Attaques SIM swap sur les exchanges crypto : se protéger

Ce qu’une attaque par SIM-swap fait réellement à votre connexion à un exchange

Un SIM-swap ne casse pas votre téléphone. Il casse la relation entre votre numéro de téléphone et la carte SIM qui se trouve à l’intérieur. Chaque numéro mobile chez chaque opérateur est une entrée de base de données qui indique: "ce numéro, en ce moment, se trouve sur cette carte SIM." Lorsque vous appelez l’opérateur ou vous rendez en boutique, un représentant peut mettre à jour cette entrée. Dans un SIM-swap, le criminel convainc le représentant de faire pointer votre numéro vers une SIM dans le téléphone du criminel.

De l’extérieur, rien ne change immédiatement sur votre téléphone. Votre téléphone perd le signal quelques minutes plus tard lorsque son ancienne SIM est désenregistrée. Le téléphone du criminel sonne, reçoit vos SMS, et possède désormais chaque compte qui utilise votre numéro de téléphone comme preuve d’identité, y compris, dans de nombreux cas, votre compte d’exchange crypto.

Une fois qu’ils contrôlent votre numéro, l’attaque contre l’exchange devient mécanique. Ils appuient sur "mot de passe oublié", reçoivent un lien ou un code de réinitialisation par SMS, définissent un nouveau mot de passe, puis se voient demander une authentification à deux facteurs. Le second facteur arrive par SMS, lui aussi sur "votre" numéro, qui est désormais leur téléphone. Ils le saisissent, se connectent et commencent les retraits. Le temps que votre vrai téléphone se reconnecte, les fonds ont généralement disparu.

Les modes d’échec dans le monde réel (lisez ceci avant de supposer que cela ne vous arrivera pas)

Ce risque n’est pas théorique et il n’est pas marginal. L’Internet Crime Complaint Center du FBI a enregistré plus de 1 000 plaintes liées au SIM-swap en 2021, représentant environ 68 millions de dollars, et il s’agit presque certainement d’une sous-estimation, car de nombreuses victimes ne déposent pas plainte. Les cas individuels permettent de mieux saisir l’ampleur du problème.

Dans une affaire bien documentée de 2019, un étudiant aux États-Unis a été condamné à 10 ans de prison pour un stratagème de SIM-swap qui a vidé environ 50 000 dollars chez une seule victime, un dirigeant d’un hedge fund crypto. L’attaquant a appelé l’opérateur, s’est fait passer pour la victime en utilisant des informations personnelles récoltées sur les réseaux sociaux et auprès de courtiers en données, a transféré le numéro et a effectué la réinitialisation du mot de passe en quelques minutes.

Le schéma se répète d’un continent à l’autre. En 2020, un réseau allemand de SIM-swap a volé plus de 1 million de dollars à des victimes en ciblant des investisseurs qui avaient lié Gmail, leur exchange et la récupération de leur authenticator au même numéro de téléphone. En 2023, le Department of Justice des États-Unis a inculpé plusieurs membres d’un groupe connu sous le nom de "Scattered Spider" pour des SIM-swaps visant des détenteurs de crypto et des employés des télécoms. Le fil conducteur dans chaque affaire n’est pas un piratage ingénieux. C’est de l’ingénierie sociale chez l’opérateur, où l’attaquant convainc un humain qu’il est vous.

Les modes d’échec au sein de l’attaque sont importants, car ils montrent quelles défenses fonctionnent et lesquelles relèvent du théâtre. Un mot de passe fort et unique ne sert à rien, car l’attaquant le réinitialise. L’authentification à deux facteurs n’aide que si le second facteur n’est pas la même SIM qui vient d’être détournée. La récupération par e-mail est dangereuse si votre e-mail dépend lui aussi de la récupération par SMS. La leçon est que chaque chaîne de connexion doit être défendue indépendamment, car le maillon le plus faible est celui que l’attaquant ciblera.

Pourquoi l’authentification à deux facteurs par SMS n’est plus acceptable

L’authentification à deux facteurs par SMS (SMS 2FA) représentait une énorme amélioration par rapport au mot de passe seul lorsqu’elle a été introduite, mais le monde a avancé et les menaces ont rattrapé leur retard. Si le SMS 2FA n’est plus acceptable pour tout ce qui a une valeur monétaire, c’est pour une raison structurelle. Le code circule sur le même réseau que celui que l’attaquant vient de compromettre.

Les grands médias tech et les organismes de normalisation le disent depuis des années. Le NIST, l’agence américaine qui publie les directives d’authentification, a retiré le SMS des facteurs secondaires acceptables pour les systèmes fédéraux à haut niveau d’assurance dès 2017, précisément à cause des attaques de SIM swap et d’interception SS7 (Signaling System 7). SS7 est le protocole mondial de signalisation des télécoms qui permet aux opérateurs d’acheminer les appels et les messages entre les réseaux. Les criminels connaissent les failles de SS7 depuis au moins 2014 et les utilisent pour rediriger les SMS sans même faire de SIM swap.

