SIM Swapping : comment des pirates clonent votre eSIM en 2026 et vident votre compte en banque

Le 15 janvier 2026, le tribunal judiciaire de Paris a condamné Bouygues Telecom à rembourser intégralement les 47 000 euros volés sur le compte bancaire d’un client victime d’un SIM swapping. C’est la première fois qu’un opérateur français est tenu responsable d’un défaut de vigilance face à un transfert de numéro frauduleux. Quelques mois plus tôt, en juillet 2025, des chercheurs polonais démontraient qu’il était possible de cloner une eSIM Kigen à distance. Deux actualités, deux techniques, un même résultat : votre numéro peut être volé, copié, et utilisé pour vous ruiner en quelques heures. Voici ce que vous devez savoir pour vous protéger.

SIM Swapping : qu’est-ce que c’est et pourquoi 65% des Français sont désormais ciblés en 2026 ?

Le SIM swapping, ou « échange de carte SIM » en français, est une technique de fraude qui consiste à convaincre un opérateur téléphonique de transférer votre numéro vers une nouvelle carte SIM (ou un nouveau profil eSIM) contrôlée par un pirate. Une fois le transfert effectué, votre téléphone n’a plus de réseau : plus d’appels, plus de SMS, plus d’Internet mobile. Surtout, le pirate reçoit tous les SMS et appels destinés à votre numéro. Comme nous l’expliquions dans notre guide sur le phishing et l’hameçonnage, la majorité des attaques numériques commencent par une collecte d’informations personnelles. Le SIM swapping en est l’étape finale.

Le scénario typique est glaçant de simplicité. Un pirate vous repère sur les réseaux sociaux ou dans une fuite de données (vérifiez avec notre guide fuite email dark web). Il rassemble nom, date de naissance, adresse et numéro client opérateur. Il appelle le service client d’Orange, de SFR, de Bouygues ou de Free, se fait passer pour vous, et demande un transfert de SIM pour cause de « téléphone perdu ». L’opérateur, après quelques vérifications souvent superficielles, valide la demande. En moins de 15 minutes, le pirate contrôle votre numéro.

Selon FrenchBreaches (mars 2026), 65% des Français déclarent avoir été confrontés à une tentative de SIM swapping en 2025 ou début 2026, contre 41% en 2023. Cette explosion s’explique par la disponibilité de vos données sur le dark web et par la professionnalisation des « SIM swapper crews », groupes organisés qui revendent l’accès aux numéros piratés.

Comment fonctionne une attaque SIM swap classique en France (Orange, SFR, Bouygues, Free) ?

Pour vous protéger, comprenons d’abord l’attaque. Une opération réussie suit cinq étapes, documentées par Orange Pro (janvier 2026).

1. La collecte d’informations : le pirate récupère nom, date de naissance, adresse, e-mail et numéro client opérateur, via fuites massives, phishing ou réseaux sociaux.
2. L’ingénierie sociale : il appelle le service client, se fait passer pour vous, explique avoir perdu son téléphone, et fournit les informations collectées.
3. La validation : si l’opérateur est convaincu, il désactive votre SIM et active une nouvelle carte (ou profil eSIM) contrôlée par le pirate.
4. La prise de contrôle : en quelques minutes, le pirate reçoit tous vos appels et SMS, et intercepte les codes 2FA de votre banque, de votre exchange crypto, ou de vos réseaux sociaux. C’est ce que nous décrivions dans notre guide 2FA complet : le SMS 2FA n’est pas sécurisé.
5. L’exploitation : le pirate vide votre compte bancaire, vole vos cryptos, usurpe votre identité, ou vous fait chanter.

