{"id":848,"date":"2026-10-22T22:35:05","date_gmt":"2026-10-22T22:35:05","guid":{"rendered":"https:\/\/hoge.gg\/fr\/sim-swapping-vol-numero-portefeuille-crypto-2026\/"},"modified":"2026-10-22T22:35:05","modified_gmt":"2026-10-22T22:35:05","slug":"sim-swapping-vol-numero-portefeuille-crypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/sim-swapping-vol-numero-portefeuille-crypto-2026\/","title":{"rendered":"SIM swapping : voler le num\u00e9ro pour vider le portefeuille crypto"},"content":{"rendered":"

Le mois d’octobre 2026 restera comme une saison noire pour les cl\u00e9s priv\u00e9es. Le 21 octobre, la Polkadot Community Foundation a r\u00e9v\u00e9l\u00e9 que l’extension de navigateur Fearless Wallet exp\u00e9diait les cl\u00e9s de ses utilisateurs vers un serveur contr\u00f4l\u00e9 par des pirates depuis f\u00e9vrier 2025, un code malveillant gliss\u00e9 dans quatre versions successives via une simple pull request, et actif jusqu’au 10 octobre (CryptoBriefing<\/a>). Le m\u00eame jour, des chercheurs montraient que huit cl\u00e9s de signature de l’autorit\u00e9 de certification eMudhra \u00e9taient si faibles qu’elles avaient \u00e9t\u00e9 cass\u00e9es par force brute (CoinDesk<\/a>). Quelques jours plus t\u00f4t, les analystes de SlowMist attribuaient le vidage de 1 404 portefeuilles Qubic \u00e0 un g\u00e9n\u00e9rateur de hasard aussi banal que Math.random (CryptoBriefing<\/a>).<\/p>

Ces trois affaires ont un point commun : il a fallu, \u00e0 chaque fois, du code pi\u00e9g\u00e9, un chiffrement b\u00e2cl\u00e9 ou un appareil trafiqu\u00e9. Le vecteur dont parle cet article n’a besoin d’aucun des trois. Il n’\u00e9crit pas de logiciel, ne casse aucune cryptographie et ne touche jamais votre mat\u00e9riel. Il s’attaque au maillon le plus faible, celui qui se trouve enti\u00e8rement hors de la blockchain : votre num\u00e9ro de t\u00e9l\u00e9phone. Le SIM swapping, ou d\u00e9tournement de carte SIM, est devenu l’une des voies les plus rentables pour compromettre une cl\u00e9 priv\u00e9e sans jamais la voir, et la France figure parmi ses terrains de chasse les plus actifs.<\/p>

Le m\u00eame mois, un implant cellulaire dissimul\u00e9 sous l’\u00e9cran de faux portefeuilles Ledger revendus par un tiers transmettait les phrases de r\u00e9cup\u00e9ration par le r\u00e9seau mobile (CoinDesk<\/a>). Le SIM swapping rel\u00e8ve de la m\u00eame famille, celle des attaques qui contournent la cryptographie au lieu de l’affronter. Comprendre pourquoi un num\u00e9ro de t\u00e9l\u00e9phone vaut un portefeuille entier, c’est saisir la principale ligne de fracture de la s\u00e9curit\u00e9 crypto en 2026.<\/p>

Un vol de cl\u00e9 qui ne touche jamais la cl\u00e9<\/h2>

Le principe du SIM swapping tient en une phrase : l’attaquant convainc un op\u00e9rateur de rattacher votre num\u00e9ro \u00e0 une carte SIM, ou \u00e0 une eSIM, qu’il contr\u00f4le. \u00c0 partir de l\u00e0, tous les SMS, tous les appels et tous les codes \u00e0 usage unique destin\u00e9s \u00e0 votre ligne arrivent chez lui. Le pirate ne vole pas directement vos vingt-quatre mots ni votre cl\u00e9 priv\u00e9e ; il s’empare de l’objet qui, dans l’\u00e9crasante majorit\u00e9 des dispositifs de s\u00e9curit\u00e9 grand public, commande la r\u00e9cup\u00e9ration de tout le reste.<\/p>

