SIM swapping : voler le numéro pour vider le portefeuille crypto

Le mois d’octobre 2026 restera comme une saison noire pour les clés privées. Le 21 octobre, la Polkadot Community Foundation a révélé que l’extension de navigateur Fearless Wallet expédiait les clés de ses utilisateurs vers un serveur contrôlé par des pirates depuis février 2025, un code malveillant glissé dans quatre versions successives via une simple pull request, et actif jusqu’au 10 octobre (CryptoBriefing). Le même jour, des chercheurs montraient que huit clés de signature de l’autorité de certification eMudhra étaient si faibles qu’elles avaient été cassées par force brute (CoinDesk). Quelques jours plus tôt, les analystes de SlowMist attribuaient le vidage de 1 404 portefeuilles Qubic à un générateur de hasard aussi banal que Math.random (CryptoBriefing).

Ces trois affaires ont un point commun : il a fallu, à chaque fois, du code piégé, un chiffrement bâclé ou un appareil trafiqué. Le vecteur dont parle cet article n’a besoin d’aucun des trois. Il n’écrit pas de logiciel, ne casse aucune cryptographie et ne touche jamais votre matériel. Il s’attaque au maillon le plus faible, celui qui se trouve entièrement hors de la blockchain : votre numéro de téléphone. Le SIM swapping, ou détournement de carte SIM, est devenu l’une des voies les plus rentables pour compromettre une clé privée sans jamais la voir, et la France figure parmi ses terrains de chasse les plus actifs.

Le même mois, un implant cellulaire dissimulé sous l’écran de faux portefeuilles Ledger revendus par un tiers transmettait les phrases de récupération par le réseau mobile (CoinDesk). Le SIM swapping relève de la même famille, celle des attaques qui contournent la cryptographie au lieu de l’affronter. Comprendre pourquoi un numéro de téléphone vaut un portefeuille entier, c’est saisir la principale ligne de fracture de la sécurité crypto en 2026.

Un vol de clé qui ne touche jamais la clé

Le principe du SIM swapping tient en une phrase : l’attaquant convainc un opérateur de rattacher votre numéro à une carte SIM, ou à une eSIM, qu’il contrôle. À partir de là, tous les SMS, tous les appels et tous les codes à usage unique destinés à votre ligne arrivent chez lui. Le pirate ne vole pas directement vos vingt-quatre mots ni votre clé privée ; il s’empare de l’objet qui, dans l’écrasante majorité des dispositifs de sécurité grand public, commande la récupération de tout le reste.

C’est une compromission par procuration. Le numéro de téléphone est devenu un trousseau universel : il réinitialise un mot de passe de messagerie, valide une connexion bancaire, confirme un retrait sur une plateforme d’échange et, trop souvent, déverrouille la sauvegarde cloud où dort une phrase de récupération. L’attaquant ne force aucune serrure ; il se fait remettre le passe, puis laisse la victime lui ouvrir elle-même chaque porte, maillon après maillon.

2026 a d’ailleurs consacré un basculement que les analystes pressentaient depuis des années : les clés et identifiants compromis ont dépassé les failles de contrats intelligents comme première cause de pertes en crypto (crypto.news). Qu’il s’agisse d’un pont vidé par des jetons fabriqués de toutes pièces ou d’un particulier dépouillé via son opérateur, le dénominateur commun n’est plus le bug, c’est l’accès. Et l’accès, aujourd’hui, se négocie souvent dans une boutique de téléphonie, pas dans une ligne de code.

Détourner un numéro français : RIO, portabilité et eSIM

En France, le détournement de numéro emprunte deux chemins principaux, bien documentés par les avocats spécialisés et par la plateforme publique cybermalveillance.gouv.fr. Le premier est la portabilité détournée. Chaque ligne mobile possède un code RIO (Relevé d’Identité Opérateur), une suite de douze caractères que l’abonné obtient en composant le 3179. Muni de ce code, récupéré par ingénierie sociale ou acheté sur un marché noir de données, et de pièces d’identité plus ou moins falsifiées, le fraudeur souscrit chez un nouvel opérateur et demande la conservation du numéro ; l’ancienne ligne est alors résiliée automatiquement (Kohen Avocats).

