Détournement de carte SIM : la fraude qui vide un compte bancaire sans toucher au téléphone

Le téléphone perd le réseau. Pas de barre, pas d’appels, pas de SMS, alors que la zone est habituellement bien couverte. Un redémarrage n’y change rien. Quelques heures plus tard arrivent les notifications de changement de mot de passe qu’on n’a pas demandés, puis les mouvements bancaires qu’on n’a pas autorisés. Entre les deux, personne n’a touché à l’appareil.

C’est le déroulé type du détournement de carte SIM, que la gendarmerie de la Somme a de nouveau signalé fin août dans le cadre du dispositif de prévention AlerteCyberGend, associé au ministère de l’Intérieur. Le phénomène est repéré dans ce département mais n’a rien de local.

Ce n’est pas le téléphone qui est piraté, c’est la ligne

Le principe ne repose sur aucune prouesse technique. L’escroc commence par rassembler quelques données élémentaires sur sa cible : nom, date de naissance, adresse, adresse électronique. Compte tenu du nombre de fuites de données massives survenues ces dernières années, ces informations circulent déjà pour une grande partie de la population. Le hameçonnage et les réseaux sociaux font le reste.

Muni de ce dossier, le fraudeur se présente auprès de l’opérateur comme le titulaire de la ligne — en boutique, par téléphone, ou en piratant directement l’espace client. Il invoque une perte ou un vol, et demande un duplicata de carte SIM, l’activation d’une eSIM sur son propre appareil, voire la portabilité du numéro chez un concurrent.

L’opération aboutie, la carte SIM de la victime est instantanément désactivée. Le numéro fonctionne désormais sur le téléphone du fraudeur, qui reçoit les appels et surtout les SMS.

Une variante existe, plus artisanale : la carte SIM laissée dans un appareil confié à un réparateur peu scrupuleux, ou un téléphone abandonné sans surveillance.

L’eSIM a supprimé le délai postal

Le procédé n’est pas neuf, mais la généralisation de l’eSIM lui a donné une seconde jeunesse. Une carte SIM physique devait être expédiée, ce qui laissait un délai de plusieurs jours et un risque d’interception postale. Une eSIM s’active à distance, en ligne, en quelques minutes. Les vérifications d’identité côté opérateur, elles, n’ont pas suivi le même rythme.

C’est l’ensemble de la chaîne d’authentification par SMS qui s’effondre alors. Recevoir un code à 6 chiffres sur son mobile reste une protection efficace contre la simple réutilisation d’un mot de passe volé. Mais dès lors que le numéro lui-même est détourné, ce second facteur devient la porte d’entrée plutôt que le verrou. Le fraudeur demande une réinitialisation de mot de passe, reçoit le code, valide, et prend la main.

Les services les plus exposés sont ceux dont la récupération de compte ou la validation d’opération repose principalement sur le numéro de téléphone. Autrement dit : les banques, les messageries, une bonne partie des plateformes de commerce.

Bien au-delà du compte bancaire

Le vol d’argent est l’usage le plus immédiat, mais pas le seul. Une ligne détournée permet d’usurper l’identité de son titulaire de façon très convaincante : passer des appels et envoyer des messages en son nom, ouvrir des comptes, s’inscrire sur des services, diffuser des messages ou des contenus mensongers depuis un numéro authentique. Certains fraudeurs monétisent la ligne en passant des communications vers l’étranger, laissant à la victime des factures dépassant 1 500 euros.

Les préjudices financiers peuvent être lourds. Une affaire judiciaire a abouti à l’indemnisation d’une victime à laquelle près de 17 000 euros avaient été dérobés après la prise de contrôle de sa ligne.

Les signaux qui doivent alerter

Une coupure de réseau de quelques minutes ne signifie rien : cela arrive partout. Ce qui doit alerter, c’est une perte de réseau totale et prolongée dans un secteur habituellement couvert, qui persiste après redémarrage, avec l’impossibilité d’émettre ou de recevoir appels et messages. Le téléphone affiche généralement le mode « appels d’urgence uniquement ».

Second signal, plus explicite encore : recevoir par courriel une notification de commande d’une nouvelle carte SIM, d’activation d’eSIM ou de demande de portabilité qu’on n’a jamais sollicitée. La plupart des opérateurs envoient ce type de message. Il ne faut pas le laisser passer.

Troisième signal : des notifications de changement de mot de passe non demandés, ou des déconnexions inexpliquées de comptes en ligne.

Que faire dans l’heure

La priorité absolue est de joindre son opérateur depuis un autre téléphone, pour faire vérifier l’état de la ligne, désactiver la carte frauduleuse et réactiver la sienne. Chaque minute compte.

La banque doit être prévenue dans la foulée, afin de bloquer les opérations en cours et les moyens de paiement, et de demander le remboursement des sommes déjà détournées le cas échéant.

Vient ensuite la sécurisation des comptes, en commençant par la messagerie électronique principale : c’est elle qui sert à réinitialiser les accès à presque tout le reste. Puis la banque en ligne, puis les réseaux sociaux.

Il faut conserver les preuves — relevés bancaires, captures d’écran, horaires précis de la coupure réseau, messages reçus — et déposer plainte, la fraude relevant de l’usurpation d’identité. Les faits se signalent également sur cybermalveillance.gouv.fr, via le dispositif 17Cyber. Les SMS frauduleux se transmettent au 33700.

Réduire l’exposition en amont

Trois mesures limitent sérieusement le risque.

D’abord, sécuriser l’espace client de son opérateur avec un mot de passe unique et robuste, et activer un code confidentiel pour les opérations sensibles lorsque l’option existe. C’est le point d’entrée le plus souvent négligé.

Ensuite, abandonner le SMS comme second facteur d’authentification partout où une alternative est proposée. Les applications d’authentification génèrent les codes localement sur l’appareil, sans passer par le réseau mobile : un numéro détourné ne donne plus rien. Les clés d’accès, ou passkeys, offrent une protection équivalente. Google, Microsoft et Proton proposent chacun une application de ce type.

Enfin, ne jamais transmettre un code reçu par SMS à quelqu’un qui appelle ou écrit sans avoir été sollicité, même s’il se présente comme conseiller bancaire ou technicien de l’opérateur. Les messages légitimes d’un opérateur s’affichent sous son nom, pas sous un numéro en 06 ou 07. Face à tout message créant un sentiment d’urgence, le réflexe est de raccrocher et de rappeler l’organisme par ses coordonnées officielles.

Limiter la diffusion publique de son numéro de téléphone reste par ailleurs une précaution élémentaire.