Attaque SIM swap : comment les détenteurs de crypto se font pirater

Une attaque SIM swap se produit lorsqu’un criminel fait transférer votre numéro de téléphone vers une carte SIM qu’il contrôle. En 2024, 982 plaintes liées au SIM swap ont été déposées auprès de l’IC3, le centre de plaintes pour cybercriminalité du FBI. Une fois le numéro transféré, vos appels et vos SMS arrivent chez l’attaquant, y compris chaque code de connexion par SMS et chaque lien de réinitialisation de mot de passe.

En novembre 2023, la FCC a adopté des règles imposant aux opérateurs mobiles américains de vérifier l’identité d’un client avant de transférer un numéro vers une nouvelle SIM ou un nouvel opérateur. À la mi-octobre 2026, soit 1 065 jours plus tard, les opérateurs n’étaient toujours pas tenus de s’y conformer. Aucune date de conformité n’était parue au Federal Register, et le texte des deux règles dans l’eCFR indiquait encore que la conformité attendrait cette publication.

Comment fonctionne une attaque SIM swap ?

Une attaque SIM swap repose sur la tromperie ou la corruption d’un interlocuteur de votre opérateur. L’avis d’intérêt public de février 2022 du FBI détaille les voies utilisées. Les criminels se font passer pour la victime pour obtenir le transfert du numéro, corrompent un employé de l’opérateur, ou poussent le personnel de l’opérateur, par phishing, à installer un logiciel malveillant qui exécute les transferts.

Une fois le transfert effectué, les appels et les SMS de la victime arrivent sur le téléphone du criminel. Celui-ci demande alors des réinitialisations « Mot de passe oublié » sur les adresses e-mail et les comptes financiers, et les codes à usage unique parviennent par SMS sur un numéro que la victime ne contrôle plus.

La fraude au port-out mène au même résultat par une porte différente. L’attaquant ouvre un compte chez un autre opérateur au nom de la victime et y fait transférer le numéro : aucun changement de SIM n’a donc lieu chez l’opérateur d’origine.

L’arnaque au SIM swap commence bien avant l’appel à l’opérateur, avec les données personnelles dont l’attaquant a besoin pour se faire passer pour vous. La FINRA cite l’exemple des informations publiées sur les réseaux sociaux, collectées pour convaincre votre fournisseur que l’appelant est bien vous.

Les traders reçoivent le même type de phishing que le personnel des opérateurs, via de faux e-mails et des sites de connexion imités, et la Phemex Academy explique ce qu’est le phishing en crypto et comment s’en prémunir.

Pourquoi les auteurs de SIM swap visent-ils les détenteurs de crypto ?

L’alerte du FBI présentait le SIM swap comme un moyen de voler des « comptes en fiat et en monnaies virtuelles ». La FINRA explique pourquoi le numéro de téléphone sert de porte d’entrée : les numéros mobiles « sont devenus une clé d’identification du client » pour les connexions financières. Un code par SMS peut ouvrir un compte, et un lien de réinitialisation reçu par SMS ouvre la boîte e-mail où convergent toutes les autres réinitialisations.

Un transfert blockchain n’est pas non plus réversible : les jetons retirés par un attaquant sont perdus dès que la transaction est confirmée.

Une attaque SIM swap n’atteint pas la clé privée d’un portefeuille en auto-détention, car cette clé réside dans le portefeuille et jamais sur la SIM. La page Clés publique et privée du Bitcoin explique pourquoi c’est cette clé qui déplace les jetons. Le danger vient d’une copie de clé ou de phrase de récupération conservée dans une messagerie ou des notes cloud, accessible grâce à un numéro détourné et à une réinitialisation de mot de passe.

Quelle est la fréquence du SIM swap ?

L’IC3 a commencé à comptabiliser les SIM swap comme une catégorie d’infraction distincte en 2022, et ses rapports annuels fournissent la série suivante.

Dans le tableau portant sur trois années du rapport annuel 2024 de l’IC3, les plaintes ont reculé de 51,53 % par rapport à la base de 2 026 plaintes de 2022, et les pertes déclarées de 64,24 % par rapport à 72,65 millions de dollars.

Il s’agit de plaintes que des personnes ont choisi de déposer, ce qui en fait un plancher. Une attaque qui ne parvient jamais jusqu’à l’IC3 n’entre pas dans le décompte.

L’alerte du FBI de 2022 donnait des chiffres antérieurs à la création de cette catégorie. Elle recensait 320 plaintes entre 2018 et 2020, pour environ 12 millions de dollars de pertes ajustées, puis 1 611 plaintes en 2021 pour plus de 68 millions de dollars. Ces données proviennent d’un décompte distinct et ne rejoignent pas la série annuelle.

