Un eSIM peut-il être piraté ?

Cette distinction compte, car elle détermine où concentrer vos efforts. Rien de ce que vous ferez à la puce n’y changera quoi que ce soit. Ce qui aide, c’est de verrouiller le compte qui contrôle votre numéro, et de faire sortir complètement du SMS les codes qui protègent votre argent.

• La puce est solide. Les identifiants du profil résident dans un élément sécurisé inviolable et ne sont jamais communiqués sous une forme lisible.
• Le dossier administratif est faible. Les numéros de téléphone passent d’un profil à l’autre sur la seule foi d’un nom, d’une adresse et d’une histoire plausible.
• Le trophée, c’est le numéro, pas la donnée. Un attaquant veut les codes SMS que reçoit votre numéro — c’est exactement ce qu’un eSIM tout-data n’a jamais.

Le reste de ce guide passe en revue les quatre endroits où une attaque peut réellement frapper, puis vous donne la liste de vérification qui referme celui qui compte vraiment.

« Pirater un eSIM » ne désigne pas une seule chose. Ce sont quatre cibles très différentes, avec des niveaux de difficulté qui n’ont rien à voir, et c’est en les confondant qu’on finit par s’inquiéter de la mauvaise.

Lisez cette liste dans l’ordre de l’effort requis : un attaquant commence par le bas et ne remonte que s’il y est contraint. Personne ne s’attaque à la puce quand un simple appel au service client suffit.

Un SIM swap, c’est le vol d’un numéro de téléphone. L’attaquant ne touche jamais à votre téléphone et ne casse aucun chiffrement. Il convainc votre opérateur qu’il est vous, et qu’il faut transférer le service vers une nouvelle carte SIM ou un nouveau profil eSIM. À partir de cet instant, chaque appel et chaque SMS qui vous étaient destinés sonnent sur son appareil à la place.

1. 01
   Ils rassemblent les informations

   Votre nom, votre numéro, votre date de naissance, votre adresse et les quatre derniers chiffres d’une carte. Des fuites de données, les réseaux sociaux et un appel téléphonique amical fournissent presque tout cela.

2. 02
   Ils contactent l’opérateur

   Ligne d’assistance, chat, ou comptoir en boutique. L’histoire est banale et ennuyeuse : un téléphone perdu, un appareil cassé, une mise à niveau. C’est justement ce qui est banal et ennuyeux qui est approuvé.

3. 03
   Le numéro bascule

   Votre ligne meurt. La leur s’active avec votre numéro, généralement en quelques minutes.

4. 04
   Ils réinitialisent tout ce qu’ils peuvent

   E-mail, banque, plateforme d’échange, stockage cloud. Chaque « mot de passe oublié » envoie un code par SMS, et ce SMS arrive désormais sur leur téléphone.

5. 05
   Ils vident les comptes et disparaissent

   Les comptes crypto en premier, car ces transferts sont irréversibles. Toute la séquence se déroule souvent en moins d’une heure, fréquemment en pleine nuit.

Un guide honnête doit le dire clairement : l’eSIM n’a pas inventé le SIM swapping, mais elle en a supprimé les frictions qui le ralentissaient auparavant. Plus de carte en plastique à envoyer par la poste, plus de boutique à visiter — la ligne de remplacement est un QR code, délivré instantanément.

• La livraison est immédiate. L’ancienne attaque nécessitait une carte envoyée par la poste ou une visite en boutique avec une fausse pièce d’identité. La nouvelle ne demande qu’une adresse e-mail et une capture d’écran.
• Ça passe à l’échelle. Tout ce qui se ramène à un formulaire web peut être lancé contre de nombreuses victimes à la fois, depuis n’importe où.
• La victime s’en aperçoit plus tard. Un swap à 3 h du matin ressemble à un problème de réception jusqu’au matin, et la fenêtre utile pour l’attaquant se compte en minutes.
• Le portail en libre-service est désormais une cible. Là où un opérateur permet de provisionner un eSIM depuis son compte en ligne, voler ces identifiants suffit — aucune conversation avec le service client n’est nécessaire.

Rien de tout cela ne plaide contre l’eSIM. Cette même permanence qui rend un profil difficile à déplacer explique aussi pourquoi un eSIM résiste mieux qu’une carte en plastique à un téléphone volé — pas de tiroir à ouvrir avec un trombone, pas de carte à retirer pour la réutiliser.

Pas d’une manière dont vous devez vous soucier. C’est la question que les gens posent vraiment quand ils demandent si un eSIM peut être piraté, et c’est justement le point où la technologie tient bon.

