Un téléphone qui affiche soudain « appels d’urgence uniquement », un réseau qui ne revient pas après un redémarrage, puis une rafale de courriels annonçant des changements de mot de passe que l’on n’a jamais demandés. Pour un nombre croissant de Français, ce scénario n’a plus rien d’un cas d’école. Le 27 août 2026, la gendarmerie de la Somme a diffusé sur les réseaux sociaux une alerte consacrée au détournement de carte SIM. Elle rejoint une mise en garde que l’Agence nationale de la sécurité des systèmes d’information, l’ANSSI, formule depuis plusieurs années : le numéro de téléphone est devenu la clé de voûte de notre identité numérique, et cette clé se duplique beaucoup trop facilement.
Le SIM swapping, ou échange frauduleux de carte SIM, ne repose sur aucune prouesse technique. Il exploite une faiblesse de procédure. Le fraudeur convainc l’opérateur, qu’il s’agisse d’un grand réseau national ou d’un opérateur mobile virtuel, de transférer le numéro de sa victime vers une carte SIM ou une eSIM qu’il contrôle. À partir de cet instant, chaque appel, chaque SMS et surtout chaque code de validation bancaire arrive dans sa poche. La ligne de la victime, elle, s’éteint.
Ce que dit réellement l’ANSSI
La position de l’agence n’a rien d’ambigu. Dans son guide de recommandations consacré aux mots de passe et à l’authentification multifacteur, publié en 2021, l’ANSSI encourage le recours à plusieurs facteurs d’authentification tout en déconseillant expressément le SMS comme canal de réception d’un code. Elle justifie cette réserve par deux arguments. D’une part, les protocoles de téléphonie mobile sur lesquels repose le SMS présentent des vulnérabilités connues. D’autre part, une attaque d’ingénierie sociale bien documentée permet de s’emparer du numéro en trompant directement l’opérateur. Cette attaque porte un nom : le SIM swapping.
En avril 2025, le CERT-FR, le centre gouvernemental de veille et de réponse aux attaques informatiques rattaché à l’agence, a complété ce dispositif par une fiche de dix règles de bonnes pratiques pour l’usage des téléphones mobiles, motivée par la multiplication des menaces visant ces appareils. Le message de fond reste constant : un téléphone n’est pas un coffre-fort, et un numéro de téléphone n’est pas une preuve d’identité.
Ce qui change en cette rentrée 2026, c’est le contexte. Les alertes institutionnelles se multiplient parce que le terrain n’a jamais été aussi favorable aux fraudeurs.
Des fuites de données qui servent de carburant
Pour se faire passer pour quelqu’un auprès d’un service client, il faut connaître son nom, son adresse, sa date de naissance, son numéro de ligne, parfois son identifiant de contrat. Or ces informations circulent désormais en masse. SFR a confirmé le 20 août 2026 une intrusion, détectée le 2 juillet, dans un outil interne de gestion des raccordements fibre. Selon l’opérateur, l’attaquant a utilisé un compte légitime compromis et non une faille logicielle. Les données exposées comprennent la civilité, le nom, l’adresse postale, le numéro de mobile et l’identifiant de contrat. L’auteur de la revendication affirme avoir extrait plus de 2,1 millions de lignes, un volume que l’opérateur n’a pas confirmé.
Cet incident s’ajoute aux fuites successives qui ont frappé ces derniers mois des opérateurs, l’administration fiscale ou encore l’Éducation nationale. Prises isolément, ces données paraissent anodines. Assemblées, elles composent un profil suffisant pour tromper un conseiller pressé, ou pour concevoir un message d’hameçonnage très crédible, première étape vers la récupération des identifiants de l’espace client de la victime.