C’est une compromission par procuration. Le num\u00e9ro de t\u00e9l\u00e9phone est devenu un trousseau universel : il r\u00e9initialise un mot de passe de messagerie, valide une connexion bancaire, confirme un retrait sur une plateforme d’\u00e9change et, trop souvent, d\u00e9verrouille la sauvegarde cloud o\u00f9 dort une phrase de r\u00e9cup\u00e9ration. L’attaquant ne force aucune serrure ; il se fait remettre le passe, puis laisse la victime lui ouvrir elle-m\u00eame chaque porte, maillon apr\u00e8s maillon.<\/p>

2026 a d’ailleurs consacr\u00e9 un basculement que les analystes pressentaient depuis des ann\u00e9es : les cl\u00e9s et identifiants compromis ont d\u00e9pass\u00e9 les failles de contrats intelligents comme premi\u00e8re cause de pertes en crypto (crypto.news<\/a>). Qu’il s’agisse d’un pont vid\u00e9 par des jetons fabriqu\u00e9s de toutes pi\u00e8ces<\/a> ou d’un particulier d\u00e9pouill\u00e9 via son op\u00e9rateur, le d\u00e9nominateur commun n’est plus le bug, c’est l’acc\u00e8s. Et l’acc\u00e8s, aujourd’hui, se n\u00e9gocie souvent dans une boutique de t\u00e9l\u00e9phonie, pas dans une ligne de code.<\/p>

D\u00e9tourner un num\u00e9ro fran\u00e7ais : RIO, portabilit\u00e9 et eSIM<\/h2>

En France, le d\u00e9tournement de num\u00e9ro emprunte deux chemins principaux, bien document\u00e9s par les avocats sp\u00e9cialis\u00e9s et par la plateforme publique cybermalveillance.gouv.fr. Le premier est la portabilit\u00e9 d\u00e9tourn\u00e9e. Chaque ligne mobile poss\u00e8de un code RIO (Relev\u00e9 d’Identit\u00e9 Op\u00e9rateur), une suite de douze caract\u00e8res que l’abonn\u00e9 obtient en composant le 3179. Muni de ce code, r\u00e9cup\u00e9r\u00e9 par ing\u00e9nierie sociale ou achet\u00e9 sur un march\u00e9 noir de donn\u00e9es, et de pi\u00e8ces d’identit\u00e9 plus ou moins falsifi\u00e9es, le fraudeur souscrit chez un nouvel op\u00e9rateur et demande la conservation du num\u00e9ro ; l’ancienne ligne est alors r\u00e9sili\u00e9e automatiquement (Kohen Avocats<\/a>).<\/p>

Le second chemin est l’eSIM frauduleuse. Plut\u00f4t que de transf\u00e9rer le num\u00e9ro vers un autre op\u00e9rateur, l’attaquant reste chez le m\u00eame et obtient l’\u00e9mission d’une nouvelle carte, d\u00e9sormais d\u00e9mat\u00e9rialis\u00e9e, qu’il active sur son propre appareil. Un passage en agence avec de faux papiers, ou un conseiller trop press\u00e9, suffit parfois. La bascule vers l’eSIM, cens\u00e9e simplifier la vie des abonn\u00e9s, a ouvert une voie rapide et sans logistique physique : il n’y a plus de carte \u00e0 exp\u00e9dier, donc plus de d\u00e9lai pour reprendre ses esprits.<\/p>

Le ressort commun aux deux techniques est l’ing\u00e9nierie sociale de l’op\u00e9rateur. Le fraudeur appelle le service client ou se pr\u00e9sente en boutique avec un sc\u00e9nario rod\u00e9 (t\u00e9l\u00e9phone perdu ou vol\u00e9, voyage urgent) et juste assez de donn\u00e9es personnelles, souvent achet\u00e9es, pour franchir les questions de s\u00e9curit\u00e9. Il n’a pas besoin de comp\u00e9tences techniques : il lui faut un conseiller press\u00e9, une proc\u00e9dure appliqu\u00e9e \u00e0 la lettre et un justificatif cr\u00e9dible. C’est pr\u00e9cis\u00e9ment ce qui rend la fraude si difficile \u00e0 endiguer, car la faille n’est pas dans un syst\u00e8me informatique, mais dans une conversation.<\/p>

Dans les deux cas, le r\u00e9sultat est identique : la ligne de la victime tombe en silence (plus de r\u00e9seau, souvent la nuit ou un week-end), et pendant ce cr\u00e9neau l’attaquant intercepte les codes de validation, enr\u00f4le ses propres appareils de confiance et lance les transferts. Le t\u00e9l\u00e9phone qui ne capte plus est le premier, et parfois le seul, signal d’alerte. Quand la victime comprend, le cr\u00e9neau est d\u00e9j\u00e0 referm\u00e9 et les fonds ont boug\u00e9.<\/p>

