Attaque SIM swap : fonctionnement et protection des cryptos

Une attaque par SIM swap se produit lorsqu'un criminel convainc votre opérateur mobile de transférer votre numéro de téléphone sur une carte SIM qu'il contrôle. À partir de ce moment, vos appels et SMS, y compris les liens de réinitialisation de mot de passe et les codes de connexion par SMS, arrivent chez l'attaquant, qui s'en sert pour pénétrer dans vos comptes e-mail, de plateforme d'échange et bancaires.

Les détenteurs de cryptos sont une cible de choix, car les coins volés circulent vite et sont difficiles à récupérer. Ce guide explique comment fonctionnent les SIM swaps, leur fréquence, deux affaires judiciaires qui illustrent le schéma, ce qu'a fait la Federal Communications Commission (FCC) américaine, et les mesures qui vous protègent réellement.

Qu'est-ce qu'un SIM swap

La FCC définit le SIM swapping comme le fait, pour un acteur malveillant, de convaincre « l'opérateur sans fil d'une victime de transférer le service de la victime de son téléphone portable vers un téléphone portable en possession de l'acteur malveillant ». Une variante proche est la fraude à la portabilité (port-out fraud) : l'attaquant ouvre un compte chez un autre opérateur au nom de la victime et y fait transférer, ou « porter », le numéro (communiqué de la FCC, 15 novembre 2023).

Dans les deux cas, l'attaquant n'a jamais besoin de toucher votre téléphone. Il lui suffit que votre opérateur le prenne pour vous, ou qu'un employé de l'opérateur accepte de l'aider.

Comment fonctionne une attaque par SIM swap

Le FBI décrit trois voies d'accès à l'opérateur (FBI IC3, février 2022) :

• Ingénierie sociale. Le criminel se fait passer pour la victime et persuade l'opérateur de basculer le numéro sur une nouvelle SIM. La FCC note que les escrocs collectent les informations nécessaires sur les réseaux sociaux ou les achètent à des pirates : adresse, date de naissance, codes PIN ou mots de passe du compte, et les quatre derniers chiffres d'un numéro de sécurité sociale (Social Security number).
• Complicité interne. Le criminel paie un employé de l'opérateur pour effectuer le transfert.
• Hameçonnage du personnel de l'opérateur. Des employés sont piégés pour installer un logiciel malveillant qui permet à l'attaquant d'effectuer lui-même les transferts.

Une fois le numéro transféré, l'attaque devient une course contre la montre. Le criminel envoie des demandes « Mot de passe oublié » à tous les comptes liés au numéro, reçoit par SMS les liens de réinitialisation et les codes à usage unique, et bloque le propriétaire hors de ses comptes. La FCC décrit l'attaquant qui tente de réinitialiser « le plus grand nombre possible de comptes financiers et de réseaux sociaux de la victime avant que celle-ci ne se rende compte qu'elle a perdu le service ».

Le FBI met aussi en garde contre deux variantes plus discrètes : le renvoi d'appel et la sonnerie simultanée, par lesquels le criminel obtient de l'opérateur qu'il renvoie les appels ou fasse sonner un second téléphone, ce qui peut aussi contourner la vérification par téléphone (FBI IC3, avril 2024).

Quelle est la fréquence des attaques par SIM swap

Les chiffres publics les plus détaillés proviennent des données de plaintes du FBI. De janvier 2018 à décembre 2020, l'IC3 a reçu 320 plaintes pour SIM swap, avec des pertes ajustées d'environ 12 millions de dollars. Pour la seule année 2021, il en a reçu 1 611, avec des pertes ajustées de plus de 68 millions de dollars. L'alerte du FBI à l'époque portait précisément sur des criminels utilisant le SIM swap pour voler des « comptes en monnaie fiat et en monnaie virtuelle ».

Les données de plaintes ne reflètent que ce que les victimes signalent : considérez-les comme un plancher plutôt que comme un décompte complet.

