Le SIM swap comme service : tarifs affichés, intermédiaires internes et ce qu'un numéro détourné permet de déverrouiller
Un SIM swap transfère un numéro de téléphone mobile vers une carte SIM contrôlée par quelqu'un d'autre. Le ministère américain de la Justice décrit le schéma sans détour : les attaquants prennent le contrôle du numéro de la victime, le rattachent à une SIM qu'ils détiennent, et les appels et SMS de la victime - y compris les mots de passe à usage unique - aboutissent sur un appareil qu'elle ne voit jamais. Ce qui était un travail sur mesure de prise de contrôle de comptes est devenu un service listé sur les forums underground, avec grille tarifaire par opérateur, revendeurs et recruteurs qui placent des complices dans les équipes support des opérateurs.
Ce qu'un numéro détourné permet de déverrouiller
Un numéro de téléphone est la clé de récupération de presque tout ce qui y est rattaché. Qui intercepte les codes SMS peut généralement entrer dans des boîtes mail, des comptes bancaires et d'échange, et dans tout service qui traite un code reçu par SMS comme preuve d'identité. L'Internet Crime Complaint Center du FBI a recensé 320 plaintes pour SIM swap entre janvier 2018 et décembre 2020, avec des pertes ajustées d'environ 12 millions de dollars ; rien qu'en 2021, il a reçu 1 611 plaintes pour des pertes ajustées supérieures à 68 millions de dollars. La note publique du bureau cite expressément la corruption d'employés d'opérateurs parmi les méthodes employées, aux côtés du hameçonnage et des logiciels malveillants. Le plafond est haut. En janvier 2024, des attaquants ont utilisé un numéro détourné pour prendre le contrôle du compte X de la SEC, le gendarme boursier américain, et publier une fausse approbation d'ETF bitcoin, selon la société de renseignement sur les menaces Intel 471. Et l'estimation de préjudice qu'Europol a attachée à un seul numéro détourné lors de son opération de 2021 - plus de 100 000 euros - explique pourquoi le marché underground chiffre ces prestations à quatre chiffres.Tarifs affichés, par opérateur
Selon le briefing d'avril 2024 d'Intel 471, les services de SIM swap s'affichent ouvertement sur les forums underground et les canaux Telegram. Un acteur proposait des swaps sur des comptes AT&T, T-Mobile et Verizon à 2 500 dollars le numéro et se disait appuyé par un complice dans une entreprise américaine jamais nommée. Un autre vendeur, couvrant AT&T, O2, Sprint, T-Mobile et Verizon, ciblait les détenteurs de cryptomonnaies et affichait des tarifs à partir de 5 000 dollars le compte. Un troisième annonçait des opérateurs américains à partir de 2 000 dollars. Le prix dépendrait de l'opérateur, de la valeur des comptes de la cible et, surtout, de la présence d'un complice en place. Ce sont des allégations de vendeurs, pas une capacité vérifiée - mais le volume d'offres et les acheteurs réguliers suggèrent un commerce actif.Le marché des complices internes
Côté offre, le SIM swap cesse d'être une arnaque de consommation pour ressembler à une opération d'approvisionnement. L'enquête de Brian Krebs en 2018 décrivait trois méthodes récurrentes : soudoyer ou faire chanter des employés de boutique, du personnel actuel ou ancien abusant d'accès aux bases de données, et des employés véreux trompant des collègues crédules pour leur faire faire la manipulation. Un pot-de-vin de 400 dollars tente le personnel mal payé des boutiques, notait Krebs, et T-Mobile a reconnu cette année-là trois accès non autorisés, dont l'un touchant environ 2,5 millions de clients. Un enquêteur cité dans le même article évoquait des assertions sur un « logiciel spécialisé » vendu sur les marchés du dark web donnant un accès dérobé à une base de données d'opérateur - une allégation jamais étayée.« Tromper ou corrompre des employés des télécoms ou abuser directement des accès internes des opérateurs » : c'est ainsi qu'Europol décrivait les méthodes du gang derrière les arrestations de 2021 pour les SIM swap de célébritésLe schéma remonte jusqu'aux guichets des opérateurs. Le briefing d'Intel 471 documente un employé du secteur des télécoms du New Jersey qui a plaidé coupable en mars 2024 d'accès informatique non autorisé, les enquêteurs indiquant qu'il a reçu 5 000 dollars en bitcoin pour réaliser des SIM swap sur cinq victimes en 2021, un recruteur lui ayant prétendument promis une part des profits. Le même mois, des procureurs ont inculpé un jeune Floridien alors âgé de 19 ans, à qui ils attribuent au moins 800 000 dollars en cryptomonnaies via des numéros détournés, ainsi qu'un réseau accusé d'avoir utilisé de fausses pièces d'identité pour effectuer les manipulations en boutique. Le régulateur américain inscrit désormais ce risque interne dans ses règles : l'ordonnance de la FCC de 2023 sur la fraude au SIM swap et au portage parle textuellement d'« employés du service client complaisants, inattentifs ou malveillants ».
Un numéro à 20 millions de dollars
La comptabilité la plus nette du coût d'un numéro vient d'un seul prévenu. Nicholas Truglia, alors âgé de 25 ans, a plaidé coupable d'avoir participé à un schéma de SIM swap en janvier 2018 qui a vidé le portefeuille de cryptomonnaies d'une victime de plus de 20 millions de dollars. En décembre 2022, le parquet fédéral du district sud de New York a annoncé sa condamnation à 18 mois de prison, trois ans de mise à l'épreuve, 983 010,72 dollars de confiscation et 20 379 007 dollars de dommages-intérêts. L'investisseur technologique Michael Terpin, dont le numéro aurait été détourné dans la même vague, a suivi la voie civile parallèle : un tribunal d'arbitrage lui aurait accordé 23,8 millions de dollars contre Truglia en 2019, selon les comptes rendus compilés dans l'article Wikipédia sur les fraudes par SIM swap.Ce qui fonctionne vraiment comme défense
Depuis janvier 2024, les opérateurs américains visés par l'ordonnance de la FCC doivent vérifier l'identité du client de manière sécurisée avant tout transfert ou portage de numéro, avertir le client avant de l'exécuter et proposer gratuitement un verrou de portage et de changement de SIM. Ces règles sont un plancher, pas un bouclier, et elles sont postérieures à la plupart des affaires ci-dessus. Les mesures pratiques recommandées par le FBI restent inchangées :- Demandez à votre opérateur un code PIN de portage ou un verrou de transfert de numéro, et renseignez-vous sur la protection eSIM là où elle est proposée.
- Utilisez une application d'authentification, une clé de sécurité physique ou la biométrie plutôt que des codes SMS pour les comptes critiques.
- Ne partagez jamais un mot de passe à usage unique ni un code PIN, et évitez d'exposer publiquement vos avoirs en cryptomonnaies.
- Gardez un numéro séparé pour les comptes critiques et ne le communiquez à personne.