SIM swap en France : ligne détournée, portabilité frauduleuse et recours

Le détournement d'une ligne mobile ne commence ni par un logiciel, ni par une antenne, ni par un message suspect : il commence par une démarche administrative faite à votre place. Un duplicata de carte SIM délivré en boutique, un profil eSIM activé sur le téléphone de quelqu'un d'autre, ou une portabilité que vous n'avez jamais demandée. Quand l'opération aboutit, votre numéro ne vous appartient plus, et avec lui partent les codes à usage unique, les appels de vérification et les confirmations de votre banque. Ce guide explique comment l'attaque fonctionne en France, ce que la réglementation impose à l'opérateur avant de remettre une ligne, dans quel ordre réagir pendant la première heure et comment constituer un dossier que ni l'opérateur ni la banque ne pourront écarter d'un « vous avez validé vous-même ».

Qu'est-ce qu'un SIM swap, et ce que ce n'est pas

Un SIM swap, ou échange de carte SIM, est le remplacement du titulaire effectif d'un numéro : la carte physique ou le profil logique qui fait fonctionner cette ligne passe entre les mains d'un tiers qui n'est pas vous. Il n'y a ni copie de la carte que vous portez dans votre poche, ni cassage du chiffrement de la SIM. Il y a une nouvelle carte valide émise par l'opérateur pour le même numéro, et l'ancienne désactivée. Votre téléphone reste allumé, affiche du réseau et continue de recevoir des données par le Wi-Fi, mais les appels et les SMS ne lui arrivent plus : ils arrivent ailleurs.

Cette définition mérite d'être séparée de deux phénomènes que l'on confond souvent dans les conversations sur la sécurité mobile. Le premier est l'usurpation d'affichage : un appelant falsifie le numéro présenté à son correspondant. L'Arcep décrit ce cas comme un désagrément souvent éphémère, sans dépossession de la ligne, et précise dans sa fiche pratique que changer de carte SIM n'y change rien — c'est la nuance qui manque à la plupart des conseils trouvés en ligne. Le second est l'interception passive par équipement radio, du type IMSI catcher : on écoute l'air, on ne prend pas la ligne. Un logiciel espion qui lit les notifications n'est pas non plus un SIM swap, même s'il obtient le même code. La distinction n'est pas académique : les trois laissent des traces différentes et se réclament devant des interlocuteurs différents.

Les trois portes d'entrée en France

Un opérateur remet une ligne par trois canaux, et chacun a son point faible. Les trois partagent une exigence qui est aussi leur fragilité : l'opération doit être faite par le titulaire ou par une personne munie d'un mandat valable. Quand l'opérateur ne peut pas démontrer cette correspondance, le litige cesse d'être une discussion sur votre parole pour devenir un examen de sa procédure.

Le duplicata en boutique

C'est la voie la plus documentée et la plus facile à reconstituer, parce qu'elle laisse une empreinte physique : un point de vente, un conseiller identifiable, une heure, et presque toujours la trace d'une pièce d'identité présentée. Le défaut se situe rarement dans la règle, plutôt dans son exécution : une copie acceptée à la place de l'original, un document regardé sans être comparé au visage, une carte activée parce que le système ne demandait rien de plus. Dans les dossiers qui se terminent bien pour le client, l'opérateur est souvent incapable de produire la copie du document ni l'horodatage de l'activation.

Le profil eSIM à distance

L'eSIM supprime le comptoir, et avec lui la vérification en face à face. Le profil est délivré par un QR code ou une activation à distance, et l'identification passe par des canaux numériques. C'est confortable pour le client légitime et pour l'attaquant, qui n'a plus qu'à franchir une étape de vérification reposant parfois sur des données qui circulent déjà : numéro de pièce, date de naissance, adresse, ancienne facture. La question à poser à votre opérateur n'est pas « l'eSIM est-elle sûre » mais « quelle vérification exacte précède le chargement du profil, et quel journal en gardez-vous ».