Affaires de SIM swap marquantes

Deux poursuites américaines récentes montrent comment l'attaque est utilisée en pratique :

• Le compte X de la SEC (janvier 2024). Des attaquants ont pris le contrôle du compte X de la Securities and Exchange Commission américaine et annoncé à tort l'approbation des fonds négociés en bourse (ETF) Bitcoin. Selon le ministère de la Justice, Eric Council Jr. a réalisé le SIM swap en imprimant une fausse carte d'identité avec les données personnelles de la victime et en l'utilisant pour prendre le contrôle de son numéro de téléphone. Le Bitcoin a gagné plus de 1 000 $ après la fausse publication, puis en a perdu plus de 2 000 après la correction. Council a été condamné le 16 mai 2025 à 14 mois de prison (US Department of Justice).
• Vols de cryptos liés à Scattered Spider. Noah Michael Urban, de Palm Coast (Floride), a été condamné le 21 août 2025 à 10 ans de prison fédérale. Selon l'accusation, d'août 2022 à mars 2023, il a volé des cryptomonnaies à au moins 59 victimes au moyen de SIM swaps, pour des pertes totales supérieures à 13 millions de dollars. Il a été condamné à verser 13 millions de dollars de dédommagement (US Attorney's Office, Middle District of Florida).

L'affaire de la SEC rappelle utilement qu'être une organisation importante et bien dotée ne sert à rien si un numéro de téléphone est le maillon faible.

Ce qu'exigent les règles de la FCC

Le 15 novembre 2023, la FCC a adopté des règles visant le SIM swap et la fraude à la portabilité. Elles imposent aux opérateurs sans fil d'utiliser des méthodes sécurisées pour authentifier les clients avant de transférer un numéro vers un nouvel appareil ou un nouvel opérateur, d'avertir immédiatement les clients lorsqu'une demande de changement de SIM ou de portabilité est faite, et de prendre d'autres mesures contre cette fraude.

Le statut juridique est plus nuancé que ne le laissent entendre de nombreux articles. Les règles ont été publiées au Federal Register le 8 décembre 2023, mais les dispositions impliquant une collecte d'informations, y compris les obligations de notification des clients, ont été suspendues jusqu'à ce que la FCC annonce une date d'entrée en vigueur (Federal Register). Au 7 octobre 2026, la section des règles consacrée au changement de SIM, 47 CFR 64.2010(h), indique toujours les paragraphes de notification comme « reserved » et précise que leur respect « ne sera pas exigé tant que ce paragraphe n'aura pas été supprimé ou ne contiendra pas de date de mise en conformité » (eCFR). Ce texte interdit aussi aux opérateurs d'authentifier les changements de SIM à l'aide d'informations biographiques ou de compte facilement accessibles.

En pratique, les opérateurs proposent déjà des codes PIN de compte et des verrous de SIM ou de portabilité. N'attendez pas la réglementation pour les activer.

Comment vous protéger d'un SIM swap

Vous ne pouvez pas empêcher les criminels de vous cibler, mais vous pouvez rendre inutile pour eux un numéro de téléphone détourné :

1. Verrouillez votre compte mobile. Définissez un code PIN ou un code d'accès pour votre compte opérateur, et demandez à votre opérateur de bloquer les changements de SIM et les transferts de numéro tant que vous ne levez pas vous-même le verrou. Le FBI recommande aussi de demander à l'opérateur de désactiver le renvoi d'appel et la sonnerie simultanée.
2. Supprimez le SMS comme méthode de connexion ou de récupération sur les plateformes d'échange, l'e-mail et les gestionnaires de mots de passe. Les recommandations du NIST, organisme du gouvernement américain, classent les codes par SMS et par appel vocal comme authentificateurs « restreints » (NIST SP 800-63B-4).
3. Utilisez des passkeys ou une clé de sécurité matérielle. La CISA souligne que les attaques par SIM swap ne s'appliquent pas à l'authentification FIDO/WebAuthn, qu'elle qualifie de référence absolue (CISA). Une application d'authentification est la meilleure option suivante.
4. Sécurisez d'abord votre e-mail. Votre compte e-mail permet de réinitialiser tout le reste : donnez-lui votre meilleure protection.
5. Restez discret sur vos avoirs. Le premier conseil du FBI est de ne pas afficher la détention de cryptos sur les réseaux sociaux ou les forums. Les attaquants choisissent des cibles qui semblent en valoir la peine.
6. Définissez un mot de passe unique pour votre messagerie vocale et limitez les informations personnelles que vous publiez.

