Piratage de WhatsApp par échange de carte SIM (SIM swap) : comment se protéger et réagir ?
Le téléphone perd le réseau en pleine journée, sans raison apparente. Quelques minutes plus tard, WhatsApp affiche un message de déconnexion, et les proches commencent à recevoir des messages bizarres envoyés depuis le compte, souvent une demande d'argent urgente. Ce scénario, de plus en plus fréquent, porte un nom : l'échange de carte SIM frauduleux, ou SIM swap.
La technique ne vise pas d'abord WhatsApp : elle vise la carte SIM elle-même, qui sert de clé à de nombreux comptes en ligne via la réception de codes par SMS. Une fois cette clé volée, l'accès à WhatsApp, et parfois aux comptes bancaires, devient une simple formalité pour l'attaquant.
Comment fonctionne un SIM swap
L'attaquant collecte d'abord des informations personnelles sur la victime, souvent via des données déjà fuitées, du phishing ou les réseaux sociaux, puis contacte l'opérateur téléphonique en se faisant passer pour elle. L'objectif : obtenir le transfert du numéro de téléphone vers une nouvelle carte SIM qu'il possède.
- Ingénierie sociale : un appel ou une démarche en boutique où l'attaquant prétend avoir perdu sa carte SIM et demande une nouvelle carte sur le même numéro.
- Complicité interne ou faille de procédure : plus rare, mais documentée, notamment quand la vérification d'identité de l'opérateur est insuffisante.
- Duplication via un e-SIM : de plus en plus de fraudes exploitent l'activation à distance d'un e-SIM, plus rapide qu'une carte physique à réémettre.
Une fois le transfert effectué, la carte SIM de la victime cesse de fonctionner, d'où la perte de réseau soudaine, et tous les SMS, y compris les codes de vérification, arrivent désormais chez l'attaquant.
Les signes qui doivent alerter
| Signal | Ce qu'il signifie souvent |
|---|---|
| Perte de réseau soudaine, sans zone blanche ni panne connue | La carte SIM a peut-être été transférée sur un autre appareil |
| Réception d'un SMS de code WhatsApp non demandé | Une tentative d'activation du compte est en cours ailleurs |
| Déconnexion inattendue de WhatsApp sur le téléphone habituel | Le compte est peut-être déjà réactivé sur un autre appareil |
| Messages envoyés depuis le compte à l'insu du titulaire | Le compte est déjà compromis, souvent pour une escroquerie aux proches |
Réagir en urgence : la marche à suivre
1. Contacter immédiatement l'opérateur téléphonique
Dès la perte de réseau constatée sans explication, appeler l'opérateur depuis un autre téléphone pour signaler une éventuelle fraude et demander la suspension ou la restitution de la ligne. C'est l'étape la plus urgente : tant que l'attaquant contrôle le numéro, il peut réinitialiser d'autres comptes liés.
2. Réinstaller WhatsApp dès la ligne récupérée
Une fois le numéro restitué, réinstaller l'application déclenche automatiquement la déconnexion de l'appareil frauduleux, WhatsApp n'autorisant qu'un seul appareil principal actif par numéro à la fois.
3. Prévenir ses contacts sans attendre
Un message par un autre canal (SMS, e-mail, appel) informant les proches que le compte a été piraté évite qu'ils ne répondent à une demande d'argent frauduleuse envoyée en votre nom, l'un des usages les plus fréquents d'un compte WhatsApp détourné.
4. Vérifier les autres comptes utilisant le même numéro
Messagerie, banque en ligne, réseaux sociaux : tout compte qui utilise ce numéro pour la vérification par SMS doit être contrôlé, et le mot de passe changé par précaution, surtout si une double authentification par SMS y est associée.
5. Déposer plainte
Le SIM swap est une fraude caractérisée : un dépôt de plainte (ou pré-plainte en ligne) permet de disposer d'un dossier officiel, utile en particulier si des sommes ont été détournées sur un compte bancaire lié.