Le second chemin est l’eSIM frauduleuse. Plutôt que de transférer le numéro vers un autre opérateur, l’attaquant reste chez le même et obtient l’émission d’une nouvelle carte, désormais dématérialisée, qu’il active sur son propre appareil. Un passage en agence avec de faux papiers, ou un conseiller trop pressé, suffit parfois. La bascule vers l’eSIM, censée simplifier la vie des abonnés, a ouvert une voie rapide et sans logistique physique : il n’y a plus de carte à expédier, donc plus de délai pour reprendre ses esprits.

Le ressort commun aux deux techniques est l’ingénierie sociale de l’opérateur. Le fraudeur appelle le service client ou se présente en boutique avec un scénario rodé (téléphone perdu ou volé, voyage urgent) et juste assez de données personnelles, souvent achetées, pour franchir les questions de sécurité. Il n’a pas besoin de compétences techniques : il lui faut un conseiller pressé, une procédure appliquée à la lettre et un justificatif crédible. C’est précisément ce qui rend la fraude si difficile à endiguer, car la faille n’est pas dans un système informatique, mais dans une conversation.

Dans les deux cas, le résultat est identique : la ligne de la victime tombe en silence (plus de réseau, souvent la nuit ou un week-end), et pendant ce créneau l’attaquant intercepte les codes de validation, enrôle ses propres appareils de confiance et lance les transferts. Le téléphone qui ne capte plus est le premier, et parfois le seul, signal d’alerte. Quand la victime comprend, le créneau est déjà refermé et les fonds ont bougé.

La cascade de récupération : du SMS au seed

Pourquoi un simple numéro vaut-il une fortune ? Parce que la sécurité numérique grand public est construite en cascade, et que le SMS se trouve tout en haut. Prenez un détenteur de crypto prudent mais ordinaire : son adresse e-mail se réinitialise par un code envoyé par SMS ; sa plateforme d’échange renvoie vers cette messagerie et confirme les retraits par un second code SMS ; et sa phrase de récupération, qu’il croyait à l’abri, repose dans une note d’un gestionnaire de mots de passe lui-même rattaché à un numéro de téléphone. Tirez le fil du numéro, et toute la pelote vient.

Nick Bax, chercheur en sécurité, résume la cible ultime sans détour : « La phrase de récupération, c’est littéralement l’argent. Si vous avez ma seed, vous la copiez-collez dans un portefeuille et vous voyez tous mes comptes » (KrebsOnSecurity). Tout l’enjeu d’un SIM swap réussi consiste à atteindre cette seed, ou à défaut le compte custodial qui en tient lieu, sans jamais la deviner. Le tableau ci-dessous distingue les maillons qui tombent avec le numéro de ceux qui résistent, et il dessine en creux toute la stratégie de défense.

La leçon est brutale de simplicité : tout ce qui se vérifie par un SMS tombe avec le numéro, tout ce qui exige une preuve physique ou un secret jamais connecté survit. Le SIM swapping n’invente rien ; il exploite une architecture que des millions d’utilisateurs ont acceptée par commodité.

Cette logique en cascade frappe plus fort encore les comptes custodial et les portefeuilles embarqués, qui séduisent les débutants par leur simplicité. Sur une plateforme d’échange, la clé n’appartient pas à l’utilisateur : l’accès se résume à un identifiant, un mot de passe et un code reçu par SMS ; détourner le numéro, c’est obtenir d’un coup les trois quarts du trousseau. Les portefeuilles fondés sur la cryptographie à seuil (MPC) ou sur des passkeys promettent de supprimer la phrase de récupération, mais s’ils raccrochent l’authentification à un numéro de téléphone pour la facilité d’usage, ils réintroduisent par la petite porte la faille qu’ils prétendaient fermer.

