Escroquerie de l'échange de carte SIM

Une attaque par échange de carte SIM, également connue sous le nom d'escroquerie par port-out, de division de carte SIM ou de détournement de carte SIM, est un type de fraude par prise de contrôle de compte. Celle-ci cible généralement une faiblesse dans l'authentification à deux facteurs, dans laquelle le deuxième facteur est un message texte (SMS) ou un appel passé à un téléphone mobile.

Méthode

Cette fraude exploite la capacité des opérateurs de téléphonie mobile à transférer automatiquement un numéro de téléphone vers un appareil doté d'une carte SIM différente. Cette fonctionnalité de portabilité est généralement utilisée en cas de perte ou de vol de téléphone, ou lors d'un changement d'opérateur.

Le fraudeur commence l’escroquerie par la collecte de données personnelles sur la victime, soit par l’utilisation de courriels d'hameçonnage, soit en les achetant à des criminels organisés, soit manipulant socialement la victime, soit en les récupérant à partir de fuites de données en ligne.

Muni de ces informations, le fraudeur contacte l'opérateur de téléphonie mobile de la victime. Il utilise des techniques d'ingénierie sociale pour convaincre l'employé de transférer le numéro de téléphone de la victime sur sa propre carte SIM. Pour ce faire, il usurpe l'identité de la victime en utilisant des informations personnelles afin de paraître authentique et en prétendant avoir perdu son téléphone.

Il peut également corrompre des employés des télécommunications pour qu'ils transfèrent le numéro de la victime sur une nouvelle carte SIM. Des fraudeurs ont pu rechercher des employés d'entreprises telles que T-Mobile et Verizon via les réseaux sociaux ou les annuaires d'employés afin de les corrompre, promettant parfois de l'argent en cryptomonnaie pour chaque numéro de téléphone transféré.

Dans certains pays, notamment en Inde et au Nigeria, le fraudeur convainc la victime d'approuver le changement de carte SIM en appuyant sur la touche 1.

Une fois le transfert effectué, le téléphone de la victime perd la connexion au réseau et le fraudeur reçoit tous les SMS et appels vocaux. Il peut ainsi intercepter les mots de passe à usage unique envoyés par SMS ou appel téléphonique au numéro de la victime et contourner les méthodes d'authentification à deux facteurs qui s'appuient sur eux. Comme de nombreux services permettent de réinitialiser un mot de passe avec un simple numéro de téléphone de récupération, cette escroquerie permet aux criminels d'accéder à presque tous les comptes liés au numéro piraté. Ils peuvent alors transférer directement des fonds depuis un compte bancaire, extorquer le titulaire légitime ou vendre les comptes au marché noir pour commettre d'autres usurpations d'identité et fraudes.

Il existe des alternatives à l'échange de SIM pour intercepter les SMS d’une victime. Dans l’écosystème Apple, la synchronisation via iCloud permet de recevoir les SMS sur plusieurs appareils. Un attaquant qui parviendrait à associer son appareil au compte Apple de la victime pourrait ainsi accéder à ses SMS en activant cette fonctionnalité, auquel cas les deux appareils recevraient en même temps les SMS.

Historique et statistiques

Plusieurs piratages de grande ampleur ont lieu grâce à la méthode d'échange de carte SIM, notamment sur les réseaux sociaux Instagram et Twitter. En 2019, le compte Twitter du PDG de Twitter, Jack Dorsey, est piraté par cette méthode.

En décembre 2018, l'investisseur en cryptomonnaie Michael Terpin, fondateur et directeur général de Transform Group, intente une action en justice contre Nicholas Truglia, puis, en mai 2020, une seconde contre Ellis Pinsky, un lycéen de 18 ans scolarisé à Irvington, les accusant, ainsi que 20 complices, d'avoir détourné 23,8 millions de dollars en 2018 grâce à des informations bancaires volées sur des smartphones par échange de carte SIM. À l'époque, Truglia a 18 ans et Ellis 15. Truglia est condamné à 18 mois de prison et à rembourser 20 millions de dollars, tandis que Pinsky est condamné à rembourser 22 millions de dollars mais, étant mineur, échappe à la prison.

Le rapport Microsoft Digital Defense Report 2024 indique cependant que moins de 0,3 % des attaques d'identité utilisent l'échange de carte SIM (contre 99 % pour les attaques par rejeu, le password spraying et le phishing).

Le FBI américain reçoit 1 600 plaintes concernant l’échange de cartes SIM en 2021, soit une augmentation de plus de 400 % par rapport à 2018. « Le FBI indique que les victimes ont perdu 68 millions de dollars à cause de cette escroquerie à la carte SIM en 2021, contre seulement 12 millions de dollars au total entre 2018 et 2020 ». Les plaintes pour échange de cartes SIM déposées auprès du FBI ont augmenté de 26 % en 2022, pour atteindre 2 026, avant de chuter de 47 % en 2023 à 1 075, puis de 9 % en 2024 à 982. Le pic de 2022 représente moins de 0,3 % de tous les crimes sur Internet signalés, incluant l’hameçonnage/l’usurpation d’identité (44 %), les violations de données (8 %) et le vol d’identité (4 %).

Les signalements d'échange de carte SIM à la base de données nationale britannique sur la fraude augmentent de plus de 1 000 % entre 2023 et 2024, mais les 2 760 cas signalés représentent moins de 1 % de tous les signalements de fraude.

Safaricom, l'opérateur kényan qui dessert environ les deux tiers des 70 millions de téléphones du Kenya, connait une augmentation de 327 % des échanges de cartes SIM entre 2024 et 2025, passant de 11 cas à 47.

En Corée du Sud, plusieurs cas présumés d'attaques par échange de carte SIM sont recensés depuis début 2022. Le schéma commun est le suivant : les victimes subissent des interruptions brutales de leurs services mobiles, accompagnées d'une notification indiquant un changement. Elles découvrent alors que leurs comptes bancaires et de cryptomonnaies ont été compromis.