Échange frauduleux de carte SIM (SIM swapping)

L'échange frauduleux de carte SIM consiste à convaincre un opérateur de téléphonie mobile, par ingénierie sociale, par de faux documents ou avec la complicité d'un employé, de transférer le numéro de téléphone d'une victime vers une carte SIM contrôlée par l'attaquant. Dès lors, tous les appels et messages destinés à la victime arrivent chez l'attaquant, y compris les codes à usage unique envoyés par SMS pour valider une connexion ou une opération bancaire. L'attaque contourne ainsi l'authentification à deux facteurs dans sa forme la plus répandue, et sert à prendre le contrôle de comptes de messagerie, de plateformes de cryptomonnaie et de comptes bancaires, ou à usurper un dirigeant. Pour l'assurance, elle a deux conséquences. Elle relativise la valeur d'un second facteur par SMS, que les souscripteurs distinguent désormais des méthodes résistantes à l'hameçonnage, clés physiques ou applications. Et elle pose une question de responsabilité entre la victime, sa banque et l'opérateur, dont les régulateurs ont commencé à renforcer les obligations de vérification avant tout transfert de ligne.