Commencez par l’opérateur, pas par le bouton de réinitialisation
Une réinitialisation de mot de passe et un SIM swap peuvent se ressembler vus de l’extérieur : vous ne pouvez pas vous connecter, et le code qui arrivait par SMS ne fonctionne plus. La différence tient à l’endroit où se situe la panne. Un mot de passe oublié est un problème interne à un compte. Un SIM swap est un problème lié au numéro de téléphone lui-même, et il peut bloquer d’un coup tous les comptes qui dépendent de ce numéro.
La première décision n’est donc pas « quel mot de passe dois-je réinitialiser ? » mais « mon numéro m’appartient-il toujours ? »
Les signaux qui pointent vers le numéro, pas vers le mot de passe
Fiez-vous au schéma des défaillances, pas à un symptôme isolé, pour choisir la checklist à appliquer.
| Ce que vous observez | Explication la plus probable | Premier geste |
|---|---|---|
| Un seul service refuse votre mot de passe ; les appels et les SMS arrivent normalement | Mot de passe oublié ou mal saisi | Récupération de compte normale pour ce service |
| Les appels, les SMS et les données mobiles s’arrêtent ensemble, avec un avis d’activation SIM inattendu | Possible SIM swap | Contactez l’opérateur immédiatement |
| Les SMS fonctionnent pour certains expéditeurs mais les codes de vérification n’arrivent jamais | Cause incertaine ; peut venir du service, du numéro ou de l’appareil | Contactez l’opérateur pour confirmer le statut du numéro avant toute réinitialisation |
| Vous recevez un message de l’opérateur concernant un changement de SIM que vous n’avez pas demandé | Possible SIM swap | Contactez l’opérateur immédiatement |
La perte soudaine des appels, des SMS et des données, associée à un avis d’activation SIM inattendu, peut indiquer un SIM swap. Source
Un message de l’opérateur au sujet d’une activation que vous n’avez pas demandée est une raison d’appeler, pas une preuve d’attaque. Les opérateurs envoient aussi des notifications légitimes, et un changement d’appareil ou de forfait peut interrompre le service. L’intérêt de l’appel est de déterminer dans quelle situation vous vous trouvez avant de commencer à réinitialiser des mots de passe qu’un attaquant est peut-être aussi en train de réinitialiser.
Checklist d’incident : l’opérateur d’abord
Suivez ces étapes dans l’ordre. La séquence compte, car les réinitialisations de mot de passe envoyées par SMS sont inutiles, et potentiellement contre-productives, tant que quelqu’un d’autre contrôle le numéro.
- Appelez votre opérateur avec un numéro que vous connaissez déjà. Utilisez le numéro de contact figurant sur votre facture, dans l’application de votre opérateur ou dans vos propres contacts enregistrés. N’utilisez pas un numéro provenant d’un message inattendu vous demandant de « confirmer » ou de « restaurer » votre SIM.
- Décrivez précisément le problème. Dites que les appels, les SMS et les données se sont arrêtés ensemble et que vous avez reçu un avis d’activation SIM que vous n’avez pas demandé. Demandez à l’opérateur de confirmer si la SIM a été changée et de rétablir le contrôle du numéro.
- Demandez quelles protections l’opérateur propose. Un code PIN opérateur ou un verrouillage de compte peut réduire l’exposition à une nouvelle tentative. Considérez-le comme une réduction du risque, pas comme une solution.
- Ne changez les mots de passe qu’une fois le numéro de nouveau sous votre contrôle. Commencez par les comptes qui permettent de déplacer de l’argent ou de réinitialiser d’autres comptes, puis élargissez.
- Remplacez l’authentification par SMS seul lorsque c’est possible. Passez à une application d’authentification, à une clé d’accès (passkey) ou à une clé matérielle lorsque le service le permet. Conservez au moins une méthode de récupération que vous contrôlez.
- Vérifiez les changements effectués pendant l’interruption. Recherchez les alertes de nouvelle connexion, les adresses de récupération modifiées, les nouveaux moyens de paiement ou les règles de transfert sur les comptes les plus importants.
- Notez ce qui s’est passé. Consignez l’heure à laquelle vous avez remarqué la coupure, le numéro de référence de l’opérateur et les comptes que vous avez modifiés. Cela vous aidera si vous devez contester des débits plus tard.
