Dans un monde de plus en plus connecté, le numéro de téléphone est devenu une clé majeure pour accéder à une multitude de services numériques, tels que les réseaux sociaux, les courriels ou encore les comptes bancaires. C’est pourquoi le phénomène de « SIM Swapping » — ou duplication frauduleuse de carte SIM — reste l’un des modes d’attaques les plus lucratifs pour les cybercriminels, malgré sa présence sur le radar de la cybersécurité depuis plusieurs années.

Bien que cette forme de fraude ait été massivement détectée à partir de 2019, elle continue de faire des ravages en 2025, exploitant deux facteurs clés : la exposition des données personnelles sur Internet et des procédures de vérification faibles ou inadaptées au sein de certaines opérateurs.

Le principe de l’attaque est simple : obtenir une duplication de la SIM de la victime pour prendre le contrôle des appels, messages, et notamment des SMS contenant des codes de vérification à deux facteurs (2FA). La méthode consiste généralement en plusieurs étapes : l’accumulation de données personnelles via les réseaux sociaux ou des fuites, le déguisement en victime pour demander un doublon auprès de l’opérateur, puis la désactivation de la SIM originale. L’assaillant peut alors intercepter tout code envoyé par SMS, permettant de réinitialiser des mots de passe ou d’effectuer des transactions financières.

Malgré les efforts réglementaires et les améliorations dans les processus d’authentification, le délai entre la perte de signal par la victime et la détection de la fraude demeure critique. La détection précoce repose souvent sur une perte soudaine de couverture mobile, sans cause apparente, qui peut signaler un clonage de la SIM. Cependant, comme de nombreux attacks sont menés la nuit ou à des moments où la victime ne regarde pas son téléphone, cela laisse une marge importante aux cybercriminels pour agir.

Pour se prémunir contre ces attaques, les experts en cybersécurité recommandent une combinaison de bonnes pratiques personnelles, telles que limiter la divulgation de données sur les réseaux sociaux, ou recourir à des méthodes de vérification alternatives comme des applications OTP ou des clés physiques, et l’évitement des réseaux Wi-Fi publics lors d’opérations sensibles. Sur un plan plus global, les entreprises doivent instaurer des authentifications multi-facteurs qui ne dépendent pas uniquement du numéro de téléphone, surveiller les modifications sur les appareils liés à des accès critiques, et établir des protocoles de réponse rapide en cas d’alerte.

En matière de lutte contre la fraude, le secteur des télécommunications commence à adopter des outils innovants, comme Open Gateway, un cadre d’API ouvertes permettant aux banques et autres entités de vérifier en temps réel si une SIM a été récemment remplacée, réduisant considérablement le risque d’atteinte. Bien que l’utilisation des SMS comme second facteur d’authentification reste courante, la tendance se tourne vers des méthodes plus sûres et résistantes à ce type d’attaques.

En cas de suspicion de SIM swapping, il est crucial d’agir rapidement : contacter immédiatement l’opérateur pour bloquer la SIM frauduleuse, prévenir la banque afin de suspendre temporairement les opérations, documenter tout mouvement suspect pour une éventuelle plainte, et modifier tous les mots de passe en éliminant le SMS en tant que méthode de vérification.

Enfin, il est important de souligner que, même si le SIM swapping est en majorité une attaque ciblée, il ne se limite pas à la protection des comptes bancaires en ligne : il peut aussi servir à pirater des comptes de réseaux sociaux, des messageries ou d’autres services essentiels, ce qui renforce la nécessité d’une vigilance accrue.