Même sans ces attaques sophistiquées, l’ingénierie sociale auprès des opérateurs coûte peu. Un adolescent avec une carte SIM prépayée et quelques informations personnelles récupérées sur LinkedIn, Instagram ou chez un courtier de données comme PeopleFinder peut souvent réussir en un seul appel. Les opérateurs ont renforcé leurs défenses ces dernières années, mais la fraude aux nouveaux comptes et les compromissions internes restent un bruit de fond constant, et l’économie criminelle autour des SIM swap est suffisamment mûre pour que certains fournisseurs vendent des échanges par douzaines.

La formulation honnête est la suivante. Si la connexion à votre plateforme d’échange utilise le SMS comme second facteur, votre crypto tient derrière un seul appel téléphonique. Il ne faut pas vaincre un hacker chevronné. Il faut simplement être le genre de cible pour laquelle le représentant de l’opérateur raccroche à l’attaquant. C’est possible, mais cela exige de retirer le SMS de la chaîne, et pas seulement d’espérer que personne n’essaiera.

Le piège 2FA de Telegram, Signal et WhatsApp dans lequel tombent la plupart des débutants

Comme le SMS 2FA est de plus en plus discrédité, beaucoup de débutants se tournent vers la « vérification en deux étapes » d’une application de messagerie, en pensant que c’est la même chose. Ce n’est pas le cas, et la différence compte.

Telegram, Signal et WhatsApp proposent chacun une fonction appelée « vérification en deux étapes » (Telegram) ou « authentification à deux facteurs » (Signal et WhatsApp). Il s’agit d’un code PIN ou d’un mot de passe que vous définissez dans l’application. Point crucial, ce code PIN protège les enregistrements sur de nouveaux appareils et certaines actions sensibles, mais il ne remplace pas à lui seul le SMS pour le reste de votre chaîne de connexion, parce que votre connexion à la plateforme d’échange, votre e-mail, votre banque et bien d’autres comptes dépendent encore de votre numéro de téléphone.

Le piège est plus subtil. Un SIM swap de votre numéro fonctionne toujours contre tous ces comptes. Le mot de passe de la vérification en deux étapes de Telegram n’entre en jeu que si l’attaquant essaie de se connecter à votre Telegram depuis un nouvel appareil. Il ne l’empêche pas de recevoir les SMS que vous utilisez ailleurs. Pire encore, si l’attaquant obtient aussi votre mot de passe Telegram, parce que vous l’avez réutilisé ou parce qu’il a été exposé dans une fuite de données, il contrôle alors l’application de messagerie que vous utilisez peut-être comme substitut partiel au SMS.

Ce que vous devriez faire concrètement, dans l’ordre. Activez la vérification en deux étapes dans Telegram, Signal et WhatsApp avec des codes PIN uniques que vous ne réutilisez nulle part. Définissez un code PIN de changement de SIM ou de remplacement de SIM auprès de votre opérateur, et envisagez un code PIN de transfert de numéro ou de « port-out » comme deuxième couche. Utilisez une application d’authentification dédiée, décrite dans la section suivante, pour le 2FA de votre plateforme d’échange et de votre e-mail. Ne laissez pas la 2FA des applications de messagerie vous convaincre que votre numéro de téléphone n’est plus une cible de grande valeur. Il l’est.

Vous protéger. Le paramétrage en cinq étapes que vous pouvez faire en une après-midi

L’objectif de ces étapes est de couper le lien entre votre numéro de téléphone et votre crypto. Aucune ne nécessite de matériel spécial ni de connaissances techniques. Vous pouvez tout faire en quelques heures.

Étape 1 : verrouillez votre compte opérateur avec un code PIN et une protection contre le portage

Appelez votre opérateur mobile. Demandez-lui de définir un « port-out PIN » ou un « number transfer PIN » sur votre compte. Il s’agit d’un code distinct qui doit être présenté avant que votre numéro puisse être transféré vers un autre opérateur ou une autre SIM. Demandez précisément une « number transfer protection » (la formulation varie. T-Mobile l’appelle Number Transfer PIN, Verizon l’appelle Number Transfer PIN ou Account Lock, AT&T l’appelle Number Transfer PIN et propose aussi un Wireless Account Lock séparé).

Demandez un code PIN au niveau du compte, différent des chiffres de votre number transfer PIN. C’est le code PIN que le représentant demandera avant de discuter de votre compte. Réglez-le sur quelque chose qu’un appelant ne peut pas deviner à partir de vos réseaux sociaux, donc pas de dates d’anniversaire, pas d’anniversaires de mariage, pas de noms d’animaux. Notez-le sur papier et gardez-le dans un endroit sûr chez vous, pas dans une application de notes sur le téléphone que vous essayez de protéger.