• Les clés ne quittent jamais la puce. Un profil réside dans l’eUICC, un élément sécurisé certifié et inviolable. Ses secrets sont utilisés à l’intérieur et ne sont jamais exportés sous une forme lisible — ni vers le système d’exploitation, ni vers une application, ni vers vous.
• Les deux parties prouvent leur identité. Le téléchargement d’un profil passe par un canal à authentification mutuelle : le serveur prouve son identité à la puce et la puce prouve la sienne au serveur, à l’aide de certificats qu’aucune des deux parties ne peut falsifier.
• Un profil est lié à une seule puce. Il est chiffré pour un eUICC précis. Copier le QR code, la chaîne d’activation ou le fichier ne donne à un attaquant qu’une charge utile que son matériel est incapable d’ouvrir.
• Le code est à usage unique. Une fois le profil téléchargé, son code d’activation est consommé. Une capture d’écran divulguée après coup n’installera rien.

Les anciennes attaques par clonage dont on garde un vague souvenir appartiennent à une autre époque de la technologie, dirigées contre des algorithmes retirés bien avant l’existence de l’eSIM. Elles relèvent de l’histoire, pas d’un risque actuel.

Chaque étape d’un SIM swap vise un seul actif : le numéro de téléphone, parce que c’est lui qui reçoit les codes. Retirez le numéro et l’attaque n’a plus d’objet. Un eSIM de voyage tout-data n’a pas de numéro, ne peut pas recevoir de SMS, et n’est rattaché à aucun nom.

C’est le même raisonnement structurel qui traverse notre guide sur le modèle de menace : un service qui ne collecte jamais une donnée ne peut pas la divulguer, et une ligne qui n’a jamais eu de numéro ne peut pas se le faire voler. Ce n’est pas une promesse que quelqu’un doit tenir — c’est une absence.

C’est la partie qui vous protège réellement, et cela prend environ vingt minutes, une seule fois. Suivez la liste dans l’ordre — les deux premiers points bloquent l’attaque net, le reste limite les dégâts si autre chose tourne mal.

1. 01
   Activez un code de blocage de portabilité ou un verrouillage du numéro

   Presque tous les grands opérateurs en proposent un désormais, sous un nom comme protection SIM, verrouillage du numéro ou blocage de portabilité. Il bloque tout transfert de votre ligne tant que vous ne l’avez pas levé vous-même. C’est le réglage le plus utile de toute cette page, et il est généralement désactivé par défaut.

2. 02
   Faites sortir vos codes du SMS

   Basculez chaque compte qui compte — l’e-mail en premier, puis la banque et la plateforme d’échange — vers une application d’authentification ou une clé de sécurité matérielle. Les codes par SMS sont la raison pour laquelle les numéros se font voler ; supprimez la récompense et l’attaque cesse d’être rentable.

3. 03
   Retirez votre numéro comme méthode de récupération

   De nombreux comptes continuent d’envoyer un code de réinitialisation par SMS à votre numéro, même quand la double authentification par application est activée, ce qui rouvre discrètement la faille que vous venez de fermer. Supprimez le numéro partout où l’option existe.

4. 04
   Choisissez un vrai mot de passe pour votre compte opérateur

   Ni le nom de votre chien, ni votre année de naissance, ni la réponse à une question de sécurité que n’importe qui peut lire sur votre profil. Rangez-le dans un gestionnaire de mots de passe avec tout le reste.

5. 05
   Gardez votre date de naissance et votre adresse hors des profils publics

   Ce sont exactement les champs que le service client utilise pour vous identifier. Chacun que vous publiez est un identifiant gratuit pour quiconque appelle en se faisant passer pour vous.

• Commencez par l’e-mail. Quiconque contrôle votre boîte de réception peut réinitialiser presque tout le reste, il mérite donc la méthode la plus solide que vous soyez prêt à utiliser.
• Préférez une clé de sécurité matérielle ou une clé d’accès quand le compte le permet. Ni l’une ni l’autre ne peuvent être hameçonnées, redirigées ou lues sur un écran verrouillé.
• Enregistrez vos codes de secours hors ligne avant d’en avoir besoin — sur papier, quelque part qui n’est pas le téléphone.
• Utilisez un eSIM tout-data à l’étranger pour que votre ligne principale reste inactive pendant le voyage. Une ligne que personne n’utilise est une ligne que personne ne surveille à votre place, et un enregistrement d’itinérance de moins dans un pays où vous ne faites que passer.

Un swap reste surmontable si vous le repérez tôt, et le signal précoce est sans équivoque une fois qu’on sait le reconnaître. Votre téléphone ne vous prévient pas que votre numéro a été volé. Il perd simplement le service.