La cascade de r\u00e9cup\u00e9ration : du SMS au seed<\/h2>

Pourquoi un simple num\u00e9ro vaut-il une fortune ? Parce que la s\u00e9curit\u00e9 num\u00e9rique grand public est construite en cascade, et que le SMS se trouve tout en haut. Prenez un d\u00e9tenteur de crypto prudent mais ordinaire : son adresse e-mail se r\u00e9initialise par un code envoy\u00e9 par SMS ; sa plateforme d’\u00e9change renvoie vers cette messagerie et confirme les retraits par un second code SMS ; et sa phrase de r\u00e9cup\u00e9ration, qu’il croyait \u00e0 l’abri, repose dans une note d’un gestionnaire de mots de passe lui-m\u00eame rattach\u00e9 \u00e0 un num\u00e9ro de t\u00e9l\u00e9phone. Tirez le fil du num\u00e9ro, et toute la pelote vient.<\/p>

Nick Bax, chercheur en s\u00e9curit\u00e9, r\u00e9sume la cible ultime sans d\u00e9tour : \u00ab La phrase de r\u00e9cup\u00e9ration, c’est litt\u00e9ralement l’argent. Si vous avez ma seed, vous la copiez-collez dans un portefeuille et vous voyez tous mes comptes \u00bb (KrebsOnSecurity<\/a>). Tout l’enjeu d’un SIM swap r\u00e9ussi consiste \u00e0 atteindre cette seed, ou \u00e0 d\u00e9faut le compte custodial qui en tient lieu, sans jamais la deviner. Le tableau ci-dessous distingue les maillons qui tombent avec le num\u00e9ro de ceux qui r\u00e9sistent, et il dessine en creux toute la strat\u00e9gie de d\u00e9fense.<\/p>

Maillon de r\u00e9cup\u00e9ration<\/th>Tombe avec le num\u00e9ro ?<\/th>Pourquoi<\/th><\/tr><\/thead>
2FA par SMS ou appel vocal<\/td>Oui<\/td>Le code arrive sur la SIM de l’attaquant<\/td><\/tr>
R\u00e9initialisation d’e-mail par SMS<\/td>Oui<\/td>La messagerie se rouvre, puis sert de poste de contr\u00f4le<\/td><\/tr>
Connexion \u00e0 une plateforme (OTP par SMS)<\/td>Oui<\/td>Retraits valid\u00e9s avec le num\u00e9ro d\u00e9tourn\u00e9<\/td><\/tr>
Sauvegarde cloud d’une seed<\/td>Souvent<\/td>Le compte cloud d\u00e9pend du m\u00eame num\u00e9ro ou e-mail<\/td><\/tr>
Application TOTP (authenticator)<\/td>Non<\/td>Le secret reste sur l’appareil, pas sur la ligne<\/td><\/tr>
Cl\u00e9 de s\u00e9curit\u00e9 FIDO2 ou passkey<\/td>Non<\/td>Preuve mat\u00e9rielle non interceptable par SMS<\/td><\/tr>
Seed hors ligne (air-gap, papier)<\/td>Non<\/td>Rien ne transite par le r\u00e9seau mobile<\/td><\/tr><\/tbody><\/table><\/figure>

La le\u00e7on est brutale de simplicit\u00e9 : tout ce qui se v\u00e9rifie par un SMS tombe avec le num\u00e9ro, tout ce qui exige une preuve physique ou un secret jamais connect\u00e9 survit. Le SIM swapping n’invente rien ; il exploite une architecture que des millions d’utilisateurs ont accept\u00e9e par commodit\u00e9.<\/p>