L’eSIM a encore accéléré le processus. Là où il fallait autrefois récupérer physiquement une carte en boutique ou attendre un envoi postal, un profil eSIM se télécharge en quelques minutes à partir d’un QR code ou d’une application. Le fraudeur qui a pris la main sur un espace client peut ainsi activer la ligne sur son propre téléphone avant même que la victime ne remarque la perte de réseau. L’eSIM n’est pas en soi moins sûre que la carte plastique. C’est la rapidité du parcours de remplacement qui rend chaque faille de vérification plus coûteuse.
Quand la justice pointe la responsabilité des opérateurs
La jurisprudence française commence à tracer une ligne claire. Le tribunal judiciaire de Paris a condamné Free Mobile à prendre en charge une partie des sommes dérobées à une abonnée victime d’une portabilité frauduleuse. Les faits remontent à décembre 2022. Une cliente de SFR âgée de 82 ans découvre que son abonnement a été résilié et que son numéro a été transféré chez Free Mobile sans son accord. Malgré ses signalements immédiats et une plainte, quatre virements frauduleux sont effectués dans les jours qui suivent depuis son compte BNP Paribas, pour un total de 16 964 euros.
Pour sa défense, Free Mobile faisait valoir que le RIO, le relevé d’identité opérateur indispensable à la portabilité d’un numéro, avait bien été fourni lors de la souscription. Le tribunal a rappelé que l’opérateur reste tenu de vérifier l’identité de la personne qui demande la portabilité, et que Free Mobile n’a produit aucun document démontrant l’avoir fait. La banque, condamnée elle aussi, avait tenté de renvoyer la faute vers l’opérateur. Il aura fallu près de quatre ans de procédure, poursuivie par la famille après le décès de la victime, pour obtenir réparation. Bouygues Telecom avait déjà été le premier opérateur condamné à rembourser une victime d’arnaque téléphonique.
L’enjeu dépasse le cas individuel. Chaque décision de ce type rappelle que la vérification d’identité lors d’un changement de SIM ou d’une portabilité n’est pas une formalité commerciale, mais une obligation dont l’opérateur doit pouvoir prouver l’exécution.
La menace intérieure, angle mort des procédures
Les fraudeurs ne se contentent pas de tromper les services clients. Ils recrutent aussi des complices. Dans une affaire révélée récemment, un alternant de la Société Générale est soupçonné d’avoir extrait les données confidentielles de cinquante clients au profit d’un réseau criminel. Ces informations ont alimenté une série de SIM swaps dont le préjudice, d’abord estimé à 65 000 euros, a finalement dépassé le million d’euros. Aucune procédure de vérification ne résiste à un maillon humain corrompu en amont.
Un phénomène mondial aux chiffres encore sous-estimés
Mesurer le SIM swapping reste délicat, car l’attaque est souvent comptabilisée sous l’infraction qu’elle rend possible : usurpation d’identité, fraude bancaire, vol de cryptoactifs. Les données disponibles donnent néanmoins un ordre de grandeur. Aux États-Unis, le centre de plaintes du FBI dédié à la cybercriminalité a enregistré 982 plaintes pour SIM swap en 2024, pour près de 26 millions de dollars de pertes déclarées. Le chiffre recule par rapport à 2022, année où 2 026 plaintes avaient été déposées pour 72,6 millions de dollars de pertes, un reflux qui coïncide avec le durcissement des règles imposées aux opérateurs américains.
Le Royaume-Uni suit la trajectoire inverse. L’organisme antifraude Cifas y a recensé près de 3 000 échanges de SIM non autorisés en 2024, soit une hausse de 1 055 % en un an. Le contraste entre ces deux pays suggère une réalité simple : là où les opérateurs renforcent leurs contrôles, la fraude semble refluer, et là où ils tardent, elle explose.
Les réponses techniques existent déjà
Les quatre opérateurs de réseau français, Bouygues Telecom, Free, Orange et SFR, ont lancé en décembre 2024, dans le cadre de l’initiative Open Gateway de la GSMA, deux interfaces de programmation communes baptisées KYC Match et SIM Swap, conformes au standard CAMARA. La seconde permet à une banque ou à un service en ligne de savoir, au moment d’une transaction sensible, si la carte SIM associée au numéro a été changée récemment. Un changement de SIM survenu quelques heures avant un virement inhabituel devient ainsi un signal d’alerte exploitable automatiquement. Plus d’une vingtaine d’entreprises françaises utilisaient déjà ces interfaces lors de leur lancement.
