Un numéro de téléphone n’est plus du tout une preuve d’identité

Les fuites et violations de données se multiplient et certaines, comme dernièrement celle de la DGFiP, apportent aux attaquants des informations suffisamment précises pour préparer des attaques ciblées contre une personne identifiée comme intéressante (parce qu’elle possède de l’argent, des informations sensibles, des droits particuliers ou simplement un pouvoir de décision).

Dans ce contexte, une attaque ancienne devient beaucoup plus facile à préparer : le SIM swapping, notamment lorsqu’il conduit au transfert de la ligne vers une nouvelle SIM ou eSIM contrôlée par l’attaquant.

En bref : qu’est-ce que le SIM swapping et comment cela fonctionne en attaque?

Le SIM swapping est une technique d’usurpation consistant à faire transférer le numéro de téléphone d’une victime vers une carte SIM ou eSIM contrôlée par l’attaquant. Celui-ci peut alors recevoir certains appels et SMS destinés à la victime, notamment des codes d’authentification.

En pratique, l’attaque consiste à choisir une cible, identifier son opérateur téléphonique, et le convaincre notamment à l’aide d’informations personnelles issues de fuites de données, que vous avez besoin d’une nouvelle SIM (ou eSIM). Le but est de faire transférer le numéro de la cible vers une SIM ou eSIM contrôlée par l’attaquant. Mais l’objectif n’est évidemment pas de téléphoner à ses amis ou à sa famille.

L’objectif est de devenir « la cible » aux yeux des systèmes qui considèrent encore votre numéro de téléphone comme une preuve suffisante de votre identité.

Quels sont les risques du SIM swapping ?

Une attaque réussie peut ainsi permettre de recevoir les SMS et appels destinés à la victime et donc :

• Contourner une authentification MFA reposant sur un code reçu par SMS ;
• Utiliser certains mécanismes de récupération ou de réinitialisation de compte ;
• Usurper purement et simplement une identité pour tenter de convaincre un service client ou un service commercial que l’appelant est bien le titulaire du compte, ou encore crédibiliser une demande urgente adressée à un collègue, à un collaborateur ou à un responsable hiérarchique.

Pourquoi le numéro de téléphone ne suffit plus pour vérifier une identité ?

Aujourd’hui, la voix n’apporte plus, à elle seule, une garantie suffisante : les techniques de synthèse et d’imitation vocale ont énormément progressé grâce à l’IA. Reconnaître la voix de quelqu’un au téléphone n’est donc plus du tout une authentification.

La conséquence est simple : il faut cesser de considérer la possession ou l’usage d’un numéro de téléphone comme une preuve d’identité.

En entreprise : sécuriser les opérations sensibles

Le numéro de téléphone peut rester un élément parmi d’autres, mais il ne devrait jamais suffire pour autoriser une opération sensible ou financière.

D’autres facteurs doivent être recherchés systématiquement (et pas uniquement lorsque les montants deviennent significatifs, les attaques commencent souvent par un « petit » coup d’essai), dès que la demande concerne un changement « sensible » : modification des coordonnées, récupération de compte, changement de bénéficiaire, changement d’adresse e-mail ou opération financière inhabituelle.

Plus l’opération est sensible, plus l’identité doit être vérifiée par un canal ou un facteur indépendant de la ligne téléphonique.

N’hésitez pas à me solliciter si vous avez un doute concernant un process interne.

Pour vos comptes perso et pro : privilégier Passkey et TOTP

La hiérarchie doit désormais être claire :

• Passkey en premier choix (de nombreux gestionnaires de mots de passe les stockent pour vous, ce qui résout le problème des clef Fido perdues);
• Authenticator/TOTP lorsqu’une passkey n’est pas disponible ;
• Le SMS uniquement comme mécanisme dégradé lorsqu’aucune solution plus robuste n’est disponible. Pour un service sensible, l’absence d’alternative au SMS doit désormais être considérée comme un signal de faiblesse dans la conception de l’authentification.

Et surtout : un SMS ou un appel reçu sur un numéro enregistré ne doit jamais constituer, à lui seul, un mécanisme suffisant de récupération d’un compte sensible. Le téléphone reste évidemment un outil très utile, mais son numéro n’est plus une preuve que la personne qui se trouve derrière est bien celle que l’on croit.

Pour des opérations sensibles et exceptionnelles, procédez à une vérification hors bande, en utilisant un canal indépendant et connu à l’avance. Par exemple, mettez en place à l’avance une procédure de secours, avec un mot de secours partagé uniquement entre les personnes concernées (cela vous protégera du WhatsApp du faux fiston qui demande 500€ en urgence car son iPhone est cassé 🙄). En pratique, une validation dans un outil authentifié ou par une seconde personne reste plus robuste.

Petite FAQ :

Le SIM swapping permet-il de connaître mon mot de passe ?
Non. Il détourne principalement la ligne téléphonique. Le danger apparaît lorsqu’un service permet ensuite d’utiliser le téléphone pour authentifier ou récupérer un compte.

Une eSIM protège-t-elle du SIM swapping ?
Pas nécessairement. Si l’attaquant réussit à convaincre l’opérateur de transférer la ligne vers une nouvelle eSIM, le principe de l’attaque reste le même.

Une application Authenticator protège-t-elle du SIM swapping ?
Oui, contre le SIM swapping lui-même. Un code TOTP généré localement ne dépend pas de la ligne téléphonique et ne peut donc pas être intercepté par le simple détournement du numéro.

Une Passkey protège-t-elle du SIM swapping ?
Oui, contre ce vecteur précis. Une passkey ne repose ni sur la réception d’un SMS ni sur la possession du numéro de téléphone. Elle supprime donc cette dépendance. Une passkey offre également une meilleure résistance et vous isole aussi assez bien de nombreuses conséquences du phishing classique (mais pas de toutes).