Cette logique en cascade frappe plus fort encore les comptes custodial et les portefeuilles embarqu\u00e9s, qui s\u00e9duisent les d\u00e9butants par leur simplicit\u00e9. Sur une plateforme d’\u00e9change, la cl\u00e9 n’appartient pas \u00e0 l’utilisateur : l’acc\u00e8s se r\u00e9sume \u00e0 un identifiant, un mot de passe et un code re\u00e7u par SMS ; d\u00e9tourner le num\u00e9ro, c’est obtenir d’un coup les trois quarts du trousseau. Les portefeuilles fond\u00e9s sur la cryptographie \u00e0 seuil (MPC) ou sur des passkeys promettent de supprimer la phrase de r\u00e9cup\u00e9ration, mais s’ils raccrochent l’authentification \u00e0 un num\u00e9ro de t\u00e9l\u00e9phone pour la facilit\u00e9 d’usage, ils r\u00e9introduisent par la petite porte la faille qu’ils pr\u00e9tendaient fermer.<\/p>

Les chiffres d’une fraude qui se fait discr\u00e8te<\/h2>

Le SIM swapping est une fraude discr\u00e8te par nature, car la perte finale est rarement imput\u00e9e au d\u00e9tournement lui-m\u00eame. Aux \u00c9tats-Unis, le centre de plainte IC3 du FBI offre la s\u00e9rie publique la plus continue : environ 68 millions de dollars de pertes d\u00e9clar\u00e9es pour 1 611 plaintes en 2021, un pic autour de 72,6 millions en 2022, puis un reflux \u00e0 pr\u00e8s de 26 millions en 2024 et environ 17,4 millions en 2025 (IC3<\/a>). Ce reflux apparent est trompeur : le SIM swap n’est qu’un s\u00e9same, et le butin final se retrouve comptabilis\u00e9 ailleurs. Le m\u00eame rapport 2025 recense plus de 181 000 plaintes pour fraude li\u00e9e aux crypto-actifs et plus de 11 milliards de dollars de pertes, en hausse de 22 % sur un an.<\/p>

Ces montants publics sous-estiment la r\u00e9alit\u00e9. Beaucoup de victimes renoncent \u00e0 porter plainte, par honte ou par ignorance des recours, et quand elles le font, la perte est souvent class\u00e9e en fraude bancaire ou en usurpation d’identit\u00e9, jamais en SIM swapping. Le chiffre qui compte vraiment n’est donc pas le total d\u00e9clar\u00e9, mais le co\u00fbt unitaire : un seul d\u00e9tournement r\u00e9ussi peut vider en une nuit l’\u00e9pargne d’une vie, sans espoir de retour si les fonds ont bascul\u00e9 en crypto.<\/p>

En Europe, l’agence ENISA a consacr\u00e9 un rapport entier \u00e0 ce fl\u00e9au, \u00ab Countering SIM Swapping \u00bb, qui d\u00e9crit un mode op\u00e9ratoire remarquablement stable d’un pays \u00e0 l’autre : collecte de donn\u00e9es personnelles, ing\u00e9nierie sociale de l’op\u00e9rateur, puis vidage \u00e9clair des comptes (ENISA<\/a>). En France, la plateforme cybermalveillance.gouv.fr documente la m\u00eame mont\u00e9e, et les tribunaux croulent sous les dossiers. Le chiffre fran\u00e7ais le plus parlant n’est toutefois pas une statistique agr\u00e9g\u00e9e, mais une affaire pr\u00e9cise, nou\u00e9e au c\u0153ur d’une grande banque de la place. Nous y venons.<\/p>

Quand la cible est le r\u00e9gulateur : le compte X de la SEC<\/h2>

Le SIM swapping ne vise pas que des particuliers fortun\u00e9s. Le 9 janvier 2024, le compte X officiel de la Securities and Exchange Commission am\u00e9ricaine a publi\u00e9 l’annonce, fausse, de l’approbation des ETF Bitcoin au comptant. Le cours du Bitcoin a bondi d’un millier de dollars avant de rechuter de deux mille, un aller-retour d’environ 3 000 dollars en quelques minutes. Les vraies approbations ne sont tomb\u00e9es que le lendemain. L’auteur, Eric Council Jr., avait obtenu avec une fausse pi\u00e8ce d’identit\u00e9, dans une boutique d’op\u00e9rateur, une carte SIM de remplacement associ\u00e9e au num\u00e9ro rattach\u00e9 au compte de l’agence (Department of Justice<\/a>).<\/p>