Les chiffres d’une fraude qui se fait discrète

Le SIM swapping est une fraude discrète par nature, car la perte finale est rarement imputée au détournement lui-même. Aux États-Unis, le centre de plainte IC3 du FBI offre la série publique la plus continue : environ 68 millions de dollars de pertes déclarées pour 1 611 plaintes en 2021, un pic autour de 72,6 millions en 2022, puis un reflux à près de 26 millions en 2024 et environ 17,4 millions en 2025 (IC3). Ce reflux apparent est trompeur : le SIM swap n’est qu’un sésame, et le butin final se retrouve comptabilisé ailleurs. Le même rapport 2025 recense plus de 181 000 plaintes pour fraude liée aux crypto-actifs et plus de 11 milliards de dollars de pertes, en hausse de 22 % sur un an.

Ces montants publics sous-estiment la réalité. Beaucoup de victimes renoncent à porter plainte, par honte ou par ignorance des recours, et quand elles le font, la perte est souvent classée en fraude bancaire ou en usurpation d’identité, jamais en SIM swapping. Le chiffre qui compte vraiment n’est donc pas le total déclaré, mais le coût unitaire : un seul détournement réussi peut vider en une nuit l’épargne d’une vie, sans espoir de retour si les fonds ont basculé en crypto.

En Europe, l’agence ENISA a consacré un rapport entier à ce fléau, « Countering SIM Swapping », qui décrit un mode opératoire remarquablement stable d’un pays à l’autre : collecte de données personnelles, ingénierie sociale de l’opérateur, puis vidage éclair des comptes (ENISA). En France, la plateforme cybermalveillance.gouv.fr documente la même montée, et les tribunaux croulent sous les dossiers. Le chiffre français le plus parlant n’est toutefois pas une statistique agrégée, mais une affaire précise, nouée au cœur d’une grande banque de la place. Nous y venons.

Quand la cible est le régulateur : le compte X de la SEC

Le SIM swapping ne vise pas que des particuliers fortunés. Le 9 janvier 2024, le compte X officiel de la Securities and Exchange Commission américaine a publié l’annonce, fausse, de l’approbation des ETF Bitcoin au comptant. Le cours du Bitcoin a bondi d’un millier de dollars avant de rechuter de deux mille, un aller-retour d’environ 3 000 dollars en quelques minutes. Les vraies approbations ne sont tombées que le lendemain. L’auteur, Eric Council Jr., avait obtenu avec une fausse pièce d’identité, dans une boutique d’opérateur, une carte SIM de remplacement associée au numéro rattaché au compte de l’agence (Department of Justice).

Council facturait ses détournements 1 200 à 1 500 dollars pièce et avait engrangé environ 50 000 dollars ; il a plaidé coupable en février 2025 et a été condamné en mai à quatorze mois de prison, suivis de trois ans de liberté surveillée (CNBC). Pour le FBI, l’affaire dépassait le simple vol : « la prise de contrôle délibérée de la plateforme de communication officielle d’une agence fédérale (…) un acte criminel calculé, destiné à tromper le public et à manipuler les marchés financiers », a déclaré Darren Cox (CoinDesk).

Transposée en France, cette dimension de manipulation de marché relèverait de l’Autorité des marchés financiers. Le règlement MiCA a étendu aux crypto-actifs un régime d’abus de marché inspiré de celui des titres financiers : interdiction de la diffusion de fausses informations, interdiction de la manipulation de cours, obligations de transparence. L’AMF en est le gendarme en France, au titre du Titre VI du règlement. Un compte officiel détourné pour propulser une fausse nouvelle sur un crypto-actif ne serait donc pas un simple incident de sécurité : ce serait une infraction boursière, passible de sanctions administratives et pénales. Le SIM swapping devient alors une arme de marché, pas seulement un instrument de vol.