Les personnes âgées de 60 ans et plus ont déposé 205 des 982 plaintes de 2024 et déclaré 6,342 millions de dollars de pertes, soit 24,41 % du total de 25,98 millions de dollars pour cette année-là.

Les opérateurs américains sont-ils tenus d’empêcher les SIM swap ?

Non, pas à la mi-octobre 2026, alors même que la FCC a adopté le 15 novembre 2023 des règles sur le SIM swap et le port-out destinées aux opérateurs mobiles américains. Sur le papier, la règle publiée au Federal Register impose aux opérateurs d’utiliser des méthodes sécurisées pour confirmer l’identité d’un client avant un changement de SIM ou un port-out, et d’informer immédiatement le client lorsque l’un ou l’autre est demandé.

La dérogation explique ce décalage. Le 5 juillet 2024, le Wireline Competition Bureau de la FCC a dispensé de conformité « l’ensemble des règles » le temps que l’OMB achève son examen et que « la Commission publie au Federal Register un avis annonçant la date de conformité ». L’OMB a approuvé la collecte d’informations relative au changement de SIM et son équivalent pour le port-out le 15 janvier 2025, ne laissant que l’avis en attente.

À la mi-octobre 2026, 638 jours s’étaient écoulés depuis cette approbation, soit environ 21 mois. Le texte de la règle sur le changement de SIM dans l’eCFR indiquait encore que la conformité « ne sera pas exigée tant que ce paragraphe n’aura pas été supprimé ou n’aura pas fixé de date de conformité », et la règle sur le port-out reprend la même formulation. Six protections liées au changement de SIM et quatre protections liées au port-out restent des emplacements réservés « [Reserved] ».

Aucun document de la FCC publié au Federal Register à partir de 2024 ne fixe cette date, et l’ordonnance de dérogation désigne le Federal Register comme le lieu où elle doit paraître. L’entrée de la FCC dans l’Unified Agenda du gouvernement, publiée en août 2026, indique que sa prochaine action n’est pas déterminée.

Tant qu’aucune date de conformité n’apparaît, la protection qui fonctionne réellement est celle que vous mettez en place vous-même.

Le SIM swap est-il illégal ?

Oui, et une affaire fédérale de 2025 montre comment les procureurs la qualifient. Le 9 janvier 2024, une personne a pris le contrôle du compte X de la SEC et y a affirmé que l’agence avait approuvé des ETF bitcoin au comptant, ce qui était faux.

La SEC a indiqué le 22 janvier 2024 que la partie non autorisée « avait obtenu le contrôle du numéro de téléphone portable de la SEC associé au compte lors d’une attaque apparente de SIM swap ». L’authentification multifacteur avait été désactivée « à la demande des équipes, en juillet 2023 », de sorte que la maîtrise du numéro a permis à l’attaquant de réinitialiser le mot de passe du compte.

Le ministère de la Justice a indiqué en mai 2025 qu’un habitant de l’Alabama avait été condamné à 14 mois de prison pour son rôle. Il avait plaidé coupable de conspiration en vue de commettre un vol d’identité aggravé et une fraude relative à un dispositif d’accès.

Pour obtenir le numéro, il a utilisé une imprimante de cartes d’identité afin de fabriquer une fausse pièce d’identité au nom d’une victime et s’est fait passer pour elle. Selon le ministère, le bitcoin a progressé de plus de 1 000 $ juste après la publication du faux message, puis a reculé de plus de 2 000 $ après la correction.

Comment savoir si vous avez subi un SIM swap ?

La perte de réseau sur votre téléphone est généralement le premier indice. L’ordonnance de 2023 de la FCC indique qu’un téléphone « qui devient inutilisable ou n’autorise que les appels vers le 911 » est typiquement le premier signe d’une attaque SIM swap ou d’une fraude au port-out.

La FINRA dresse une liste plus longue de signaux d’alerte, à commencer par une notification indiquant qu’un nouvel appareil ou un nouveau numéro a été activé sur votre compte alors que vous n’avez rien ajouté. Des connexions qui échouent soudainement et un afflux d’appels ou de SMS inattendus figurent sur la même liste.

Un message vous demandant de dicter un code ou une phrase de récupération constitue en soi un signal d’alerte. La synthèse du Phemex Safety Hub sur quatre vérifications de compte rappelle que les équipes de Phemex ne demandent jamais votre code 2FA ni votre phrase de récupération.

Comment prévenir une attaque SIM swap

Quatre mesures empêchent un SIM swap de transformer un numéro volé en compte vidé.