La portabilité non sollicitée

Ici, il n'y a pas de carte à votre nom : il y a un contrat chez un autre opérateur, et un numéro qui change de maison. C'est la variante la plus fréquente dans les décisions de justice rendues en France, parce qu'elle produit un document contractuel signé par un fraudeur et une ligne de temps vérifiable. Le fraudeur n'a pas besoin de vous convaincre : il lui suffit d'obtenir un relevé d'identité opérateur et de souscrire à votre place.

La portabilité à la française : RIO, 3179, un jour ouvrable

Le droit de conserver son numéro en changeant d'opérateur est posé par l'article L. 44-4 du code des postes et des communications électroniques, dont l'application est précisée par le décret n° 2006-82 du 27 janvier 2006 relatif à la conservation du numéro. La mécanique pratique est simple et c'est précisément ce qui la rend exploitable : vous vous adressez uniquement au nouvel opérateur, qui prend en charge la souscription, la conservation du numéro et la résiliation de l'ancien contrat. Le portage effectif entraîne la résiliation simultanée du contrat que vous aviez avec l'opérateur que vous quittez, sans démarche de votre part auprès de lui.

Pour cela, il faut le relevé d'identité opérateur, le RIO, code de douze caractères alphanumériques généré par l'opérateur de départ, que l'on obtient en appelant le 3179 depuis la ligne concernée. Le délai de portage est d'un jour ouvrable, sous réserve de la disponibilité de l'accès, sauf demande expresse de l'abonné de fixer une autre date. Trois conséquences en découlent pour une victime. D'abord, le RIO est la clé du transfert : s'il a fuité, il ne protège rien à lui seul. Ensuite, le délai est court, donc la fenêtre de réaction l'est aussi. Enfin, l'Arcep prévoit une indemnisation du consommateur en cas de retard de portage, versée par l'opérateur responsable du retard, dans les trente jours suivant la demande : c'est un levier distinct de la réparation du préjudice causé par la fraude.

Un point de méthode : l'Arcep ne traite pas les litiges individuels à votre place, mais elle exploite les signalements. Sa plateforme « J'alerte l'Arcep » sert à documenter un dysfonctionnement de marché, pas à obtenir un remboursement. Les deux démarches ne s'excluent pas, et la seconde ne remplace jamais la première.

Pourquoi un numéro de mobile vaut une clé

Le numéro de téléphone a cessé d'être une donnée de contact pour devenir un facteur d'authentification. Banques, messageries, réseaux sociaux, plateformes de paiement, assurances, administrations l'utilisent comme second facteur ou comme canal de récupération. La logique est connue : qui contrôle le numéro reçoit le code. La CNIL, dans sa recommandation relative à l'authentification multifacteur publiée en mars 2025, va plus loin et classe l'usage d'un code à usage unique par SMS parmi les facteurs de possession dont le niveau de confiance doit être évalué au cas par cas, en relevant que la carte SIM, bien que personnelle dans la majorité des cas, présente plusieurs limites. Le guide de l'ANSSI sur l'authentification multifacteur et les mots de passe décrit de son côté le SIM swapping comme un scénario d'ingénierie sociale dans lequel l'attaquant se fait passer pour la victime auprès du service client afin d'obtenir une nouvelle carte, et rappelle que les protocoles de signalisation utilisés pour acheminer les SMS présentent des vulnérabilités intrinsèques.

Autrement dit : le SMS n'est pas nul, il est structurellement dépendant d'un tiers — votre opérateur — dont la procédure peut être contournée. C'est pourquoi la réponse à un SIM swap ne consiste pas à « mieux protéger ses mots de passe », mais à réduire le nombre de comptes dont la sécurité repose sur ce canal, puis à documenter la défaillance de celui qui l'a laissé contourner.