Activez Wireless Account Lock sur T-Mobile et AT&T si c’est disponible. Cette fonctionnalité exige que vous vous rendiez physiquement dans un magasin ou que vous vérifiiez via votre numéro existant avant que tout changement de compte puisse être effectué, même par des employés dans certaines configurations.

Rappelez une fois par an. Les employés des opérateurs changent, les systèmes changent, et les codes PIN sont parfois discrètement retirés pendant les interactions avec l’assistance. Vérifiez que les protections sont toujours actives.

Étape 2 : remplacez le SMS 2FA par une application d’authentification sur chaque plateforme d’échange et chaque e-mail

Téléchargez une application d’authentification Time-based One-Time Password (TOTP). Les deux choix courants sont Authy (Twilio) et Google Authenticator, avec des options plus récentes comme 2FAS, Bitwarden Authenticator et 1Password qui gagnent du terrain. Chaque application affiche un code à six chiffres qui change toutes les 30 secondes, généré à partir d’une clé secrète stockée sur votre téléphone.

Les codes ne transitent jamais sur le réseau cellulaire. Ils ne peuvent pas être interceptés par un SIM swap ni par une attaque SS7, parce qu’ils sont calculés localement sur votre appareil. La clé secrète dans votre application d’authentification vous est montrée une seule fois sous forme de code QR, donc la protection des sauvegardes, couverte à l’étape 5, devient essentielle. Celui qui a le code QR ou les codes de récupération a votre 2FA.

Allez sur chaque plateforme d’échange que vous utilisez, y compris votre e-mail, et retirez le SMS comme second facteur. Passez aux codes de l’application d’authentification. Cela inclut les comptes auxquels vous ne pensez peut-être pas comme crypto. Gmail ou Outlook, parce qu’ils gèrent les réinitialisations de mot de passe, Coinbase, Kraken, Gemini, Binance, et tout portail web de portefeuille auquel vous vous connectez. La plupart des plateformes d’échange autorisent plusieurs méthodes de 2FA, donc ne laissez active que l’application d’authentification et supprimez complètement le SMS.

Étape 3 : passez à une clé de sécurité matérielle si vous détenez une valeur importante

Une clé de sécurité matérielle est un petit appareil physique qui prouve votre identité, conçu spécifiquement pour résister au phishing et à la prise de contrôle à distance. Le standard dominant est FIDO2/WebAuthn (Fast Identity Online 2 / Web Authentication), et la marque la plus reconnue est YubiKey, même s’il existe des alternatives de Google (Titan Key), Feitian et d’autres.

Quand vous enregistrez une clé sur une plateforme d’échange, la connexion exige que vous touchiez ou insériez la clé. La plateforme envoie un défi, la clé le signe à l’aide d’une clé privée qui ne quitte jamais l’appareil, et la plateforme vérifie la signature. Il n’y a aucun code à intercepter, aucun QR à hameçonner, et surtout aucune valeur dans votre numéro de téléphone. Si vous perdez la clé, vous utilisez une sauvegarde (étape 5).

Pour des avoirs au-dessus d’un seuil personnel significatif, c’est vous qui décidez du montant, mais pour beaucoup de lecteurs il s’agit de « plus que ce que je pourrais perdre confortablement », c’est aujourd’hui la protection la plus solide à la disposition des particuliers. Coinbase, Binance.US, Kraken, Gemini et plusieurs autres prennent directement en charge les clés FIDO2. Achetez deux clés de lots différents, enregistrez les deux auprès de chaque service, et stockez-en une dans un lieu physique séparé, comme un coffre-fort bancaire.

Étape 4 : configurez la vérification en deux étapes propre à chaque application sur Telegram, Signal et WhatsApp

Ouvrez Telegram, allez dans Paramètres, Confidentialité et sécurité, Vérification en deux étapes. Définissez un mot de passe fort et unique, conservez soigneusement l’e-mail de récupération, qui ne doit pas être lié à votre numéro de téléphone pour la réinitialisation du mot de passe, et gardez l’indice comme quelque chose que vous seul connaissez. Répétez l’opération dans Signal sous Compte, Verrouillage d’inscription. Répétez dans WhatsApp sous Paramètres, Compte, Vérification en deux étapes.

Aucune de ces mesures ne remplace la sécurisation de votre numéro ou de votre compte opérateur. Elles constituent une couche supplémentaire pour les applications de messagerie elles-mêmes, utile parce que les attaquants qui contrôlent votre numéro essaieront souvent aussi de prendre le contrôle des applications de messagerie que vous utilisez.

