a fraude par échange de carte SIM est une attaque de prise de contrôle de compte où un criminel transfère le numéro de téléphone mobile de sa victime sur une carte SIM qu'il contrôle (par ingénierie sociale auprès de l'opérateur ou via un transfert interne). Ainsi, tout code de vérification à usage unique envoyé par SMS à ce numéro arrive sur l'appareil de l'attaquant. Le numéro de téléphone étant utilisé comme deuxième facteur d'authentification, un code OTP par SMS seul ne suffit pas à bloquer l'attaque.
Voici une analyse approfondie des techniques pour contrer l'échange de carte SIM. Pour une vérification réseau transparente qui constitue la base de la plupart des défenses, consultez notre guide sur l'authentification réseau silencieuse — cet article explique comment elle s'intègre à la détection d'échange de carte SIM et à l'authentification multicouche.
Comment fonctionne concrètement un échange de carte SIM ?
Un échange de carte SIM (également appelé détournement de carte SIM ou portabilité non autorisée) n'attaque pas vos serveurs, mais le processus de récupération de compte du réseau mobile. Le criminel commence par collecter suffisamment de données personnelles sur sa cible pour usurper son identité : nom, date de naissance, adresse, derniers numéros composés ou documents d'identité divulgués. Il contacte ensuite l'opérateur mobile de la victime, prétend avoir perdu ou endommagé sa carte SIM et demande le transfert du numéro sur une nouvelle carte SIM en sa possession, ou son transfert vers un autre opérateur.
Le réapprovisionnement est parfois réalisé grâce à la corruption ou à la contrainte d'un employé au sein d'un magasin ou d'un centre d'appels. C'est pourquoi les contrôles techniques les plus rigoureux doivent néanmoins partir du principe que le transfert de numéro peut réussir. Dès que le numéro est transféré, le téléphone de la victime perd silencieusement le réseau, et tous les appels et SMS — y compris les codes OTP, les liens de réinitialisation de mot de passe et les alertes de transaction — sont redirigés vers l'attaquant. À partir de là, le processus est rapide et mécanique :
- Déclenchez une réinitialisation de mot de passe ou connectez-vous à un compte cible (banque, portefeuille électronique, messagerie, plateforme d'échange) qui utilise le numéro de téléphone pour la récupération ou l'authentification à deux facteurs.
- Recevez le mot de passe à usage unique par SMS sur la carte SIM échangée et relevez le défi.
- Prenez le contrôle du compte, modifiez les informations de récupération et bloquez l'accès au propriétaire légitime.
- Vider les fonds, autoriser les paiements ou transférer les fonds vers d'autres comptes partageant le même numéro de recouvrement.
Pourquoi le code OTP par SMS seul ne suffit pas
L'authentification par SMS (OTP) considère le contrôle du numéro de téléphone comme une preuve de possession. Cette hypothèse reste valable jusqu'à ce que le numéro change, ce qui arrive lors d'un échange de carte SIM. Le code en lui-même est correct ; le problème réside dans le fait qu'il est transmis, en clair, au détenteur actuel de la carte SIM, et que le réseau vient de la remettre à l'attaquant. Ni le contenu du message, ni la longueur du code, ni sa durée de validité ne permettent de contrôler qui le reçoit.
C’est pourquoi les organismes de normalisation considèrent désormais les SMS comme un canal de sécurité moins fiable, et non comme un second facteur d’authentification robuste. Le NIST classe l’authentification hors bande par SMS comme un authentificateur « restreint » dans la norme SP 800-63B et exige des vérificateurs qu’ils détectent des indicateurs tels qu’un changement récent de carte SIM ou une portabilité de numéro avant de lui accorder leur confiance. Concrètement, pour une équipe de sécurité ou de développement produit, la conclusion est sans appel : l’authentification par SMS (OTP) est acceptable comme signal parmi d’autres dans une architecture multicouche, mais elle ne doit jamais constituer le seul point d’accès protégeant la réinitialisation d’un mot de passe ou une action sensible. Consultez la présentation de cette architecture multicouche dans la section security.
