Arnaques à la carte SIM : hausse inquiétante des cas d’usurpation d’identité

Les arnaques à la carte SIM se multiplient. Les opérateurs sont en première ligne : ces derniers peinent encore trop souvent à détecter les demandes illégitimes de transfert de numéro, de réédition de carte SIM ou de seconde carte SIM. Mais le phénomène souligne surtout les limites et les dangers de la double authentification via code reçu par SMS. 

smartphone SIM SMS

Ces dernières années, l’authentification des comptes ou des paiements sur internet s’est renforcé grâce à la double authentification. L’idée, c’est de sécuriser la procédure d’authentification non plus par un simple mot de passe, mais via une modalité d’authentification additionnelle, via un code à usage unique ou une clé physique. Un procédé qui a fait ses preuves : les comptes ainsi protégés ont nettement moins de chance d’être piratés, tout du moins sur le papier.

Les arnaques à la carte SIM mettent en lumière les dangers de l’authentification double facteurs

Car il apparait de manière de plus en plus évidente que toutes les modalités d’authentification double facteurs ne se valent pas – à en croire la hausse du nombre de cas d’usurpation d’identité. Avec certains cas particulièrement frappants : Jack Dorsey, le patron de Twitter, s’est par exemple fait pirater son compte sans que les serveurs du réseau social n’aient à aucun moment été compromis par des pirates. Twitter propose en effet l’authentification double facteurs via un code reçu par SMS.

Lorsqu’un utilisateur accède à son compte, il doit entrer, en plus de ses identifiants, un code à usage unique reçu par texto. Or, il existe des moyens d’intercepter ces codes. Et pour cela, les pirates peuvent souvent compter sur les opérateurs, en se faisant tout simplement passer pour leur victime – et demandent qu’on leur fournisse une copie de sa carte SIM en prétextant par exemple une perte ou l’envie d’avoir une 2e carte SIM.

Il peuvent pour cela appuyer leur social engineering (autrement dit le fait de mieux connaitre la victime pour pouvoir fournir sur demande des données personnelles comme sa date de naissance ou son adresse) sur des recherches, par exemple sur les réseaux sociaux. Ils obtiennent également souvent les informations nécessaires via des techniques plus poussées comme les mails de phishing et l’achat de fuites de données sur le dark web. Déjà en avril, Kaspersky alertait sur la hausse du nombre de cas de SIM swap (activation par l’opérateur du numéro d’une victime sur une autre SIM), et des défaillances dans les méthodes des opérateurs pour authentifier leurs clients.

Les opérateurs et institutions financières de certains pays, comme le Brésil ou le Mozambique seraient plus touchés que d’autres par le phénomène. Mais, plus encore que le problème du SIM Swap, ce que souligne vraiment cette situation, ce sont les limites et les faiblesses de l’authentification par code reçu via SMS. En France, ce mode d’authentification est par exemple encore la norme pour les paiements en ligne. La Commission Européenne est au fait du problème, et une directive a été votée pour lui substituer des modes d’authentification double plus sûrs pour les transactions, via une application ou des données biométriques.

Mais la mise en place de ces changements est complexe et ne devrait pas intervenir, en France, pour les paiements, avant 2022. Sur internet, de nombreuses plateformes proposent encore l’authentification double facteur via SMS (ou un appel, tout aussi peu sécurisé). Celle-ci est néanmoins généralement proposée à côté d’autres modalités comme le recours à une clé physique de connexion (l’inconvénient étant qu’il faut s’en procurer une…) ou l’utilisation d’un générateur de code, que ce soit dans une application, ou via un dispositif physique.

Lire aussi : Google, Yahoo – des hackers piratent des milliers de comptes en contournant le système de double authentification

Bien sûr, tout en restant sur l’authentification 2FA, on ne peut que vous recommander de préférer, lorsque c’est possible, des alternatives au code à usage unique reçu par SMS pour garantir la sécurité de vos comptes en ligne…

Source : SudOuest

Réagissez à cet article !
Abonnez-vous gratuitement à la newsletter
Chaque semaine, le meilleur de Phonandroid dans votre boite mail !
Demandez nos derniers articles !
Une attaque DDoS rapporte 2,5 millions de dollars à Wikipédia

Vendredi dernier, le site encyclopédique Wikipédia était victime d’une conséquente attaque DDoS (Distributed Denial of Service). Pour limiter les dégâts d’une telle menace, la Wikimedia Foundation vient de recevoir une jolie somme de la part d’un généreux donateur pas si…

NordVPN : des faux sites propagent un dangereux malware bancaire

Des pirates profitent de la popularité de NordVPN pour diffuser Win32.Bolik.2, un malware bancaire sur l’ordinateur de leurs victimes. Des faux sites, imitant à la perfection l’interface de celui de NordVPN, propagent en effet des versions vérolées du célèbre VPN. Une…

Impots.gouv : environ 2000 comptes victimes d’un piratage

Les comptes impots.gouv d’environ 2000 administrés ont subi un piratage : des pirates sont parvenus à accéder aux déclarations d’impôts et les modifier. Les agents de Bercy affirment avoir néanmoins pu reprendre rapidement le contrôle de la situation et avertir…

WhatsApp, Skype et Slack sont victimes d’une faille de sécurité

WhatsApp, Skype et Slack sont vulnérables. Ces trois logiciels reposent sur la technologie Electron, qui présente une importante faille de sécurité. Les développeurs ont été prévenus, mais ils font pour l’instant la sourde oreille et aucun correctif n’a été déployé…