La cascade, dans l'ordre où elle se produit

1. Perte de service. Plus de réseau, appels renvoyés vers la messagerie, SMS qui n'arrivent pas, ou message de l'opérateur annonçant une portabilité. Plusieurs opérateurs envoient un SMS de confirmation avant l'exécution : c'est le signal le plus utile du processus, et la dernière occasion d'arrêter le transfert.
2. Codes de vérification qui ne viennent plus. Tentatives de connexion à la messagerie, à la banque ou aux réseaux sociaux bloquées parce que le code part ailleurs. Chaque échec est une preuve horodatée côté serveur.
3. Mots de passe changés sans vous. Le fraudeur réinitialise la messagerie, puis les comptes qui en dépendent. Les courriels « votre mot de passe a été modifié » signent l'entrée.
4. Mouvements d'argent. Virements, achats par carte, ajout de bénéficiaires, relèvement de plafonds. Dans une application bancaire, beaucoup de ces opérations se confirment avec le second facteur que le fraudeur contrôle désormais.
5. Usurpation auprès de vos contacts. Le numéro prête sa crédibilité : un message envoyé depuis votre vraie ligne pour demander de l'argent à un proche réussit là où un courriel falsifié échoue.
6. Ouvertures de comptes et engagements. Abonnements à votre nom, souscriptions, changements d'adresse, demandes de documents. Le dommage cesse d'être immédiat pour devenir une dette.

La première heure

Le réflexe est d'appeler tout le monde en même temps. Une séquence courte, avec l'heure notée à chaque étape, produit un meilleur dossier : chaque appel génère une référence qui sera citée plus tard.

1. L'opérateur, pour bloquer et revenir en arrière. Demandez trois choses avec ces mots : blocage de la ligne, annulation de toute portabilité en cours, rétablissement de la carte d'origine à votre nom. Notez le numéro d'incident, l'heure exacte et l'identifiant du conseiller. Si l'on vous répond que la portabilité est déjà exécutée, demandez la date et l'heure d'exécution ainsi que l'opérateur d'arrivée.
2. L'opposition à la portabilité, si elle existe. Plusieurs opérateurs permettent d'ajouter un verrou ou un code supplémentaire exigé à chaque démarche ultérieure. Activez-le pendant ce même appel.
3. La banque, au numéro imprimé au dos de la carte. Jamais le numéro trouvé dans un courriel ou sur un site consulté dans l'urgence. Demandez le blocage des moyens de paiement, la revue des accès et l'extrait horodaté des opérations non autorisées.
4. La messagerie principale. Changez le mot de passe depuis un appareil qui n'est pas la ligne détournée, fermez toutes les sessions actives, vérifiez les règles de transfert et les moyens de récupération. Une redirection invisible explique beaucoup de « je ne reçois plus rien ».
5. Les comptes qui contiennent de l'argent et les comptes critiques. Nouveau mot de passe, retrait du numéro des moyens de récupération, ajout d'un second facteur qui ne dépend pas du SMS.
6. La plainte. Elle ne rembourse pas à elle seule, mais elle transforme votre récit en document daté que ni la banque ni l'opérateur ne peuvent ignorer.

Les preuves à réclamer à l'opérateur

Dans ce type de dossier, la partie qui détient les journaux est l'opérateur. La demande doit donc être écrite, précise et adossée au droit d'accès de l'article 15 du RGPD : elle porte sur vos données, pas sur une faveur. Ce qu'il faut demander, concrètement : la date et l'heure de la demande de duplicata ou de portabilité, le canal utilisé (boutique, téléphone, site, borne), les pièces présentées et leur référence, le RIO utilisé le cas échéant, l'enregistrement de l'appel de souscription s'il existe, le journal d'enrôlement du profil eSIM, et la date d'activation de la nouvelle carte.

Deux points de méthode. D'abord, formulez la demande comme une demande d'accès et non comme une réclamation : les délais et les voies de recours ne sont pas les mêmes, et l'absence de réponse peut être signalée à la CNIL. Ensuite, conservez la preuve d'envoi : la date de votre demande d'accès est aussi la date à partir de laquelle l'opérateur ne peut plus prétendre que vous n'avez rien demandé. La CNIL peut contrôler les vérifications effectuées avant la remise d'une carte ou une portabilité, et une plainte auprès d'elle se dépose en ligne, gratuitement.