LastPass : le coffre dans le cloud est aussi une porte

Toutes les compromissions par procuration ne passent pas par la carte SIM ; certaines passent par le cloud, et la leçon est la même. Lors de la violation de LastPass en 2022, les attaquants ont copié des coffres entiers de mots de passe, puis cassé hors ligne les mots de passe maîtres les plus faibles. Dans ces coffres dormaient des phrases de récupération crypto, rangées sagement dans des notes dites sécurisées. Le résultat a été un pillage méthodique, étalé sur des mois, car les voleurs disposaient de tout le temps nécessaire une fois les coffres aspirés.

Taylor Monahan, responsable produit chez MetaMask et première à relier les vols entre eux, souligne le plus troublant : « Le profil des victimes reste ce qu’il y a de plus frappant. Toutes étaient raisonnablement prudentes » (KrebsOnSecurity). Autrement dit, il ne s’agissait pas de néophytes ayant collé leur seed sur un post-it, mais d’utilisateurs avertis qui avaient commis une seule erreur : confier le secret ultime à un service en ligne. Les pertes liées à cette brèche, estimées à plus de 35 millions de dollars fin 2023, dépassaient 150 millions dans un dossier de confiscation fédéral de 2025, qui a permis la saisie d’environ 23 millions, dont le produit d’un vol de grande ampleur rattaché par les enquêteurs au cofondateur de Ripple, Chris Larsen (BleepingComputer). Le principe à retenir vaut aussi face au SIM swap : un gestionnaire de mots de passe ou une sauvegarde cloud est lui-même un chemin de récupération, donc une cible.

Terpin, Scattered Spider et « The Com » : le visage des voleurs

Le SIM swapping a ses pionniers et ses dynasties. L’investisseur Michael Terpin, détroussé d’environ 24 millions de dollars en 2018, a obtenu en 2019 un jugement civil de 75,8 millions contre l’un de ses voleurs, puis a vu sa plainte contre l’opérateur AT&T relancée en 2024 par une cour d’appel fédérale, sur le fondement de la protection des données d’abonnés (Cointelegraph). L’affaire a posé une question qui hante encore le secteur : jusqu’où un opérateur est-il responsable lorsqu’il laisse partir un numéro sans vérifier qui le demande ?

La génération suivante porte un nom de nébuleuse : « The Com », une sous-culture de jeunes anglophones mue par la notoriété autant que par l’argent, et son excroissance Scattered Spider. L’un de ses membres, Noah Urban, a été condamné en août 2025 à dix ans de prison et à près de 13 millions de dollars de dédommagement, pour des vols touchant plus de cinquante-neuf victimes (KrebsOnSecurity). Allison Nixon, directrice de recherche chez Unit 221B, qui traque ces groupes depuis des années, documente leur méthode de prédilection : non pas pirater l’opérateur, mais soudoyer ou manipuler un employé de boutique (MIT Technology Review). Le maillon faible, encore et toujours, est humain, et il porte un badge d’employé.

Cette professionnalisation explique pourquoi la menace ne faiblit pas malgré les condamnations spectaculaires. Les rôles se spécialisent : un courtier vend l’accès au numéro, un autre vide les comptes, un troisième blanchit. Le SIM swap est devenu un service, acheté à la tâche, comme Council facturait ses détournements à l’unité.

La France dans le viseur : l’affaire Société Générale

La France n’est pas spectatrice de ce phénomène. L’affaire la plus emblématique s’est nouée au cœur même d’une grande banque : un stagiaire, étudiant en école de commerce affecté au siège de la Société Générale, boulevard Haussmann, a alimenté un réseau de fraudeurs en informations bancaires sur la clientèle. Forts de ces données, les complices appelaient les opérateurs mobiles en se faisant passer pour des clients ayant perdu leur téléphone, obtenaient le transfert du numéro vers leurs propres SIM, interceptaient les codes à usage unique et vidaient les comptes : plus d’un million d’euros détournés au préjudice d’une cinquantaine de clients (Bitdefender). La banque a indiqué avoir remboursé l’ensemble des clients concernés (Mac4ever).