Ces outils ne valent toutefois que par leur adoption. Tant qu’une partie des services en ligne continue d’envoyer des codes par SMS sans interroger l’état de la ligne, le numéro de téléphone reste une porte d’entrée. La logique vaut bien au-delà du grand public : une plateforme IoT qui administre des milliers de cartes SIM embarquées dans des objets connectés doit elle aussi verrouiller ses procédures de remplacement de profils, car une ligne détournée peut servir de relais à une fraude ou à une intrusion.
Ce que les professionnels du mobile doivent changer dès maintenant
Pour les revendeurs et les boutiques de téléphonie, l’alerte de l’ANSSI n’est pas une information à transmettre au client, c’est une consigne de travail. Le point de vente est souvent l’endroit où une carte SIM de remplacement est remise ou une eSIM activée. Exiger systématiquement une pièce d’identité originale, refuser toute demande pressante formulée au nom d’un tiers, tracer chaque remplacement : ces gestes simples ferment la porte à la forme la plus répandue de l’attaque. Certains opérateurs virtuels spécialisés intègrent déjà ce contrôle d’identité dans leurs parcours d’activation clés en main, ce qui soulage le vendeur d’un arbitrage délicat.
Le réparateur occupe, lui, une position d’observateur privilégié. Un client qui se présente avec un téléphone affichant « appels d’urgence uniquement » alors que l’appareil fonctionne parfaitement ne souffre peut-être d’aucune panne. Le bon réflexe consiste à l’orienter immédiatement vers son opérateur et sa banque, plutôt que de commencer par démonter le tiroir SIM. Dans ce type d’attaque, chaque heure compte.
Pour les intégrateurs et les responsables informatiques des PME, le chantier prioritaire est celui de l’authentification. Conformément à la ligne de l’ANSSI, il s’agit de privilégier des facteurs qui ne dépendent pas du réseau mobile, comme les applications génératrices de codes ou les clés de sécurité physiques. Les accès VPN, les messageries professionnelles et les consoles d’administration protégés par un simple code SMS constituent aujourd’hui un risque qu’aucun audit sérieux ne peut plus ignorer.
Le numéro de téléphone doit cesser d’être une identité
Le SIM swapping révèle une contradiction que l’écosystème numérique a laissée s’installer pendant quinze ans. Le numéro de téléphone a été conçu pour acheminer des communications, pas pour prouver qui l’on est. Il est pourtant devenu l’identifiant de secours de nos banques, de nos messageries et de nos réseaux sociaux. Tant que cette confusion persistera, chaque fuite de données chez un opérateur ou une administration alimentera mécaniquement la vague de fraudes suivante.
La sortie de cette impasse passe par une responsabilité partagée. Les opérateurs doivent être en mesure de prouver leurs vérifications, comme les tribunaux commencent à l’exiger. Les banques et les services en ligne doivent consulter les signaux réseau disponibles avant de valider une opération sensible. Les distributeurs doivent traiter chaque remplacement de SIM comme un acte à risque. Et les acteurs qui conçoivent des offres en marque blanche eSIM ont aujourd’hui l’occasion d’intégrer la sécurité dès la conception du parcours d’activation, plutôt que de la greffer après coup.
En attendant, la règle pour l’utilisateur tient en une phrase : une perte de réseau inexpliquée n’est pas un désagrément technique, c’est une alerte de sécurité. Contacter son opérateur, prévenir sa banque, changer ses mots de passe prioritaires et déposer plainte en cas de préjudice, ce sont ces minutes-là qui séparent une tentative avortée d’un compte vidé.