Défenses, en profondeur
Aucun contrôle unique ne permet d'empêcher l'échange de carte SIM, car l'attaque exploite deux systèmes dont vous n'avez pas la pleine maîtrise : le processus d'approvisionnement de l'opérateur et l'appareil de l'utilisateur. La solution durable réside dans une défense en profondeur : vérifier la possession du téléphone d'une manière qu'une carte SIM échangée ne peut pas garantir, détecter immédiatement un échange, lier les sessions à des appareils connus et renforcer la sécurité lorsque le risque augmente. Chaque couche inférieure permet de contrer l'attaque à un niveau différent.
Authentification silencieuse du réseau et vérification du numéro d'opérateur
L'authentification réseau silencieuse (SNA) confirme la possession de la carte SIM en vérifiant directement auprès de l'opérateur mobile via la session de données active, sans envoyer de code. Comme aucun code OTP n'est transmis, une carte SIM intervertie ne peut rien intercepter. De plus, et c'est crucial, la vérification est liée à la connexion réseau active et reflète donc la carte SIM réellement connectée. Les API de vérification du numéro d'opérateur, normalisées dans le cadre de l'initiative GSMA Open Gateway, rendent cette fonctionnalité disponible sur tous les réseaux. Placez la SNA en amont du processus, avec l'OTP par SMS en aval pour la couverture. Le fonctionnement complet est détaillé dans notre guide sur l'authentification réseau silencieuse (silent-network-authentication).
Détection de changement de carte SIM / d'échange de carte SIM
La solution la plus directe consiste à poser une question simple au réseau avant de faire confiance à un code OTP : quand cette carte SIM a-t-elle été changée pour la dernière fois ? La signalisation de l’opérateur peut renvoyer l’horodatage du dernier changement de carte SIM ou de portabilité d’un numéro. Si ce changement a eu lieu dans une période critique (généralement les 24 à 72 dernières heures), vous considérez le numéro comme à haut risque et refusez de valider un code OTP par SMS ou toute action sensible associée. Au lieu de procéder à l’authentification, vous mettez l’opération en attente, vous demandez un facteur d’authentification plus robuste ou vous transmettez le cas pour examen. Ainsi, l’événement même sur lequel compte l’attaquant se transforme en signal qui le stoppe.
Liaison de l'appareil
Associez le compte aux appareils qu'il utilise habituellement. Lorsqu'une authentification ou une session est liée à un appareil connu (par une clé matérielle, un code d'accès ou une empreinte digitale validée), un attaquant ne possédant que le numéro d'identification se trouve toujours sur un appareil non reconnu. La connexion depuis ce nouvel appareil devient alors une anomalie visible plutôt qu'une tentative réussie discrète, et peut être soumise à des vérifications supplémentaires avant toute confiance.
Renforcer l'authentification en fonction des risques et de la valeur
Adaptez la sécurité à la gravité du risque. Une simple connexion en lecture seule peut se contenter de mesures de sécurité légères ; l’ajout d’un bénéficiaire, la modification d’un numéro de récupération ou un transfert d’argent nécessitent un renforcement de la sécurité : une protection anti-hameçonnage, une validation via l’application ou une nouvelle vérification du réseau. Lorsqu’un changement récent de carte SIM, un nouvel appareil ou une localisation inhabituelle coïncide avec une opération importante, cette combinaison doit systématiquement déclencher une authentification plus stricte qu’un code SMS.
Il faut superposer les facteurs : le mot de passe à usage unique (OTP) n’est qu’un signal, et non la totalité du verrou.