Côté banque : ce que dit le code monétaire et financier

Le règlement d'un litige bancaire né d'un SIM swap ne se joue pas sur la question « le code a-t-il été saisi », mais sur celle de l'authentification et de la preuve. L'article L. 133-18 du code monétaire et financier impose au prestataire de rembourser immédiatement le montant d'une opération de paiement non autorisée signalée et, le cas échéant, de rétablir le compte dans l'état où il se serait trouvé. L'article L. 133-19 encadre les exceptions, notamment la fraude de l'utilisateur ou sa négligence grave, avec une charge de la preuve qui pèse sur le prestataire. L'article L. 133-23 ajoute l'élément décisif : lorsqu'un utilisateur nie avoir autorisé une opération, il incombe au prestataire de prouver qu'elle a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre — et l'utilisation de l'instrument telle qu'enregistrée ne suffit pas nécessairement à prouver l'autorisation.

La Banque de France, dans ses recommandations sur les modalités de remboursement des opérations de paiement frauduleuses, insiste sur le cas des solutions mobiles dont l'enrôlement n'a pas donné lieu à une authentification forte : le remboursement doit alors intervenir sans délai. C'est un argument à citer quand la banque oppose un « vous avez validé avec votre code » : la question devient celle de l'enrôlement et du canal, pas celle de votre bonne foi.

Ce que la jurisprudence récente a tranché

Le contentieux français du SIM swap a changé de forme. Il ne se limite plus au face-à-face entre la banque et son client : il inclut l'opérateur, parce que la faille se situe souvent dans le contrôle d'identité au moment du duplicata ou de la portabilité.

Un jugement du tribunal judiciaire de Paris du 25 novembre 2025 (RG n° 23/09531), largement commenté dans la presse juridique, retient la responsabilité de l'opérateur ayant accordé une portabilité sur la seule base du RIO, sans vérification sérieuse de l'identité du demandeur, et juge que la souscription sur une borne automatisée agréée ne dispense pas de ce contrôle. Le même jugement condamne la banque à rembourser les sommes débitées, en écartant la négligence grave : la validation technique d'une opération ne suffit pas à établir qu'elle a été librement et consciemment autorisée par le client. La cour d'appel d'Amiens, dans un arrêt du 23 octobre 2025 (n° 23/05055), avait retenu la même logique en constatant qu'être victime d'un SIM swap ne caractérise pas en soi une imprudence du client, et en mettant une part du remboursement à la charge de l'opérateur au titre de son obligation de vérification d'identité.

Ce qu'il faut retenir de cette ligne : la négligence grave s'apprécie concrètement, au regard de la sophistication du procédé, de la possibilité réelle pour la victime de détecter une portabilité faite à son insu et de sa réactivité dès la découverte. Une réaction rapide et documentée n'est donc pas un détail de bonne conduite : c'est une pièce du dossier.

Les recours, dans l'ordre

Un : l'opérateur, par écrit. Réclamation avec numéro d'incident, faits datés, demande précise et pièces jointes. Demandez expressément la copie de l'ordre de portabilité ou du duplicata, l'identification utilisée, l'enregistrement du consentement s'il y en a un, et les journaux d'accès. Sans réponse satisfaisante, passez à l'étape suivante sans attendre indéfiniment : le silence est un refus pour la suite du parcours.

Deux : le médiateur des communications électroniques. La saisine est gratuite et intervient après une réclamation écrite restée sans solution. Elle produit un avis motivé, utile même s'il n'est pas contraignant, parce qu'il établit une position extérieure sur la procédure de l'opérateur.

Trois : l'Arcep, par un signalement. La plateforme « J'alerte l'Arcep » documente les dysfonctionnements. Elle n'instruit pas votre dossier individuel, mais elle compte dans la surveillance du marché et ne coûte rien.