L’affaire éclaire un rouage essentiel : le SIM swapping carbure à la donnée personnelle. Un marché noir s’est structuré autour des informations de connaissance client (pièces d’identité, justificatifs de domicile, selfies de vérification) qui nourrissent l’usurpation complète d’identité, les demandes de portabilité et la création de comptes mules sur des plateformes régulées. Chaque fuite de données, chaque violation chez un intermédiaire, recharge ce stock. Pour un détenteur de crypto, le risque est double : ses avoirs attirent la fraude à distance, mais l’exposition publique de son patrimoine attire aussi les menaces physiques, un domaine où la France est, là encore, en première ligne. La discrétion sur ses avoirs n’est pas de la paranoïa, c’est une mesure de sécurité élémentaire.

Qui paie ? Les tribunaux français rebattent les cartes

La grande spécificité française de 2026 n’est pas technique, elle est judiciaire. Une série de décisions a déplacé la charge de la perte depuis la victime vers la banque et, parfois, vers l’opérateur. Le socle est la directive européenne sur les services de paiement (DSP2), qui impose une authentification forte du client pour les opérations à distance. Sa logique, confirmée par la Cour de cassation le 22 octobre 2025, est implacable : en l’absence d’authentification forte, la banque doit rembourser les opérations non autorisées, sauf agissement frauduleux du payeur lui-même, et ce même si une négligence de l’utilisateur est établie (analyse de Kohen Avocats).

Deux enseignements se dégagent. D’abord, l’opérateur n’est plus intouchable : le tribunal de Paris a jugé que le RIO seul ne prouve pas le consentement du client, et a retenu la responsabilité de l’opérateur receveur pour défaut de vérification d’identité. Ensuite, la protection a une limite nette : lorsque la banque prouve une authentification forte réelle (un enrôlement de clé numérique exigeant une action explicite du client), le remboursement peut être refusé. Les délais comptent tout autant : la victime dispose d’un délai couperet de treize mois pour signaler par écrit l’opération non autorisée (Le Bot Avocat).

Banque, opérateur, plateforme : le partage des responsabilités

Ce régime protecteur a toutefois une frontière que tout cryptophile doit connaître : il protège les comptes bancaires, pas forcément les cryptos. Les décisions ci-dessus reposent sur la DSP2, qui régit les comptes de paiement. Pour un retrait frauduleux depuis une plateforme d’échange, la protection dépend du cadre applicable et du contrat de la plateforme ; et pour un vol en auto-conservation (self-custody), il n’existe tout simplement aucun filet. Pas de rétrofacturation, pas de régulateur pour ordonner un remboursement : une transaction blockchain est irréversible. Là où un protocole DeFi peut lancer une prime au chapeau blanc ou un programme de récupération, comme le montrent les barèmes de bug bounty hors EVM, le particulier dépouillé via son numéro n’a, le plus souvent, personne à qui réclamer.

Côté régulateurs, la responsabilité est éclatée entre trois autorités en France. L’ARCEP encadre la portabilité des numéros et la bonne exécution des demandes de RIO. La CNIL veille sur les données personnelles, dont la fuite alimente ces fraudes, et impose une notification des violations sous soixante-douze heures. L’AMF, enfin, intervient sur le volet crypto : au titre de MiCA, un prestataire de services sur crypto-actifs (PSCA) doit assurer la garde des « moyens d’accès », donc des clés, pour les actifs qu’il conserve, avec une charge de la preuve et une obligation de ségrégation. Mais cette obligation s’arrête à la porte de l’auto-conservation. Le message est cohérent avec le reste du secteur : dès que vous détenez vos propres clés, vous êtes votre propre service de sécurité, et votre propre assureur.