La FTC conseille de contacter immédiatement l’opérateur mobile pour reprendre le contrôle du numéro, puis de changer les mots de passe des comptes concernés. Source
Cet ordre est un conseil éditorial fondé sur la séquence officielle : reprendre le numéro d’abord, changer les mots de passe ensuite. Réinitialiser des mots de passe alors que le numéro est encore contrôlé ailleurs peut fournir un nouveau code à l’attaquant.
Établissez un registre des dépendances de comptes
Un SIM swap est plus grave qu’un mot de passe oublié à cause des dépendances. De nombreux comptes utilisent le même numéro comme identifiant, comme voie de récupération ou comme second facteur. Cartographiez cela avant d’en avoir besoin.
| Colonne | Ce qu’il faut noter | Pourquoi c’est important |
|---|---|---|
| Compte | Le nom du service | Garde la liste concrète |
| Rôle du numéro | Identifiant, voie de récupération, second facteur par SMS, ou notification uniquement | Indique ce qui casse si le numéro est perdu |
| Option plus forte disponible | Application d’authentification, clé d’accès, clé matérielle, codes de secours | Montre où réduire la dépendance au SMS |
| Méthode de récupération que vous contrôlez | E-mail de secours, codes imprimés, second appareil | Doit survivre à la perte du numéro |
| Priorité | Argent, e-mail, puis tout le reste | Fixe l’ordre des changements de mots de passe |
Deux règles rendent le registre utile. Premièrement, conservez au moins une méthode de récupération qui ne dépend pas du numéro de téléphone, et gardez-la dans un endroit accessible sans le téléphone. Deuxièmement, ne supprimez pas une méthode de récupération avant d’avoir confirmé que vous pouvez vous connecter autrement ; retirer la dernière voie que vous contrôlez peut vous verrouiller définitivement.
L’authentification par SMS peut être compromise par un SIM swap ; un code PIN opérateur et une authentification de compte plus forte peuvent réduire l’exposition mais ne sont pas des garanties. Source
Un code PIN opérateur et une application d’authentification sont des réductions de risque, pas des garanties. Certains services retombent encore sur le SMS, et certains conseillers réinitialisent un compte par téléphone. Le registre doit montrer où ces solutions de repli existent.
Quand ce n’est probablement pas un SIM swap
Toutes les coupures ne sont pas des attaques, et accuser une personne ou un lieu ne vous aide pas à récupérer un compte. Écartez les causes ordinaires avant de traiter l’incident comme un SIM swap.
- Un seul service : si les appels et les SMS fonctionnent encore, le problème se situe probablement dans ce compte, et la récupération normale s’applique.
- Changement d’appareil ou de forfait : un nouveau téléphone, un transfert eSIM ou un changement de forfait peut interrompre le service. L’opérateur peut confirmer ce qui s’est passé.
- Panne de l’opérateur : vérifiez si l’opérateur signale une panne locale avant de supposer une fraude.
- Codes de vérification uniquement : si les SMS de vos proches arrivent mais pas les codes, la cause est incertaine. Demandez à l’opérateur de confirmer le statut du numéro plutôt que de réinitialiser à répétition.
Si l’opérateur confirme que la SIM a été changée sans votre demande, traitez cela comme un incident de sécurité même si le service revient rapidement. L’attaquant a peut-être profité de l’interruption pour réinitialiser des comptes, et ces réinitialisations ne s’annulent pas d’elles-mêmes.
Une voie de récupération que vous gardez
Un mot de passe oublié est récupérable en soi. Un SIM swap supprime la voie de récupération que partagent de nombreux comptes ; l’objectif pratique est donc de cesser de dépendre d’un seul numéro pour tout.
Si vous êtes en train de recenser les services qui utilisent votre numéro, le guide sur comment trouver tous les comptes liés à un numéro de téléphone est une étape suivante raisonnable. Considérez toute liste que vous établissez comme un point de départ pour vos propres vérifications, pas comme un inventaire complet, et confirmez chaque compte via sa propre procédure de récupération.
TraceSeek, l’application couverte par TruthsSeek, vérifie les noms d’utilisateur sur plus de 3 000 plateformes et propose un premier scan gratuit de 20–30 secondes, sans inscription ni connexion requise pour ce premier scan. C’est utile pour trouver des profils publics liés à un nom d’utilisateur ; cela ne restaure pas un numéro de téléphone, et une correspondance publique est une piste, pas une preuve de qui possède un compte.