Quatre : le juge. Pour le volet bancaire, la voie civile est celle du remboursement des opérations non autorisées ; pour le volet opérateur, celle de la responsabilité contractuelle et du manquement à l'obligation de vérification. Les deux peuvent être conduits ensemble, et c'est précisément ce que montre la décision de novembre 2025.

Le volet pénal : quelles qualifications, quelle plainte

Un SIM swap mobilise plusieurs qualifications possibles du code pénal, et il n'est pas nécessaire de choisir soi-même : la plainte décrit les faits, le parquet qualifie. Les plus fréquentes sont l'accès ou le maintien frauduleux dans un système de traitement automatisé de données (article 323-1), l'entrave au fonctionnement de ce système (article 323-2), l'introduction frauduleuse de données (article 323-3), l'usurpation d'identité (article 226-4-1), le vol (article 311-1) et l'escroquerie (article 313-1) lorsque des fonds ont été obtenus.

En pratique, déposez plainte au commissariat ou à la brigade de gendarmerie avec un dossier papier : copie de la réclamation à l'opérateur, numéro d'incident, relevé bancaire des opérations contestées, captures horodatées des notifications, et la chronologie en une page. Pour une escroquerie commise en ligne, le dépôt en ligne est possible et produit un récépissé ; pour un site frauduleux, le signalement passe par la plateforme PHAROS. Les SMS frauduleux peuvent être signalés au 33700. Aucune de ces démarches ne remplace la réclamation à l'opérateur : elles la complètent.

Prévention, classée par effet

1. Retirer le numéro des moyens de récupération de la messagerie principale et des comptes financiers. C'est la mesure qui réduit le plus l'impact, parce qu'elle coupe la chaîne entre la ligne et les réinitialisations.
2. Passer aux passkeys ou à une clé de sécurité là où le service le permet, et à une application d'authentification sinon. Un code généré localement ne transite pas par le réseau mobile.
3. Activer le verrou de portabilité ou le code supplémentaire quand l'opérateur le propose, et vérifier qu'il s'applique aussi aux duplicatas et aux eSIM.
4. Surveiller les signaux faibles : SMS de confirmation de portabilité, perte de service inexpliquée, notification d'activation d'une nouvelle carte. Un appel à l'opérateur à ce moment-là vaut mieux qu'une réclamation trois jours plus tard.
5. Éviter les eSIM activées à distance sans vérification indépendante, en particulier pour une ligne qui sert de second facteur bancaire.
6. Séparer les usages : un numéro pour les comptes sensibles, un autre pour le commerce et les inscriptions, de sorte qu'une fuite de données de contact n'expose pas la ligne qui reçoit les codes.

Ce qui ne sert à rien, ou pas à grand-chose

Changer de carte SIM après coup ne protège de rien : la carte n'était pas le vecteur. Changer de numéro est une mesure de containment, pas une solution : le fraudeur n'a plus besoin de votre nouveau numéro s'il a déjà les données et les comptes. Réinstaller le téléphone ne sert à rien non plus, et c'est même contre-productif, puisque les journaux locaux et les captures d'écran sont des pièces. Enfin, régler le litige uniquement par téléphone avec l'opérateur, sans trace écrite, revient à laisser à l'autre partie le soin de rédiger l'histoire.

Périmètre de ce guide

Ce texte décrit des procédures françaises et des sources publiques : code des postes et des communications électroniques, code monétaire et financier, code pénal, recommandations de la CNIL et de l'ANSSI, fiches de l'Arcep et de la Banque de France, décisions de justice telles que rapportées. Il ne constitue pas un conseil juridique personnalisé et ne promet aucun résultat : les délais, les pièces exigées et l'issue d'un dossier dépendent des faits, de l'opérateur et de la juridiction. Ce qu'il peut garantir, c'est l'ordre des opérations et la nature des preuves à conserver — c'est-à-dire la partie qui ne dépend que de vous.