Le basculement de responsabilité vers l’opérateur, encore timide, est peut-être le changement le plus structurant. Tant que le détournement de numéro restait sans conséquence juridique pour le fournisseur télécom, celui-ci avait peu de raisons de durcir ses procédures. En jugeant que le RIO seul ne vaut pas consentement et en condamnant un opérateur à garantir la moitié d’un préjudice, les tribunaux déplacent le coût du laxisme vers celui qui peut l’empêcher. C’est la même logique qui, outre-Atlantique, nourrit les plaintes contre AT&T : responsabiliser le gardien du numéro.

Ne pas confondre les vecteurs : Crocodilus et le portefeuille piégé

Le SIM swapping se distingue de ses cousins, et la confusion peut coûter cher en défense. Un logiciel malveillant mobile comme Crocodilus, repéré par ThreatFabric, prend le contrôle d’un téléphone Android via les services d’accessibilité et affiche une fausse fenêtre invitant à sauvegarder sa clé de portefeuille sous douze heures pour aspirer la seed (ThreatFabric). C’est une attaque sur l’appareil. L’extension Fearless Wallet, elle, exfiltrait la clé depuis le logiciel lui-même, à l’insu d’utilisateurs qui n’avaient commis aucune erreur. Et l’iPhone piégé par DarkSword que nous avons décrit vise directement les applications de portefeuille installées sur le terminal.

Le SIM swapping, lui, ne touche ni l’appareil ni le logiciel : il s’attaque à l’identité télécom. C’est pourquoi un antivirus, un téléphone neuf ou un portefeuille réputé ne protègent en rien contre lui. La parade ne se trouve pas dans l’appareil, mais dans l’architecture de vos récupérations et dans la relation avec votre opérateur. Confondre les deux familles de menaces, c’est blinder une porte en laissant la fenêtre grande ouverte. Les défenses contre le logiciel malveillant (vigilance sur les installations, permissions, mises à jour) et celles contre le détournement de numéro (couper le SMS, verrouiller la portabilité) sont complémentaires, jamais interchangeables.

Couper le numéro du circuit : la défense

La bonne nouvelle est que le SIM swapping se neutralise par des gestes concrets, tous destinés à sortir le numéro de téléphone de la chaîne de confiance. Voici les plus efficaces, du plus urgent au plus structurel.

• Supprimer le SMS comme second facteur partout où c’est possible, au profit d’une application TOTP, d’une clé de sécurité FIDO2 ou d’une passkey ; ces preuves ne transitent jamais par la ligne mobile.
• Retirer le numéro de téléphone des options de récupération de la messagerie et des plateformes d’échange, et utiliser une adresse e-mail dédiée, secrète, jamais publiée ni réutilisée ailleurs.
• Ne jamais stocker une phrase de récupération en ligne, que ce soit dans un cloud, un gestionnaire de mots de passe ou une simple photo : la leçon LastPass est sans appel.
• Activer les protections de l’opérateur : code confidentiel de portabilité, verrouillage de la ligne contre le transfert, alerte en cas de changement de SIM (Orange, SFR, Bouygues Telecom et Free proposent des options de ce type).
• Surveiller le signal faible : une perte de réseau inexpliquée, surtout la nuit ou un week-end, doit déclencher un appel immédiat à l’opérateur depuis une autre ligne.
• Réagir vite et garder des preuves : le 33700 pour les SMS frauduleux, cybermalveillance.gouv.fr pour l’accompagnement, et une plainte visant les articles 226-4-1 (usurpation d’identité) et 323-1 (accès frauduleux à un système) du Code pénal.

Pour les montants importants, la règle d’or rejoint celle de toute bonne hygiène de clés : séparer les usages. Ari Redbord, responsable des politiques publiques chez TRM Labs, résume l’approche : réduire l’exposition et renforcer la gestion des clés, « limiter les signaux publics de détention de crypto, utiliser des portefeuilles multisignature ou protégés par phrase de passe, et séparer les portefeuilles du quotidien des avoirs de long terme » (The Block). Un portefeuille d’usage courant, relié à un numéro, peut rester modeste ; le gros du patrimoine vit ailleurs, hors de portée de toute récupération par SMS.