Pourquoi les opérateurs sont-ils si vulnérables ? Parce que la vérification d’identité repose encore sur des informations statiques (nom, date, adresse, derniers chiffres du relevé), toutes disponibles sur le dark web pour quelques dizaines d’euros. Comme l’a illustré Univers Freebox (mars 2026), Bouygues a validé en 2024 un transfert frauduleux après 4 réponses correctes sur 5. Le jugement du 15 janvier 2026 a considéré cette légèreté comme une faute engageant la responsabilité de l’opérateur.

eSIM cloning : pourquoi la nouvelle génération de cartes SIM virtuelles est encore plus vulnérable

L’eSIM, ou « SIM embarquée », est une puce directement intégrée à votre smartphone, tablette ou montre connectée. Au lieu d’insérer une carte physique, vous téléchargez un « profil eSIM » fourni par votre opérateur : un petit fichier numérique chiffré contenant votre numéro et vos identifiants réseau. En apparence, c’est plus pratique et plus sécurisé qu’une SIM physique. En réalité, c’est une surface d’attaque entièrement nouvelle.

Le 10 juillet 2025, SecurityWeek a publié une enquête : des chercheurs de Security Explorations ont découvert des vulnérabilités critiques dans la technologie eSIM Kigen, utilisée par plus de 2 milliards d’appareils (iPhone, Samsung Galaxy, Google Pixel, majorité des smartphones Android).

Selon Dark Reading (11 juillet 2025), la faille permet d’extraire la clé cryptographique racine de l’eUICC et de cloner le profil d’un utilisateur à distance, sans accès physique à l’appareil. Un pirate peut dupliquer votre numéro sur son propre appareil, en interceptant tous vos appels et SMS, comme dans un SIM swap classique, mais sans avoir besoin de convaincre un opérateur.

La quasi-totalité des smartphones vendus en France depuis 2022 sont compatibles eSIM : iPhone 14 et plus récents, Samsung Galaxy S20 et plus récents, Google Pixel 3 et plus récents. Cela représente plus de 60 millions d’appareils en circulation dans l’Hexagone, selon l’ARCEP. Si vous utilisez l’eSIM comme carte principale, vous êtes concerné.

Comment des chercheurs ont cloné un profil Orange Pologne en juillet 2025 (et pourquoi vous êtes concerné)

L’histoire commence en 2019, avec les premières vulnérabilités dans la machine virtuelle Java Card des cartes SIM, ouvrant la voie à des attaques à distance via SMS malicieux. Les opérateurs ont durci leurs systèmes, mais l’eSIM a ouvert un nouveau champ de bataille.

En mars 2025, Adam Gowdiak (Security Explorations) identifie une faille dans l’eUICC Kigen. Le 4 juillet 2025, après trois mois de recherche privée (analyse de 180 instructions de bytecode), son équipe extrait la clé racine de l’eUICC. Le 5 juillet, Kigen confirme la vulnérabilité et lance un correctif. Mais entre le 4 et le 10 juillet, les chercheurs démontrent qu’il est possible de cloner un profil eSIM réel : celui d’Orange Pologne.

Le 10 juillet 2025, SecurityWeek révèle l’affaire. Le 11 juillet, Cybersecurity News confirme l’impact. Le 14 juillet, Security Affairs parle de « milliards » d’appareils concernés. Le 18 juillet, la GSMA publie la spécification TS.48 v7.0. Le 6 novembre 2025, IBM Think qualifie cette découverte de « signal d’alarme critique ».

Pourquoi cette affaire concerne-t-elle un utilisateur français ? Parce que Kigen équipe la majorité des eUICC vendues dans le monde, y compris celles des smartphones vendus par Orange, SFR, Bouygues et Free. Le correctif de juillet 2025 a corrigé la faille sur les nouveaux appareils, mais des millions de smartphones en circulation n’ont pas reçu la mise à jour. Et même pour les appareils patchés, la technique reste utilisable contre les profils eSIM émis avant juillet 2025, non régénérés.

Les 4 scénarios catastrophe après un SIM swap réussi : banque, crypto, SMS 2FA, identité

Une fois que le pirate contrôle votre numéro, le temps presse. Selon FrenchBreaches, 80% des dommages financiers surviennent dans les 6 heures suivant le SIM swap. Voici les quatre scénarios que nous documentons dans nos articles sur la sécurité bancaire et notre checklist post-piratage.