Conserver vos cryptos à long terme dans un wallet non custodial aide aussi, car un wallet en auto-conservation est contrôlé par une clé privée et non par un numéro de téléphone. Le risque se déplace alors vers la protection de votre seed phrase, qui ne doit jamais être stockée dans les notes, les photos ou la sauvegarde cloud de votre téléphone.

Signes d'alerte et que faire

Selon la FCC, le premier signe est généralement un téléphone qui perd tout service ou ne permet plus que les appels d'urgence. D'autres indices sont des SMS concernant un changement de SIM que vous n'avez pas demandé, ou des alertes de connexion qui arrivent alors que votre téléphone n'a pas de réseau.

Si vous soupçonnez un SIM swap, le FBI et la FCC conseillent de :

1. Contacter immédiatement votre opérateur depuis un autre téléphone pour reprendre le contrôle du numéro.
2. Changer vos mots de passe sur votre e-mail et vos comptes financiers, en commençant par l'e-mail.
3. Contacter vos plateformes d'échange et vos banques et leur demander de geler les retraits et de signaler les connexions suspectes.
4. Signaler les faits à la police locale et, aux États-Unis, au FBI sur ic3.gov. Vous pouvez aussi déposer une plainte auprès de la FCC, qui suggère de placer une alerte à la fraude sur vos dossiers de crédit.

Un SIM swap est généralement la première étape d'une prise de contrôle de compte plus large : vérifiez donc chaque compte qui utilisait votre numéro de téléphone, et pas seulement celui où vous avez remarqué le problème.

Questions fréquentes

Qu'est-ce qu'une attaque par SIM swap ?

C'est une arnaque dans laquelle un criminel persuade votre opérateur mobile de transférer votre numéro de téléphone sur une carte SIM qu'il contrôle. Il reçoit alors vos appels et SMS, y compris les codes de connexion par SMS et les liens de réinitialisation de mot de passe, et s'en sert pour prendre le contrôle de vos comptes.

Comment savoir si j'ai été victime d'un SIM swap ?

Le signe le plus courant est un téléphone qui perd soudainement le service ou ne permet plus que les appels d'urgence. Vous pouvez aussi recevoir un avis concernant un changement de SIM que vous n'avez pas demandé, ou des alertes de connexion et de réinitialisation de mot de passe que vous n'avez pas déclenchées.

Un SIM swap peut-il voler des cryptos sur un hardware wallet ?

Pas directement. Un hardware wallet ou tout autre wallet en auto-conservation est contrôlé par une clé privée, pas par un numéro de téléphone. Le risque concerne les comptes de plateformes d'échange et l'e-mail qui utilisent des codes SMS, ainsi que toute seed phrase stockée sur votre téléphone ou dans des sauvegardes cloud.

Une application d'authentification protège-t-elle contre les SIM swaps ?

Oui, contre le SIM swap lui-même, car les codes de l'application ne passent pas par le réseau téléphonique. Les passkeys et les clés de sécurité matérielles vont plus loin, car elles résistent aussi au phishing.

La loi oblige-t-elle les opérateurs à empêcher les SIM swaps ?

La FCC a adopté en novembre 2023 des règles exigeant une authentification sécurisée avant les changements de SIM et une notification immédiate des clients. Au 7 octobre 2026, le texte de la réglementation fédérale indique que le respect de la section sur le changement de SIM n'est pas encore exigé tant qu'une date de mise en conformité n'est pas fixée : vérifiez donc les protections proposées par votre opérateur.

À lire aussi

• La fraude par prise de contrôle de compte dans la crypto
• Guide de l'auto-conservation des cryptos
• Qu'est-ce qu'une seed phrase ?
• Les arnaques crypto en 2026
• Hot wallet ou cold wallet

Cet article est fourni à titre éducatif et ne constitue pas un conseil juridique, de sécurité ou financier. Les chiffres des plaintes proviennent de l'annonce I-020822-PSA du FBI IC3 (février 2022) ; les détails des affaires proviennent de communiqués du ministère américain de la Justice datés du 16 mai 2025 et du 21 août 2025 ; le statut du 47 CFR 64.2010(h) a été vérifié par rapport au texte de l'eCFR en vigueur le 7 octobre 2026. Sources vérifiées le 9 octobre 2026.