1. Retirez le SMS de vos connexions en basculant l’authentification à deux facteurs vers une application d’authentification ou une clé de sécurité matérielle, partout où le compte le permet. L’alerte du FBI recommande « la biométrie, des jetons de sécurité physiques ou des applications d’authentification autonomes ». Les lignes directrices NIST de juillet 2025 sur l’identité numérique classent les codes transmis sur le réseau téléphonique comme leur « seul authentificateur restreint », utilisable uniquement lorsqu’une organisation accepte le risque supplémentaire.

2. Verrouillez le numéro chez votre opérateur avec un code PIN ou un mot de passe sur votre compte mobile, comme le conseille la FINRA, et demandez un verrouillage du changement de SIM ou du port-out si votre opérateur le propose. Les règles de la FCC obligeraient les opérateurs à offrir ce verrou, mais en l’absence de date de conformité, la demande reste la seule option.

3. Ne publiez pas vos avoirs sur les réseaux sociaux, premier conseil de l’alerte du FBI, car une publication publique indique à un attaquant quel numéro cibler.

4. Conservez la phrase de récupération hors ligne, sur papier ou sur métal, à l’écart des messageries et des notes cloud auxquelles un numéro détourné peut accéder par réinitialisation de mot de passe. La page de l’Academy sur les phrases de récupération et la sauvegarde d’un portefeuille décrit les façons sûres de la stocker.

Phemex exige une 2FA pour les opérations sensibles du compte, et le code provient d’une application d’authentification installée sur votre appareil, comme l’expose son article sur la protection avancée des comptes mise en œuvre par Phemex. Ce même contrôle de connexion s’applique aux contrats à terme Phemex, où le contrat perpétuel BTCUSDT autorise un effet de levier allant jusqu’à 150x. Les contrats à terme reposent sur un effet de levier, et une position à effet de levier est clôturée automatiquement dès que les pertes atteignent sa marge.

Que faire après un SIM swap ?

Agissez vite, car l’attaquant enchaîne les réinitialisations de mot de passe tant que le numéro lui appartient. L’alerte du FBI et les recommandations de la FINRA convergent vers les mêmes étapes.

5. Appelez votre opérateur depuis un autre téléphone et faites récupérer votre numéro.

6. Modifiez vos mots de passe, en commençant par l’adresse e-mail, puis les comptes d’échange et bancaires associés à ce numéro.

7. Demandez à vos banques et à vos plateformes d’échange de signaler les connexions et les retraits suspects sur vos comptes.

8. Signalez l’attaque à l’IC3 et aux forces de l’ordre locales, et déposez une plainte auprès de la FTC, comme le suggère la FINRA.

Un portefeuille dont la phrase de récupération était conservée dans votre messagerie ou votre stockage cloud doit être considéré comme exposé : déplacez ses jetons vers un nouveau portefeuille doté d’une phrase neuve. Chaque signalement déposé auprès de l’IC3 alimente également le décompte annuel qui mesure ce phénomène.

Questions fréquentes

Qu’est-ce que le SIM swapping ?

Le SIM swapping est un autre nom de l’attaque SIM swap. Un criminel persuade ou paie un opérateur pour transférer votre numéro de téléphone vers une carte SIM qu’il détient, puis utilise vos SMS entrants pour réinitialiser des mots de passe et franchir les vérifications de connexion par SMS.

Le SIM swapping existe-t-il encore ?

Oui. L’IC3 a reçu 982 plaintes liées au SIM swap en 2024, pour 25,98 millions de dollars de pertes déclarées. Ces chiffres ne couvrent que les victimes ayant déposé plainte : ils constituent un plancher pour le nombre d’attaques.

Le SIM swapping est-il illégal ?

Oui. L’homme auteur du SIM swap ayant conduit au détournement du compte X de la SEC en janvier 2024 a été condamné à 14 mois de prison fédérale en mai 2025, après avoir plaidé coupable de conspiration en vue d’un vol d’identité aggravé et d’une fraude relative à un dispositif d’accès.

Le SIM swapping est-il possible avec une eSIM ?

Oui. Les règles de la FCC définissent une SIM comme « une carte physique ou virtuelle », et la FINRA avertit qu’un attaquant qui convainc votre fournisseur qu’il est vous peut faire transférer votre eSIM vers son appareil.

L’essentiel

Toute défense contre une attaque SIM swap rend soit le transfert plus difficile, soit son résultat inutile. Rendre le transfert plus difficile relève des opérateurs, et le calendrier ci-dessus montre depuis combien de temps cette étape attend. Rendre son résultat inutile ne dépend que de vous : cela prend un après-midi, en retirant les codes SMS de vos connexions. Ensuite, un numéro volé n’apporte à un attaquant qu’une ligne téléphonique, et guère plus.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier. Le trading de cryptomonnaies implique un risque important de perte. Effectuez toujours vos propres recherches avant toute décision d’investissement.