Les plateformes disposent elles aussi de leviers, et les meilleures les activent par défaut : liste blanche d’adresses de retrait (toute nouvelle adresse gelée plusieurs heures), délai de latence après un changement d’appareil ou de numéro, authentification par passkey liée au matériel plutôt que par SMS, et détection comportementale des prises de contrôle de compte. Un détenteur averti privilégiera les services offrant ces garde-fous et activera systématiquement le verrouillage des retraits. La sécurité n’est pas qu’une affaire individuelle ; elle se joue aussi dans les réglages que l’on met trois minutes à cocher.

Il reste enfin une ironie que la crypto doit assumer. Contre le SIM swapping, le vieux slogan « pas vos clés, pas vos cryptos » prend un sens parfaitement littéral : une seed générée et conservée hors ligne, sur un appareil qui ne voit jamais le réseau mobile, est tout simplement hors d’atteinte d’un détournement de numéro ; il n’y a rien à intercepter. L’auto-conservation bien faite, souvent présentée comme risquée, est ici la défense la plus robuste. À un Bitcoin qui s’échange autour de 72 500 euros (environ 81 400 dollars), loin de ses sommets, chaque euro volé pèse d’autant plus dans un marché déjà sous tension, comme le rappelle notre tour d’horizon de la fin d’année. Le SIM swapping n’est pas une faille de la blockchain ; c’est une faille de tout ce que nous avons branché autour d’elle. La corriger ne demande pas de casser un chiffrement, juste de débrancher un numéro.

Foire aux questions

Qu’est-ce que le SIM swapping et comment permet-il de voler des cryptos ?

Le SIM swapping consiste à faire rattacher votre numéro de téléphone à une carte SIM ou une eSIM contrôlée par un attaquant, par portabilité détournée via votre code RIO ou par émission frauduleuse d’une carte. L’attaquant intercepte ensuite vos codes envoyés par SMS pour réinitialiser vos e-mails, ouvrir vos comptes d’échange et atteindre vos cryptos, sans jamais toucher directement votre clé privée.

Comment savoir si je suis victime d’un SIM swap ?

Le signal le plus clair est une perte de réseau mobile inexpliquée, souvent la nuit ou un week-end : votre téléphone n’a plus de signal alors qu’il le devrait. Viennent ensuite des courriels de réinitialisation que vous n’avez pas demandés ou l’impossibilité de vous connecter à vos comptes. En cas de doute, appelez immédiatement votre opérateur depuis une autre ligne pour contester tout transfert.

Le SIM swapping peut-il voler une phrase de récupération conservée hors ligne ?

Non, si elle est réellement hors ligne. Une seed générée et conservée sur un appareil déconnecté (air-gap) ou sur papier n’a rien qui transite par le réseau mobile, donc rien à intercepter. Le danger apparaît dès que cette phrase est sauvegardée dans un cloud, un gestionnaire de mots de passe ou une photo, car ces services dépendent souvent de votre numéro de téléphone.

Ma banque ou mon opérateur doivent-ils me rembourser en France ?

Pour un compte bancaire, souvent oui : la DSP2 impose une authentification forte, et la Cour de cassation a confirmé en octobre 2025 qu’en son absence la banque doit rembourser, même en cas de négligence du client. Des tribunaux ont aussi condamné l’opérateur à garantir une partie du préjudice. En revanche, pour des cryptos en auto-conservation, aucun remboursement n’est prévu, car la transaction est irréversible.

Comment se protéger du SIM swapping quand on détient des cryptos ?

Supprimez le SMS comme second facteur au profit d’une application TOTP ou d’une clé FIDO2, retirez votre numéro des options de récupération de vos e-mails et plateformes, ne stockez jamais une seed en ligne, et activez le verrouillage de portabilité chez votre opérateur. Pour les montants élevés, une seed conservée hors ligne reste la protection la plus sûre.

Par Anneke de Vries, journaliste sécurité et régulation chez HOGE Wire.