Council facturait ses d\u00e9tournements 1 200 \u00e0 1 500 dollars pi\u00e8ce et avait engrang\u00e9 environ 50 000 dollars ; il a plaid\u00e9 coupable en f\u00e9vrier 2025 et a \u00e9t\u00e9 condamn\u00e9 en mai \u00e0 quatorze mois de prison, suivis de trois ans de libert\u00e9 surveill\u00e9e (CNBC<\/a>). Pour le FBI, l’affaire d\u00e9passait le simple vol : \u00ab la prise de contr\u00f4le d\u00e9lib\u00e9r\u00e9e de la plateforme de communication officielle d’une agence f\u00e9d\u00e9rale (…) un acte criminel calcul\u00e9, destin\u00e9 \u00e0 tromper le public et \u00e0 manipuler les march\u00e9s financiers \u00bb, a d\u00e9clar\u00e9 Darren Cox (CoinDesk<\/a>).<\/p>

Transpos\u00e9e en France, cette dimension de manipulation de march\u00e9 rel\u00e8verait de l’Autorit\u00e9 des march\u00e9s financiers<\/a>. Le r\u00e8glement MiCA a \u00e9tendu aux crypto-actifs un r\u00e9gime d’abus de march\u00e9 inspir\u00e9 de celui des titres financiers : interdiction de la diffusion de fausses informations, interdiction de la manipulation de cours, obligations de transparence. L’AMF en est le gendarme en France, au titre du Titre VI du r\u00e8glement. Un compte officiel d\u00e9tourn\u00e9 pour propulser une fausse nouvelle sur un crypto-actif ne serait donc pas un simple incident de s\u00e9curit\u00e9 : ce serait une infraction boursi\u00e8re, passible de sanctions administratives et p\u00e9nales. Le SIM swapping devient alors une arme de march\u00e9, pas seulement un instrument de vol.<\/p>

LastPass : le coffre dans le cloud est aussi une porte<\/h2>

Toutes les compromissions par procuration ne passent pas par la carte SIM ; certaines passent par le cloud, et la le\u00e7on est la m\u00eame. Lors de la violation de LastPass en 2022, les attaquants ont copi\u00e9 des coffres entiers de mots de passe, puis cass\u00e9 hors ligne les mots de passe ma\u00eetres les plus faibles. Dans ces coffres dormaient des phrases de r\u00e9cup\u00e9ration crypto, rang\u00e9es sagement dans des notes dites s\u00e9curis\u00e9es. Le r\u00e9sultat a \u00e9t\u00e9 un pillage m\u00e9thodique, \u00e9tal\u00e9 sur des mois, car les voleurs disposaient de tout le temps n\u00e9cessaire une fois les coffres aspir\u00e9s.<\/p>

Taylor Monahan, responsable produit chez MetaMask et premi\u00e8re \u00e0 relier les vols entre eux, souligne le plus troublant : \u00ab Le profil des victimes reste ce qu’il y a de plus frappant. Toutes \u00e9taient raisonnablement prudentes \u00bb (KrebsOnSecurity<\/a>). Autrement dit, il ne s’agissait pas de n\u00e9ophytes ayant coll\u00e9 leur seed sur un post-it, mais d’utilisateurs avertis qui avaient commis une seule erreur : confier le secret ultime \u00e0 un service en ligne. Les pertes li\u00e9es \u00e0 cette br\u00e8che, estim\u00e9es \u00e0 plus de 35 millions de dollars fin 2023, d\u00e9passaient 150 millions dans un dossier de confiscation f\u00e9d\u00e9ral de 2025, qui a permis la saisie d’environ 23 millions, dont le produit d’un vol de grande ampleur rattach\u00e9 par les enqu\u00eateurs au cofondateur de Ripple, Chris Larsen (BleepingComputer<\/a>). Le principe \u00e0 retenir vaut aussi face au SIM swap : un gestionnaire de mots de passe ou une sauvegarde cloud est lui-m\u00eame un chemin de r\u00e9cup\u00e9ration, donc une cible.<\/p>

Terpin, Scattered Spider et \u00ab The Com \u00bb : le visage des voleurs<\/h2>

Le SIM swapping a ses pionniers et ses dynasties. L’investisseur Michael Terpin, d\u00e9trouss\u00e9 d’environ 24 millions de dollars en 2018, a obtenu en 2019 un jugement civil de 75,8 millions contre l’un de ses voleurs, puis a vu sa plainte contre l’op\u00e9rateur AT&T relanc\u00e9e en 2024 par une cour d’appel f\u00e9d\u00e9rale, sur le fondement de la protection des donn\u00e9es d’abonn\u00e9s (Cointelegraph<\/a>). L’affaire a pos\u00e9 une question qui hante encore le secteur : jusqu’o\u00f9 un op\u00e9rateur est-il responsable lorsqu’il laisse partir un num\u00e9ro sans v\u00e9rifier qui le demande ?<\/p>