Scénario 1 – Vidage du compte bancaire : le pirate appelle votre banque, fait opposition sur votre carte, demande un nouveau code PIN envoyé par SMS (qu’il reçoit désormais), puis effectue un virement vers un compte à l’étranger. C’est ce qui est arrivé au client de Bouygues jugé en janvier 2026, qui a perdu 47 000 euros en 48 heures.

Scénario 2 – Vol de cryptomonnaies : sur un exchange (Binance, Coinbase, Kraken), le pirate réinitialise votre mot de passe, reçoit le code par SMS, et transfère vos cryptos vers un wallet anonyme. Les transactions blockchain sont irréversibles. C’est pourquoi nous recommandons la 2FA par clé physique (YubiKey, Ledger).

Scénario 3 – Prise de contrôle de WhatsApp, Signal, Telegram : comme nous l’expliquions dans notre guide WhatsApp/Signal 2026, ces apps utilisent votre numéro comme identifiant unique. Le pirate peut l’inscrire sur son appareil et se faire passer pour vous auprès de vos contacts, par exemple pour demander un « virement urgent ».

Scénario 4 – Usurpation d’identité administrative : votre numéro permet de valider des créations de comptes (bancaires, téléphoniques, administratifs) à votre nom. C’est le point de départ d’arnaques au crédit. Le nettoyage d’une identité usurpée prend des mois. C’est pourquoi nous recommandons de surveiller les fuites via notre guide de vérification dark web.

Verdict Bouygues Telecom du 15 janvier 2026 : pourquoi ce jugement change tout pour les victimes

Le 15 janvier 2026, le tribunal judiciaire de Paris a rendu un jugement historique. Pour la première fois en France, un opérateur a été condamné à rembourser intégralement les 47 000 euros volés, plus 5 000 euros de dommages et intérêts. L’affaire, rapportée par Univers Freebox (mars 2026), est édifiante.

Les faits remontent à mai 2024. Un client Bouygues Telecom, cadre supérieur, constate une perte totale de réseau sur son iPhone. Quelques heures plus tard, son compte bancaire est vidé. L’enquête révèle qu’un escroc a appelé le service client, prétendu avoir perdu son téléphone à l’étranger, et obtenu le transfert de la SIM après 4 réponses correctes sur 5.

Le tribunal a considéré que Bouygues avait commis une « faute de vigilance ». Le jugement s’appuie sur la loi Naegelen du 24 juillet 2020, qui impose des procédures de vérification d’identité renforcées pour le transfert de SIM. Il précise que « le simple recueil d’informations statiques ne constitue pas une vérification d’identité satisfaisante au sens de la loi Naegelen ».

Ce verdict établit une jurisprudence claire : les opérateurs français sont désormais responsables des préjudices financiers à la suite d’un SIM swap si leur procédure était défaillante. Bouygues a annoncé en mars 2026 le déploiement d’un système de « double validation » et de reconnaissance vocale biométrique. Orange, SFR et Free ont annoncé des mesures similaires.

Comment les opérateurs français se protègent (vraiment) en 2026 : KYC Match, alertes SMS, double validation

Face à la multiplication des SIM swaps et à la pression juridique du verdict Bouygues, les quatre grands opérateurs ont accéléré le déploiement de nouveaux dispositifs.

Le dispositif KYC Match d’Orange : déployé en janvier 2026, il compare en temps réel les informations fournies avec la base KYC et les bases partenaires (cartes d’identité, registres de décès). Si une incohérence est détectée, le transfert est bloqué. Orange annonce un taux de détection de 92% des tentatives frauduleuses.

La double validation de Bouygues : depuis mars 2026, tout transfert de SIM envoie un code à 6 chiffres sur l’ancien numéro ET sur l’e-mail de contact. Si l’un des deux n’est pas validé en 10 minutes, le transfert est annulé. C’est le type de mesure recommandé par l’ARCEP en 2025.

Les alertes SMS de SFR et Free : depuis février 2026, les deux opérateurs envoient un SMS d’alerte sur l’ancien et le nouveau numéro lors de toute demande de transfert. Le SMS contient un lien : si l’utilisateur légitime clique sur « Ce n’est pas moi », le transfert est annulé. Le SMS d’alerte arrive quelques secondes avant la désactivation effective.