Le principe unificateur est de ne plus se fier à un seul signal de possession de numéro. Il faut combiner un contrôle de possession vérifié par le réseau, les signaux de changement de carte SIM et d'appareil, ainsi qu'un facteur anti-phishing pour les flux les plus sensibles, et conserver le code OTP par SMS comme solution de repli universelle pour la couverture. Appliquées au déroulement de l'attaque, ces couches permettent de la contrer à chaque étape :
| étape d'attaque | Ce que l'attaquant gagne | Le contrôle qui le brise |
|---|---|---|
| Transférez votre numéro sur une nouvelle carte SIM | SMS et appels entrants | Détection de changement de carte SIM à partir de l'horodatage du dernier changement |
| Déclencher un code OTP par SMS | Le code à usage unique sur leur appareil | Authentification réseau silencieuse (aucun code n'est envoyé) |
| Se connecter depuis un nouvel appareil | Une session sur le compte cible | Liaison de l'appareil et authentification renforcée |
| Transférer de l'argent ou modifier les détails | Versement ou prise de contrôle totale | Authentification multicouche : le mot de passe à usage unique (OTP) est un facteur parmi d’autres, jamais le seul. |
L'angle bancaire MENA et CCG
Il ne s'agit pas d'un risque abstrait dans le Golfe. Selon le rapport GSMA Mobile Economy, les pays du Golfe figurent parmi les marchés mondiaux affichant les taux de pénétration des smartphones et d'adoption des services bancaires mobiles les plus élevés. Les portefeuilles mobiles et les systèmes de paiement instantané sont désormais monnaie courante aux Émirats arabes unis, en Arabie saoudite et en Égypte. Lorsque le téléphone est le principal moyen d'accès aux services bancaires et d'identification administrative, le numéro de téléphone devient une cible particulièrement précieuse, et un transfert réussi peut avoir des conséquences financières immédiates. En conséquence, les autorités de régulation et les banques de la région renforcent les exigences relatives aux transferts de fonds importants et aux changements de bénéficiaires.
Pour les banques et les fintechs de la région, la meilleure protection réside dans la structure multicouche décrite ci-dessus, mise en œuvre via une infrastructure directe avec les opérateurs. La vérification de possession par le réseau et la requête de changement de carte SIM reposent sur des relations de signalisation réelles avec les opérateurs de terminaison ; c’est cette même empreinte de route directe qui garantit la fiabilité de la livraison A2P qui assure la précision de la détection des changements de carte SIM. Les routes grises ne permettent pas d’obtenir un horodatage fiable du dernier changement de carte SIM.
La solution OTP et vérification de BroadNet effectue d'abord une authentification réseau silencieuse, vérifie les changements récents de carte SIM avant de valider un code, et utilise uniquement les SMS pour la vérification de la disponibilité ; ainsi, une carte SIM intervertie ne passe pas le test de possession. Pour un widget de vérification prêt à l'emploi avec vérification vocale de secours, basé sur le même réseau, voir MyOTP.
Foire aux questions
Qu’est-ce que la fraude par échange de carte SIM ?
La fraude par échange de carte SIM est une technique de prise de contrôle de compte où un escroc persuade un opérateur mobile de transférer le numéro de téléphone de sa victime sur une carte SIM qu'il contrôle – par ingénierie sociale, vol d'identité ou complicité au sein de l'opérateur. Une fois le numéro transféré, les appels et SMS, y compris les mots de passe à usage unique par SMS, arrivent sur l'appareil de l'attaquant, lui permettant de contourner l'authentification par téléphone et de pirater les comptes.
Un échange de carte SIM peut-il contourner le code OTP par SMS ?
Oui. C'est la principale faille exploitée par l'échange de carte SIM. L'OTP par SMS suppose que le contrôle du numéro en est la preuve, mais un échange redirige le numéro vers la carte SIM de l'attaquant, de sorte que le code lui est directement transmis. La défense ne réside pas dans un meilleur code, mais dans un contrôle différent : authentification réseau silencieuse, vérification du changement de carte SIM avant de valider l'OTP, liaison de l'appareil et authentification renforcée pour les actions sensibles.
Comment les banques préviennent-elles les attaques par échange de carte SIM ?
Les principales banques appliquent plusieurs contrôles. Elles interrogent le réseau pour vérifier l'horodatage du dernier changement de carte SIM et refusent les codes OTP ou les transactions importantes lorsqu'un changement est récent ; elles utilisent une authentification réseau silencieuse afin qu'aucun code interceptable ne soit envoyé ; elles associent les sessions à des appareils connus ; et elles renforcent la sécurité contre le phishing pour les transferts d'argent et les changements de bénéficiaires. Le code OTP par SMS n'est qu'un signal parmi d'autres, et non le seul point d'accès.
Références
- NIST — SP 800-63B Directives relatives à l'identité numérique (authentificateur et recommandations hors bande) : nist.gov
- GSMA — API Open Gateway, de vérification de numéro et d'échange de carte SIM : gsma.com
- BroadNet — OTP et vérification et aperçu de la sécurité.
- BroadNet — Authentification réseau silencieuse en 2026.