La g\u00e9n\u00e9ration suivante porte un nom de n\u00e9buleuse : \u00ab The Com \u00bb, une sous-culture de jeunes anglophones mue par la notori\u00e9t\u00e9 autant que par l’argent, et son excroissance Scattered Spider. L’un de ses membres, Noah Urban, a \u00e9t\u00e9 condamn\u00e9 en ao\u00fbt 2025 \u00e0 dix ans de prison et \u00e0 pr\u00e8s de 13 millions de dollars de d\u00e9dommagement, pour des vols touchant plus de cinquante-neuf victimes (KrebsOnSecurity<\/a>). Allison Nixon, directrice de recherche chez Unit 221B, qui traque ces groupes depuis des ann\u00e9es, documente leur m\u00e9thode de pr\u00e9dilection : non pas pirater l’op\u00e9rateur, mais soudoyer ou manipuler un employ\u00e9 de boutique (MIT Technology Review<\/a>). Le maillon faible, encore et toujours, est humain, et il porte un badge d’employ\u00e9.<\/p>

Cette professionnalisation explique pourquoi la menace ne faiblit pas malgr\u00e9 les condamnations spectaculaires. Les r\u00f4les se sp\u00e9cialisent : un courtier vend l’acc\u00e8s au num\u00e9ro, un autre vide les comptes, un troisi\u00e8me blanchit. Le SIM swap est devenu un service, achet\u00e9 \u00e0 la t\u00e2che, comme Council facturait ses d\u00e9tournements \u00e0 l’unit\u00e9.<\/p>

La France dans le viseur : l’affaire Soci\u00e9t\u00e9 G\u00e9n\u00e9rale<\/h2>

La France n’est pas spectatrice de ce ph\u00e9nom\u00e8ne. L’affaire la plus embl\u00e9matique s’est nou\u00e9e au c\u0153ur m\u00eame d’une grande banque : un stagiaire, \u00e9tudiant en \u00e9cole de commerce affect\u00e9 au si\u00e8ge de la Soci\u00e9t\u00e9 G\u00e9n\u00e9rale, boulevard Haussmann, a aliment\u00e9 un r\u00e9seau de fraudeurs en informations bancaires sur la client\u00e8le. Forts de ces donn\u00e9es, les complices appelaient les op\u00e9rateurs mobiles en se faisant passer pour des clients ayant perdu leur t\u00e9l\u00e9phone, obtenaient le transfert du num\u00e9ro vers leurs propres SIM, interceptaient les codes \u00e0 usage unique et vidaient les comptes : plus d’un million d’euros d\u00e9tourn\u00e9s au pr\u00e9judice d’une cinquantaine de clients (Bitdefender<\/a>). La banque a indiqu\u00e9 avoir rembours\u00e9 l’ensemble des clients concern\u00e9s (Mac4ever<\/a>).<\/p>

L’affaire \u00e9claire un rouage essentiel : le SIM swapping carbure \u00e0 la donn\u00e9e personnelle. Un march\u00e9 noir s’est structur\u00e9 autour des informations de connaissance client (pi\u00e8ces d’identit\u00e9, justificatifs de domicile, selfies de v\u00e9rification) qui nourrissent l’usurpation compl\u00e8te d’identit\u00e9, les demandes de portabilit\u00e9 et la cr\u00e9ation de comptes mules sur des plateformes r\u00e9gul\u00e9es. Chaque fuite de donn\u00e9es, chaque violation chez un interm\u00e9diaire, recharge ce stock. Pour un d\u00e9tenteur de crypto, le risque est double : ses avoirs attirent la fraude \u00e0 distance, mais l’exposition publique de son patrimoine attire aussi les menaces physiques, un domaine o\u00f9 la France est, l\u00e0 encore, en premi\u00e8re ligne. La discr\u00e9tion sur ses avoirs n’est pas de la parano\u00efa, c’est une mesure de s\u00e9curit\u00e9 \u00e9l\u00e9mentaire.<\/p>

