Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Comment se déroule réellement l'attaque
L'attaquant commence par recueillir suffisamment d'informations personnelles pour passer le contrôle d'identité de l'équipe de fidélisation, souvent à partir d'une fuite de données ou d'une page d'hameçonnage. Il contacte ensuite l'opérateur en prétendant avoir perdu ou endommagé son téléphone et demande un transfert de numéro ou une nouvelle SIM. Une fois l'opération effectuée, le téléphone de la victime perd discrètement le réseau et tous SMS et appels vocaux sont redirigés vers l'attaquant. Les réinitialisations de mot de passe, OTP bancaires et les codes de récupération de compte suivent en quelques minutes. La victime ne s'en aperçoit généralement que lorsque son téléphone cesse de fonctionner, mais à ce moment-là, l'argent a déjà été transféré.
Pourquoi l'envoi SMS OTP reste pertinent
La leçon à retenir n'est pas que OTP SMS est inutile : il est accessible sur tous les téléphones, quel que soit le marché, sans application installée, contrairement à d'autres méthodes. La leçon est qu'il authentifie un numéro de téléphone, et non une personne, et qu'un numéro peut changer de propriétaire. Il faut donc le considérer comme un facteur parmi d'autres pour toute opération irréversible, et l'associer à un signal que l'attaquant ne peut pas déplacer avec la SIM.
La défense : vérifiez la ligne, pas seulement le code
Un changement de SIM laisse une trace dans les registres de l'opérateur. Une recherche de numéro ou une requête HLR permet de connaître la date du dernier changement SIM et de savoir si le numéro a récemment été transféré. Si la SIM d'un abonné a été changée il y a quatre heures et qu'il réinitialise maintenant son mot de passe, il s'agit d'une authentification renforcée, et non d'une simple connexion. Les fournisseurs d'accès direct à l'opérateur peuvent consulter cette information car ils sont en relation directe avec ce dernier ; un revendeur, situé à plusieurs niveaux de l'opérateur, n'y a généralement pas accès.
Que faire en pratique
Vérifiez l'état du changement de ligne et de la portabilité avant d'envoyer un OTP pour une action importante. Appliquez un délai de réflexion : de nombreuses banques refusent la réinitialisation du mot de passe pendant 24 à 72 heures après la détection d'un changement de ligne. Privilégiez l'authentification par application ou par code d'accès pour les opérations les plus sensibles et conservez SMS comme solution de repli, même en cas de perte du téléphone. Enfin, informez le client par un second canal, comme le courriel, en cas de changement de SIM associée à son compte.