La biométrie vocale : Bouygues a annoncé un système de reconnaissance vocale pour les opérations sensibles. Le client prononce une phrase d’authentification enregistrée à la souscription, ce qui complique la tâche des pirates.

Cependant, comme le rappelle Orange Pro, aucun dispositif n’est infaillible. Le maillon faible reste l’humain, et les failles techniques (comme celle de Kigen en juillet 2025) peuvent contourner les procédures. La protection repose sur trois piliers : opérateurs, éditeurs 2FA, et vous-même.

Comment vérifier que vous n’êtes pas déjà victime d’un SIM swap : 8 signes qui doivent vous alerter

Le SIM swap est souvent détecté trop tard, lorsque le compte bancaire est déjà vide. Pour éviter cela, il existe 8 signes avant-coureurs qui doivent immédiatement vous alerter. Si vous constatez l’un de ces signes, suivez la procédure d’urgence décrite dans la section suivante.

Si vous constatez un ou plusieurs de ces signes, ne perdez pas une minute : passez immédiatement à la procédure d’urgence décrite ci-dessous. Le temps est votre pire ennemi, comme nous l’avons vu dans 80% des cas documentés par FrenchBreaches, les dommages financiers surviennent dans les 6 premières heures.

Que faire en urgence si vous êtes victime : la procédure exacte en 7 étapes

Si vous pensez être victime d’un SIM swap, voici la procédure exacte à suivre. Elle est issue de notre expérience et des recommandations croisées de l’ANSSI, de l’ARCEP, et de notre checklist post-piratage complète.

Étape 1 – Appelez votre opérateur : depuis un autre téléphone (fixe ou proche), appelez le service client (Orange : 3900, SFR : 1023, Bouygues : 1064, Free : 3244). Demandez la suspension immédiate de votre ligne. Si l’opérateur tarde, demandez un responsable « fraude ».

Étape 2 – Contactez votre banque : appelez le numéro d’urgence (au dos de la carte). Demandez le gel du compte et de la carte, l’annulation des virements en attente, la révocation des accès en ligne, et la réémission d’une nouvelle carte. Désignez comme compromis Paylib, Apple Pay ou Google Pay.

Étape 3 – Sécurisez vos comptes crypto : depuis un appareil sûr, révoquez toutes les sessions de vos exchanges (Binance, Coinbase, Kraken). Transférez vos cryptos vers un hardware wallet dont les clés ne dépendent pas de votre numéro. Demandez le gel des retraits pendant 48h.

Étape 4 – Sécurisez vos messageries : reconnectez-vous à WhatsApp, Signal, Telegram, iMessage depuis votre téléphone (en Wi-Fi d’un proche si nécessaire). Cela « ré-inscrira » votre numéro et désactivera la session du pirate. Activez un code PIN, comme détaillé dans notre guide WhatsApp/Signal 2026.

Étape 5 – Changez tous vos mots de passe : depuis un appareil sûr, changez les mots de passe de vos comptes critiques (e-mail, banque, réseaux sociaux, PayPal). Utilisez un gestionnaire de mots de passe sécurisé et activez la 2FA par application plutôt que par SMS.

Étape 6 – Déposez plainte : au commissariat, à la gendarmerie, ou en ligne sur pre-plainte-en-ligne.gouv.fr. Conservez tous les justificatifs. Indispensable pour déclencher le remboursement bancaire (obligatoire sous 13 mois) et faire jouer votre cyberassurance.

Étape 7 – Surveillez les suites : dans les semaines qui suivent, surveillez votre compte bancaire et les fuites potentielles sur le dark web. En cas d’usurpation d’identité, déposez une nouvelle plainte et contactez la CNIL. Pour aller plus loin, consultez notre checklist post-piratage complète et notre guide de surveillance dark web. Si vous redoutez aussi les appels deepfake, notre guide deepfake 2026 vous apprendra à repérer ces arnaques qui se multiplient en parallèle.

Questions fréquentes sur le SIM swapping et le clonage eSIM en 2026 (FAQ)