Étape 5 : sauvegardez vos codes de récupération et vos secrets d’authentification hors ligne

L’envers de la suppression du SMS est que si vous perdez votre téléphone sans avoir prévu la récupération, vous êtes bloqué dehors. C’est voulu. Un système auquel on ne peut pas perdre l’accès est aussi un système dans lequel un attaquant ne peut pas entrer.

Chaque plateforme d’échange et chaque fournisseur de messagerie vous donne des codes de récupération à usage unique lorsque vous activez la 2FA. Imprimez-les sur papier ou écrivez-les sur une carte, puis stockez-les quelque part hors ligne et physiquement sécurisé. Un coffre ignifuge pour documents, un coffre-fort bancaire, ou bien répartis entre deux membres de la famille de confiance. Ne stockez pas les codes de récupération dans la même application de notes que tout le reste sur votre téléphone. Ne les photographiez pas pour les laisser dans votre pellicule photo.

Pour les applications d’authentification, la question de la récupération est importante. Google Authenticator a ajouté en 2023 une synchronisation cloud liée à un compte Google, ce qui est pratique mais crée un nouveau point de défaillance unique lié à la sécurité de votre compte Google. Authy propose des sauvegardes chiffrées derrière un mot de passe séparé. Bitwarden Authenticator et 2FAS exportent et sauvegardent les secrets eux-mêmes, qui peuvent être stockés dans un gestionnaire de mots de passe protégé par un mot de passe maître fort et une 2FA sur le gestionnaire de mots de passe. Quelle que soit la voie choisie, l’objectif est de pouvoir récupérer vos codes si vous perdez votre téléphone, sans créer aussi une nouvelle identité numérique qu’un attaquant pourrait voler.

Cas particuliers et cas limites à connaître

Certains lecteurs appartiennent à des catégories plus exposées que d’autres. Si vous vous identifiez publiquement comme détenteur de crypto, si vous détenez plus de cinq chiffres en BTC ou ETH sur une plateforme d’échange, si vous voyagez souvent ou si vous utilisez le même numéro de téléphone pour le travail, traitez la menace du SIM swap comme une partie courante de votre pratique de sécurité, plutôt que comme un exercice annuel. Les cinq étapes ci-dessus s’appliquent toujours, mais revoyez les protections de l’opérateur et les sauvegardes des clés tous les six mois.

Pour les personnes qui ont déjà subi un SIM swap, la priorité est d’appeler l’opérateur depuis un autre appareil, de geler la ligne, puis d’appeler votre plateforme d’échange, votre banque et votre fournisseur d’e-mail pour tout verrouiller avant d’aller plus loin. Si des crypto-actifs ont déjà été déplacés, la récupération sur la blockchain est pratiquement impossible, ce qui explique pourquoi la prévention compte davantage que la réaction.

Une question fréquente est de savoir si un numéro Google Voice ou un numéro virtuel est plus sûr qu’un numéro d’opérateur mobile pour le SMS 2FA. La réponse honnête est non. Tout ce qui dépend d’un seul fournisseur dont vous pouvez être exclu par un simple appel téléphonique reste un point de défaillance unique. Il vaut mieux supprimer complètement le SMS que de changer la dépendance sous-jacente.

Quand abandonner complètement la 2FA par SMS

Vous devriez abandonner complètement la 2FA par SMS dès que votre exchange propose une alternative, sans exception. Les applications d’authentification et les clés de sécurité matérielles sont plus robustes, elles sont largement prises en charge, et s’en tenir au SMS fait partie des rares choix de sécurité crypto sur lesquels presque aucun expert n’est en désaccord. La question restante est de savoir quelle alternative choisir, et la règle générale est la suivante : application d’authentification pour l’usage quotidien, clé matérielle pour tout compte protégeant de l’argent que vous ne pouvez pas facilement remplacer.

Gardez une longueur d’avance sur les tactiques de SIM-swap avant qu’elles n’atteignent votre compte

Les tactiques de SIM-swap évoluent rapidement, car les opérateurs modifient leurs procédures de vérification, les attaquants trouvent de nouveaux angles d’ingénierie sociale, et de nouveaux parcours de connexion aux exchanges sont lancés chaque année. Suivre manuellement chacun de ces changements est une bataille perdue d’avance. Zippfeed met en avant les gros titres liés à la sécurité crypto avec un score de sentiment, afin que vous puissiez voir d’un coup d’œil si l’actualité est bullish, neutral ou bearish, ainsi qu’une note d’importance pour qu’une véritable vague de signalements de SIM-swap ressorte du bruit ambiant. Utilisez-le pour repérer la prochaine série d’annonces au niveau des opérateurs et de mises à jour 2FA des exchanges avant qu’elles n’arrivent dans votre boîte de réception.