Se protéger avant qu'il ne soit trop tard
Bons réflexes
- Activer un code secret ou une confirmation renforcée auprès de son opérateur pour toute demande liée à la ligne
- Utiliser une application d'authentification (plutôt que le SMS) pour les comptes sensibles qui le proposent
- Activer la vérification en deux étapes de WhatsApp avec un code PIN propre à l'application
- Limiter les informations personnelles partagées publiquement (date de naissance, adresse) qui facilitent l'usurpation
Erreurs qui facilitent l'attaque
- Utiliser le SMS comme unique méthode de double authentification sur les comptes les plus sensibles
- Répondre à des appels ou SMS demandant de confirmer des informations personnelles
- Ignorer une perte de réseau prolongée en pensant à une simple panne
- Ne pas activer le code PIN de vérification en deux étapes propre à WhatsApp
Le code PIN de vérification en deux étapes propre à WhatsApp mérite une attention particulière : une fois activé dans les réglages du compte, il empêche la réactivation de WhatsApp sur un nouvel appareil sans ce code, même si l'attaquant contrôle temporairement le numéro de téléphone. C'est la protection la plus efficace contre ce type précis d'attaque.
Un maillon d'une chaîne de fraude plus large
Le SIM swap sert rarement de finalité en soi : il ouvre la voie à d'autres fraudes, notamment bancaires, lorsque le numéro de téléphone est aussi utilisé pour valider des paiements ou des connexions à l'espace client. La vigilance doit donc s'étendre au-delà de WhatsApp dès qu'un doute existe sur la carte SIM.
Ce type d'attaque partage des points communs avec d'autres fraudes numériques traitées sur le site, notamment la conduite à tenir après avoir cliqué sur un lien de phishing par SMS, souvent le point de départ de la collecte d'informations utilisée pour un SIM swap, ou la démarche à suivre en cas de paiement frauduleux par carte bancaire.
- Une perte de réseau inexpliquée suivie d'une déconnexion WhatsApp est un signe classique de SIM swap.
- La première urgence est de contacter l'opérateur téléphonique pour récupérer le contrôle de la ligne.
- Le code PIN de vérification en deux étapes de WhatsApp bloque la réactivation du compte même si le numéro est compromis.
- Prévenir rapidement ses proches évite qu'ils ne répondent à une demande d'argent frauduleuse envoyée depuis le compte piraté.
- Le SIM swap ouvre souvent la voie à d'autres fraudes, notamment bancaires : vérifier tous les comptes liés au numéro.
- Un dépôt de plainte reste utile, en particulier en cas de préjudice financier associé.
Questions fréquentes
On répond à vos questions
Comment savoir si mon compte WhatsApp a été piraté par SIM swap ?
Les signes les plus fréquents sont une perte de réseau soudaine et inexpliquée sur le téléphone, suivie d'une déconnexion de WhatsApp, ou la réception d'un code de vérification WhatsApp que vous n'avez pas demandé. Des messages envoyés depuis le compte à votre insu confirment généralement que le compte est déjà compromis.
Le code PIN de vérification en deux étapes de WhatsApp empêche-t-il vraiment le SIM swap ?
Il n'empêche pas le transfert frauduleux du numéro chez l'opérateur, mais il bloque la réactivation du compte WhatsApp sur un nouvel appareil sans connaître ce code, même si l'attaquant contrôle temporairement le numéro de téléphone. C'est actuellement la protection la plus efficace contre ce type d'attaque au niveau de l'application.
Que faire en premier si mon téléphone perd le réseau sans raison ?
Contacter immédiatement l'opérateur téléphonique, depuis un autre appareil si nécessaire, pour vérifier qu'aucun transfert de ligne n'a été effectué à votre insu. C'est l'étape prioritaire, avant même de s'occuper de WhatsApp, car tant que le numéro est détourné, d'autres comptes restent exposés.
Un SIM swap peut-il donner accès à mon compte bancaire ?
Indirectement, oui, si le numéro de téléphone détourné sert de canal pour recevoir des codes de validation bancaire ou pour accéder à l'espace client via un SMS de sécurité. C'est pourquoi il est recommandé de vérifier tous les comptes sensibles liés au numéro dès qu'un SIM swap est suspecté.
Faut-il prévenir ses contacts si son compte WhatsApp a été piraté ?
Oui, rapidement et par un autre canal que WhatsApp lui-même (SMS, appel, e-mail), car les comptes détournés servent très souvent à envoyer de fausses demandes d'argent urgentes aux proches en se faisant passer pour le titulaire du compte.
Le dépôt de plainte est-il utile même sans perte d'argent ?
Oui, il reste conseillé même en l'absence de préjudice financier direct, car il constitue une preuve officielle de l'incident, utile en cas de litige ultérieur avec un service en ligne ou si des conséquences apparaissent plus tard.
