Le changement de carte SIM s’effectue désormais depuis votre compte chez votre opérateur, et non plus en magasin

Le téléphone n'affiche aucun signal. Pas de barres de réseau, pas d'appels d'urgence, rien. Vingt minutes plus tard, vous recevez un e-mail vous informant que quelqu'un s'est connecté à votre boîte de réception et que le code correspondant a été envoyé à un numéro qui était le vôtre il y a quelques instants. C’est ainsi que l’Office régional de police judiciaire de Basse-Saxe décrit le résultat, et les enquêteurs qualifient le piratage d’un téléphone portable et d’un compte de messagerie de « perte totale ». Dans un cas dont ils ont connaissance, la boîte de réception piratée a révélé que la victime détenait des cryptomonnaies, et l’argent avait disparu par la suite.

L’image courante du « SIM swapping » est la suivante : quelqu’un falsifie une pièce d’identité, se rend dans un magasin et se voit remettre une carte de remplacement. Cela arrive, mais la méthode contre laquelle les enquêteurs mettent en garde ne nécessite ni magasin ni formalités administratives.

Trois étapes, dont aucune ne nécessite de pièce d’identité

Le point d’entrée est votre compte en ligne auprès de l’opérateur, et les pirates y accèdent à l’aide du seul numéro de téléphone. Certains opérateurs vous permettent de vous connecter à ce compte à l’aide d’un code à usage unique plutôt que d’un mot de passe, et toute personne connaissant le numéro peut le demander. C’est ce code que les pirates vous soutirent.

Ils appellent donc en se faisant passer pour un livreur. Un colis est en route, disent-ils, et il ne pourra être livré que si vous leur lisez un code figurant dans un SMS, pour des raisons de sécurité. Le message arrive bien, mais il provient de l’opérateur et non du livreur, ce qui est facile à manquer sur le moment. Le fait de lire le code à voix haute déverrouille votre compte.

Une fois dans le compte, ils commandent une eSIM pour le contrat en cours. Aucune carte physique n’a besoin d’être envoyée : le profil est un fichier et est activé en quelques minutes. Une fois qu’il fonctionne sur l’appareil de l’attaquant, la carte présente dans le téléphone de la victime se désactive généralement d’elle-même.

Dès lors, chaque message est transmis sur l’autre appareil, et comme la plupart des services en ligne vous permettent de réinitialiser un mot de passe par e-mail ou par SMS, le reste suit. Nous avons analysé à quelle vitesse un numéro peut devenir une « clé passe-partout » en prenant l’exemple d’anciens numéros de téléphone.

Vous ne pouvez pas activer un verrou contre le portage

À ce stade, l’idée évidente est de verrouiller votre propre numéro. Aux États-Unis, c’est possible. Verizon appelle ce verrou de portabilité « Number Lock », T-Mobile le propose sous le nom de « Port Out Protection », et AT&T regroupe plusieurs verrous dans « Wireless Account Lock », accessible uniquement via sa propre application.

Il n’existe pas en Allemagne de verrouillage visant spécifiquement la portabilité et les échanges de carte SIM, et cela s’explique. La portabilité des numéros y est un droit légal en vertu de l’article 59 de la loi sur les télécommunications, et depuis le 1er décembre 2021, les opérateurs ne peuvent plus la facturer. Un verrou permanent que le client actionne lui-même semble mal s’accorder avec un droit que le législateur souhaitait rendre facile à exercer. Les opérateurs allemands proposent à la place un mot de passe pour le service d’assistance téléphonique et la possibilité de bloquer une carte SIM en cas de perte. Ces deux mesures ne prennent effet qu’après la survenue d’un incident.

Le dispositif de sécurité qui existe se trouve au niveau du compte

L'attaque commence au niveau du compte en ligne ; c’est donc là que se joue la défense. Les trois principaux opérateurs disposent désormais d’une authentification à deux facteurs pour la connexion, mais les différences sont ici importantes.

Chez Telekom, cette fonctionnalité s’appelle « Mehr-Faktor-Authentifizierung » et ne prend effet qu’une fois que vous l’avez configurée vous-même. Vous choisissez la méthode (application ou SMS) ainsi que la fréquence d’utilisation : soit à chaque connexion, soit uniquement lors d’actions importantes. Vodafone recommande de générer des codes de secours dès l’activation de cette fonctionnalité, afin qu’une perte de téléphone ne vous fasse pas perdre l’accès à votre compte. Chez O2, le deuxième facteur est obligatoire ; la vérification s’effectue via le numéro de client lorsque ni un numéro O2 ni une adresse e-mail vérifiée ne sont enregistrés dans le dossier.

Pourquoi un deuxième facteur d'authentification par SMS ne fonctionne pas correctement dans ce cas

Comparez maintenant l’attaque et les paramètres. Ce qui est volé, c'est le numéro de téléphone, et la deuxième étape de vérification censée protéger le compte est un SMS envoyé à ce même numéro, par défaut chez O2 et sur demande chez Telekom. Tant que seul le mot de passe a disparu, cela fonctionne. Dès que le numéro a disparu, la deuxième étape de vérification protège l'attaquant plutôt que vous.

Dans la même annonce rendant le deuxième facteur obligatoire, O2 écrit une phrase que l’on a tendance à survoler. « Ne communiquez jamais le code par téléphone ou par chat », précise-t-elle, « l’équipe du service client ne vous le demandera jamais par ces moyens ». C’est précisément là qu’intervient le faux livreur.

Quiconque a le choix opte pour l’application. Un code provenant d’une application d’authentification reste sur l’appareil et ne circule pas avec le numéro. Quiconque n’a pas le choix fait porter le poids de la sécurité sur le compte e-mail. Ce compte doit alors disposer d’un mot de passe fort qui lui est propre et d’une deuxième étape de vérification qui ne soit pas à nouveau liée au même numéro.

Cinq minutes suffisent pour mettre cela en place

Connectez-vous au portail de votre opérateur et vérifiez si un deuxième facteur d’authentification est configuré. Chez Telekom, vous le trouverez dans les paramètres de connexion ; chez Vodafone, sous « Mein Konto » et « Login-Daten » ; chez O2, il est d’ailleurs déjà activé par défaut. Si « SMS » est indiqué et qu’une application est proposée, optez pour cette dernière. Chez Telekom, configurez également cette option pour chaque connexion.

Pendant que vous y êtes, vérifiez que le mot de passe de votre compte opérateur n’est utilisé nulle part ailleurs. Il s’agit de la clé permettant de commander une eSIM ; il relève donc de la même catégorie que votre mot de passe de banque en ligne. Vérifiez ensuite quel élément sert de protection sur votre téléphone. Chez Telekom, il s’agit du « Kundenkennwort », que vous pouvez configurer et modifier via le formulaire de contact. Vodafone l’a remplacé dans son application mobile par le « Service-PIN », que vous pouvez consulter dans « MeinVodafone » mais que vous ne pouvez pas modifier ; vous pouvez uniquement en demander un nouveau, qui vous sera alors envoyé par courrier.

Et enfin, la règle qui n’est pas un paramètre. Aucune personne qui vous appelle n’a besoin d’un code figurant dans vos SMS. Ni coursier, ni équipe de service, ni banque. Quiconque vous le demande a besoin de ce code parce qu’il est en train de confirmer quelque chose en votre nom à cet instant précis. Raccrochez, composez vous-même le numéro officiel et posez la question. La même logique s’applique au mot de passe de l’authentification en deux étapes sur WhatsApp, qui remplace l’ancien code PIN à six chiffres depuis fin août.