Qui paie ? Les tribunaux fran\u00e7ais rebattent les cartes<\/h2>

La grande sp\u00e9cificit\u00e9 fran\u00e7aise de 2026 n’est pas technique, elle est judiciaire. Une s\u00e9rie de d\u00e9cisions a d\u00e9plac\u00e9 la charge de la perte depuis la victime vers la banque et, parfois, vers l’op\u00e9rateur. Le socle est la directive europ\u00e9enne sur les services de paiement (DSP2), qui impose une authentification forte du client pour les op\u00e9rations \u00e0 distance. Sa logique, confirm\u00e9e par la Cour de cassation le 22 octobre 2025, est implacable : en l’absence d’authentification forte, la banque doit rembourser les op\u00e9rations non autoris\u00e9es, sauf agissement frauduleux du payeur lui-m\u00eame, et ce m\u00eame si une n\u00e9gligence de l’utilisateur est \u00e9tablie (analyse de Kohen Avocats<\/a>).<\/p>

D\u00e9cision<\/th>Date<\/th>Montant<\/th>Enseignement<\/th><\/tr><\/thead>
Cour de cassation (n\u00b0 24-19.749)<\/td>22 oct. 2025<\/td>Principe<\/td>Sans authentification forte, la banque rembourse ; la n\u00e9gligence du client est indiff\u00e9rente<\/td><\/tr>
CA Amiens (RG 23\/05055)<\/td>23 oct. 2025<\/td>22 465 \u20ac<\/td>Virements non soumis \u00e0 l’authentification forte par la banque<\/td><\/tr>
TJ Paris (RG 23\/09531)<\/td>25 nov. 2025<\/td>16 964 \u20ac<\/td>Victime de 82 ans ; l’op\u00e9rateur condamn\u00e9 \u00e0 garantir 50 % du pr\u00e9judice<\/td><\/tr>
TJ Paris (RG 25\/03920)<\/td>9 avr. 2026<\/td>5 444 \u20ac<\/td>eSIM frauduleuse ; remboursement faute d’authentification forte<\/td><\/tr>
TJ Paris (RG 25\/01643)<\/td>8 juin 2026<\/td>0 \u20ac<\/td>Limite : authentification forte r\u00e9ellement document\u00e9e, pas de remboursement<\/td><\/tr><\/tbody><\/table><\/figure>

Deux enseignements se d\u00e9gagent. D’abord, l’op\u00e9rateur n’est plus intouchable : le tribunal de Paris a jug\u00e9 que le RIO seul ne prouve pas le consentement du client, et a retenu la responsabilit\u00e9 de l’op\u00e9rateur receveur pour d\u00e9faut de v\u00e9rification d’identit\u00e9. Ensuite, la protection a une limite nette : lorsque la banque prouve une authentification forte r\u00e9elle (un enr\u00f4lement de cl\u00e9 num\u00e9rique exigeant une action explicite du client), le remboursement peut \u00eatre refus\u00e9. Les d\u00e9lais comptent tout autant : la victime dispose d’un d\u00e9lai couperet de treize mois pour signaler par \u00e9crit l’op\u00e9ration non autoris\u00e9e (Le Bot Avocat<\/a>).<\/p>

Banque, op\u00e9rateur, plateforme : le partage des responsabilit\u00e9s<\/h2>

Ce r\u00e9gime protecteur a toutefois une fronti\u00e8re que tout cryptophile doit conna\u00eetre : il prot\u00e8ge les comptes bancaires, pas forc\u00e9ment les cryptos. Les d\u00e9cisions ci-dessus reposent sur la DSP2, qui r\u00e9git les comptes de paiement. Pour un retrait frauduleux depuis une plateforme d’\u00e9change, la protection d\u00e9pend du cadre applicable et du contrat de la plateforme ; et pour un vol en auto-conservation (self-custody), il n’existe tout simplement aucun filet. Pas de r\u00e9trofacturation, pas de r\u00e9gulateur pour ordonner un remboursement : une transaction blockchain est irr\u00e9versible. L\u00e0 o\u00f9 un protocole DeFi peut lancer une prime au chapeau blanc ou un programme de r\u00e9cup\u00e9ration, comme le montrent les bar\u00e8mes de bug bounty hors EVM<\/a>, le particulier d\u00e9pouill\u00e9 via son num\u00e9ro n’a, le plus souvent, personne \u00e0 qui r\u00e9clamer.<\/p>

