Le « SIM Swap », une fraude qui consiste à détourner le numéro de téléphone d’un individu, évolue. D’après les recherches menées par F.A.C.C.T, une société de cybersécurité russe, les cybercriminels ont trouvé le moyen de mener une attaque de cet acabit par le biais d’une eSIM, une carte SIM inamovible. Celle-ci est en effet soudée à la carte mère du smartphone.
Pour rappel, une attaque « SIM Swap » (ou échange de carte SIM en français) commence par la collecte de vos informations personnelles. Armé des données volées, le pirate contacte alors votre opérateur téléphonique en se faisant passer pour vous. Il demande l’activation d’une nouvelle carte SIM à son nom. Une fois que cette nouvelle carte SIM a été activée, l’escroc va recevoir tous vos appels et SMS… y compris les codes de sécurité pour accéder à vos comptes en ligne. Le cybercriminel pourra dès lors violer l’intégralité de votre vie numérique.
À lire aussi : Ce malware Android a trouvé un nouveau moyen pour devenir invisible
Comment se déroule le vol d’un numéro de téléphone ?
Dans le cas d’une attaque visant une eSIM, les criminels vont exploiter la fonction de remplacement ou de restauration de la carte virtuelle. Avec des informations d’identification volées, ils vont se connecter sur le portail client d’un opérateur. En usurpant l’identité d’un abonné, les cybercriminels réclament le transfert du numéro sur un autre téléphone. L’opérateur envoie alors un QR code qui permet de réaliser le transfert.
Une fois l’attaque bouclée, « l’utilisateur ne peut plus utiliser sa carte SIM et perd l’accès au numéro », indique F.A.C.C.T dans son rapport. De son côté, le pirate peut se servir du numéro de téléphone pour passer des appels, envoyer des SMS ou recevoir des codes de connexion. De cette manière, ils peuvent berner les systèmes d’authentification à deux facteurs.
Comme l’explique Dmitry Dudkov, analyste chez F.A.C.C.T, les cybercriminels peuvent aussi et surtout se connecter à des messageries instantanées ou des comptes en banque. Il précise d’ailleurs que « la plupart des escrocs s’intéressent aux services bancaires en ligne ». Avec un numéro de téléphone, il est possible de « retirer tout l’argent du compte de la victime » ou d’émettre des demandes de prêts. Par ailleurs, les attaquants peuvent aussi utiliser le numéro de téléphone pour berner vos proches. C’est le point de départ potentiel à une foule d’escroqueries.
La genèse de l’attaque : des données volées
Notez que l’attaque repose entièrement sur des données compromises. Sans un accès au portail de votre opérateur, le pirate n’est pas en mesure d’orchestrer l’opération. Malheureusement, les fuites de données sont de plus en plus nombreuses. C’est notamment le cas en France. Les données personnelles de plus de 43 millions de Français ont été volées à la suite du piratage de France Travail. Quelques semaines plus tôt, ce sont les informations de plus de 33 millions de Français qui ont été piratées.
Pour ProofPoint, « il est très probable que nous verrons des acteurs de la menace mener des attaques basées sur l’usurpation d’identité », comme une attaque SIM Swap par exemple, dans les semaines à venir.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
Source : F.A.C.C.T
C’est pour cela qu’il ne faut pas utiliser le SMS comme système de contrôle de sécurité.
Perso, tant que possible, j’utilise l’authentification à 2 facteurs (2FA) par application. De plus, j’envisage également d’utiliser des clés de sécurité pour l’authentification 2FA, pour certains sites “critiques”