• « Aucun service » ou SOS soudain sur votre ligne principale, en intérieur, à un endroit où ça a toujours fonctionné, sans aucune panne ailleurs.
• Les appels et les SMS cessent d’arriver alors que les applications en Wi-Fi continuent de fonctionner normalement — le signe que c’est la ligne qui a disparu, pas internet.
• Un message au sujet d’un changement de SIM ou d’un transfert de numéro que vous n’avez pas demandé. Certains opérateurs en envoient un ; mieux vaut le lire que l’ignorer.
• Des e-mails de réinitialisation de mot de passe que vous n’avez pas demandés, surtout plusieurs d’affilée en quelques minutes.
• Être déconnecté de vos comptes sur un appareil qui fonctionnait normalement une heure plus tôt.

1. 01
   Appelez votre opérateur depuis un autre téléphone

   Dites les mots « je pense que mon numéro a été victime d’un SIM swap » et demandez le gel de la ligne. La rapidité l’emporte ici sur la politesse — chaque minute qui passe, c’est un code de réinitialisation de plus livré à quelqu’un d’autre.

2. 02
   Sécurisez d’abord votre argent

   La banque, puis toute plateforme d’échange ou portefeuille avec identifiants de connexion. Bloquez les cartes et stoppez les virements avant de commencer à remettre de l’ordre dans vos e-mails.

3. 03
   Changez vos mots de passe depuis un appareil sain

   L’e-mail avant tout le reste, puis tout ce qui utilisait des codes par SMS. Utilisez un ordinateur portable ou un second téléphone, pas l’appareil qui vient de perdre sa ligne.

4. 04
   Reconstruisez correctement votre double authentification

   Une fois le numéro récupéré, basculez ces comptes vers une application d’authentification ou une clé, pour que la même attaque ne puisse pas se reproduire le mois prochain.

Les arnaques propres à l’eSIM qui existent réellement ne s’attaquent pas à la puce. Ce sont les fraudes ordinaires d’internet, adaptées : une boutique qui encaisse le paiement et ne livre rien, un QR code qui installe un profil venant de quelqu’un que vous n’avez pas choisi, un compte de support qui apparaît dans vos réponses en proposant son aide.

• Ne scannez que les codes que vous avez demandés. Un QR reçu par message, dans une réponse de forum ou collé sur un autocollant dans une auberge de jeunesse est une invitation à installer un profil contrôlé par un inconnu. Il ne peut pas lire vos autres profils, mais il peut faire transiter votre trafic.
• Traitez un code non utilisé comme de l’argent liquide. Avant l’installation, c’est un titre au porteur — quiconque le photographie peut installer le forfait à votre place. Installez-le rapidement et cela cesse d’avoir de l’importance.
• Achetez sur la boutique officielle. La revente est devenue une véritable petite industrie : le même forfait, majoré, vendu depuis une page qui imite l’originale, sans aucun moyen d’obtenir du support par la suite.
• Personne de légitime n’a besoin de votre jeton. Un support qui demande le code qui est votre compte n’est pas un support légitime. Le nôtre est la chaîne XXXX-XXXX-XXXX-XXXX que vous avez enregistrée à l’inscription, et elle ne doit jamais être saisie ailleurs que dans le champ de connexion.
• Vérifiez le domaine avant de payer, surtout sur un téléphone où la barre d’adresse est à moitié cachée. Ce n’est pas un hasard si les pages de paiement sont les pages les plus clonées d’internet.

La même honnêteté que nous appliquons à la vie privée s’applique ici. Supprimer le numéro de téléphone élimine complètement une catégorie d’attaque et laisse les autres exactement où elles étaient.

• Un appareil compromis reste compromis. Un malware qui voit votre écran lit les codes d’authentification aussi facilement que les SMS. Aucune technologie de carte SIM n’y change rien.
• Le phishing fonctionne toujours. La prise de contrôle de compte la plus courante reste quelqu’un qui tape son vrai mot de passe sur une fausse page convaincante. Les clés d’accès et les clés de sécurité matérielles y résistent ; un eSIM data non.
• Le réseau voit toujours la forme de votre trafic. Un achat anonyme n’est pas un transport chiffré — l’argument est développé en détail dans ce qu’un eSIM anonyme cache et ce qu’il ne peut pas cacher.
• Votre matériel reste identifiable. Les téléphones s’annoncent aux antennes-relais quel que soit le profil installé, comme l’explique le guide sur la traçabilité.
• Un réseau non fiable reste non fiable. Une ligne durcie ne fait rien pour le Wi-Fi de l’hôtel auquel vous vous connectez ensuite — ce risque mérite son propre guide.

En clair : un eSIM tout-data supprime l’actif que recherchent les attaquants par SIM swap, et un verrou de portabilité protège le numéro que vous continuez de garder. Ensemble, ils referment la brèche qui coûte réellement de l’argent aux gens. Si vous voulez régler dès aujourd’hui le volet connectivité, les forfaits par pays sont sur la page des destinations, et l’achat prend environ cinq minutes, sans nom, sans e-mail et sans carte.