à temps : un appel à votre opérateur et une demi-heure de réglages.