Fraude à l'échange de carte SIM

La fraude à l'échange de carte SIM, c'est le vol de votre numéro de téléphone. Un escroc appelle votre opérateur, se fait passer pour vous et demande le transfert du numéro sur une nouvelle carte SIM qu'il a en main. Il connaît parfois votre adresse et votre date de naissance, récupérées dans une ancienne fuite, ce qui suffit à le rendre crédible. À partir de cette minute, vos appels et vos SMS arrivent sur son téléphone.

Le numéro n'est que la porte d'entrée. Banques, messageries et réseaux sociaux envoient leurs codes de sécurité par SMS, donc celui qui tient le numéro tient les codes. Avec votre numéro et un vieux mot de passe, le voleur réinitialise votre messagerie, puis se sert de la messagerie pour réinitialiser tout le reste. Un commerçant peut perdre son compte bancaire et sa page professionnelle le même après-midi, sans le moindre virus sur un ordinateur.

Le signal d'alerte est discret. Votre téléphone perd le réseau là où il capte toujours, plus d'appels, plus de messages, et parfois la mention aucun service à l'écran. La plupart des gens pensent à une panne et attendent le soir. Cette attente est exactement ce dont le voleur a besoin. Empruntez un autre téléphone tout de suite, appelez votre opérateur, puis votre banque. Linkysoft a vu la même histoire plus d'une fois, et elle commence toujours par une heure de silence que personne n'a questionnée.

Deux réglages arrêtent l'attaque. Faites passer vos codes de sécurité des SMS vers une application d'authentification, qui affiche six chiffres sur votre propre téléphone et n'envoie rien par le réseau, le côté pratique de l'authentification à deux facteurs. Appelez ensuite votre opérateur et posez un code confidentiel sur la ligne, pour que le numéro ne bouge pas sans ce code. Demandez quelles preuves ils exigent pour changer une SIM. La réponse vous dit à quel point vous êtes facile à attaquer, et la question ne coûte rien.

Les petites entreprises sont touchées par un seul numéro, le portable personnel du patron qui reçoit aussi les codes de la banque. Quand Linkysoft mène un audit de cybersécurité, ce numéro sort d'abord des comptes importants et les accès du personnel passent sur une application. Le travail prend une heure. L'écart, lui, sépare une mauvaise matinée d'une entreprise qui ne peut plus payer ses fournisseurs.