C\u00f4t\u00e9 r\u00e9gulateurs, la responsabilit\u00e9 est \u00e9clat\u00e9e entre trois autorit\u00e9s en France. L’ARCEP<\/a> encadre la portabilit\u00e9 des num\u00e9ros et la bonne ex\u00e9cution des demandes de RIO. La CNIL<\/a> veille sur les donn\u00e9es personnelles, dont la fuite alimente ces fraudes, et impose une notification des violations sous soixante-douze heures. L’AMF, enfin, intervient sur le volet crypto : au titre de MiCA, un prestataire de services sur crypto-actifs (PSCA) doit assurer la garde des \u00ab moyens d’acc\u00e8s \u00bb, donc des cl\u00e9s, pour les actifs qu’il conserve, avec une charge de la preuve et une obligation de s\u00e9gr\u00e9gation. Mais cette obligation s’arr\u00eate \u00e0 la porte de l’auto-conservation. Le message est coh\u00e9rent avec le reste du secteur : d\u00e8s que vous d\u00e9tenez vos propres cl\u00e9s, vous \u00eates votre propre service de s\u00e9curit\u00e9, et votre propre assureur.<\/p>

Le basculement de responsabilit\u00e9 vers l’op\u00e9rateur, encore timide, est peut-\u00eatre le changement le plus structurant. Tant que le d\u00e9tournement de num\u00e9ro restait sans cons\u00e9quence juridique pour le fournisseur t\u00e9l\u00e9com, celui-ci avait peu de raisons de durcir ses proc\u00e9dures. En jugeant que le RIO seul ne vaut pas consentement et en condamnant un op\u00e9rateur \u00e0 garantir la moiti\u00e9 d’un pr\u00e9judice, les tribunaux d\u00e9placent le co\u00fbt du laxisme vers celui qui peut l’emp\u00eacher. C’est la m\u00eame logique qui, outre-Atlantique, nourrit les plaintes contre AT&T : responsabiliser le gardien du num\u00e9ro.<\/p>

Ne pas confondre les vecteurs : Crocodilus et le portefeuille pi\u00e9g\u00e9<\/h2>

Le SIM swapping se distingue de ses cousins, et la confusion peut co\u00fbter cher en d\u00e9fense. Un logiciel malveillant mobile comme Crocodilus, rep\u00e9r\u00e9 par ThreatFabric, prend le contr\u00f4le d’un t\u00e9l\u00e9phone Android via les services d’accessibilit\u00e9 et affiche une fausse fen\u00eatre invitant \u00e0 sauvegarder sa cl\u00e9 de portefeuille sous douze heures pour aspirer la seed (ThreatFabric<\/a>). C’est une attaque sur l’appareil. L’extension Fearless Wallet, elle, exfiltrait la cl\u00e9 depuis le logiciel lui-m\u00eame, \u00e0 l’insu d’utilisateurs qui n’avaient commis aucune erreur. Et l’iPhone pi\u00e9g\u00e9 par DarkSword<\/a> que nous avons d\u00e9crit vise directement les applications de portefeuille install\u00e9es sur le terminal.<\/p>

Le SIM swapping, lui, ne touche ni l’appareil ni le logiciel : il s’attaque \u00e0 l’identit\u00e9 t\u00e9l\u00e9com. C’est pourquoi un antivirus, un t\u00e9l\u00e9phone neuf ou un portefeuille r\u00e9put\u00e9 ne prot\u00e8gent en rien contre lui. La parade ne se trouve pas dans l’appareil, mais dans l’architecture de vos r\u00e9cup\u00e9rations et dans la relation avec votre op\u00e9rateur. Confondre les deux familles de menaces, c’est blinder une porte en laissant la fen\u00eatre grande ouverte. Les d\u00e9fenses contre le logiciel malveillant (vigilance sur les installations, permissions, mises \u00e0 jour) et celles contre le d\u00e9tournement de num\u00e9ro (couper le SMS, verrouiller la portabilit\u00e9) sont compl\u00e9mentaires, jamais interchangeables.<\/p>

Couper le num\u00e9ro du circuit : la d\u00e9fense<\/h2>

La bonne nouvelle est que le SIM swapping se neutralise par des gestes concrets, tous destin\u00e9s \u00e0 sortir le num\u00e9ro de t\u00e9l\u00e9phone de la cha\u00eene de confiance. Voici les plus efficaces, du plus urgent au plus structurel.<\/p>