Votre numéro de téléphone n’est pas votreidentité. Les fraudeurs l’ont compris avant les banques.

Fin août 2026, la Gendarmerie de la Somme publie une alerte au titre sans détour : le détournement de carte SIM vide vos comptes en 60 secondes. Repris par BFMTV, RMC Conso, Clubic, CNews et une dizaine de médias nationaux, le message vise une habitude partagée par des millions de clients bancaires : le code de validation reçu par SMS. Ce qui a changé n’est pas la ruse des fraudeurs. C’est que l’eSIM a supprimé la dernière barrière physique qui les ralentissait. Chez Pixels Banking, nous expliquons depuis des années à nos partenaires bancaires pourquoi un numéro de téléphone ne peut pas être
un facteur d’authentification. Voici ce que cette vague d’attaques confirme, et ce que nous avons construit en réponse.

Soixante secondes, dix mille euros

Le scénario est désormais documenté par les forces de l’ordre françaises. Le fraudeur réunit trois informations sur sa cible : nom, date de naissance, adresse e-mail. Elles proviennent de fuites de données ou d’un simple hameçonnage. Il contacte ensuite le service client de l’opérateur en se faisant passer pour l’abonné, prétexte un téléphone perdu ou une puce endommagée, et demande la réattribution du numéro. Sur une eSIM, la ligne bascule en quelques minutes, sans boutique, sans livraison, sans manipulation physique.
Le premier signe pour la victime est une perte de réseau en pleine zone couverte. Pendant ce silence, le fraudeur reçoit les SMS d’authentification, réinitialise les mots de passe, ajoute des bénéficiaires et lance des virements instantanés vers des comptes rebonds. Le préjudice moyen constaté est d’environ 10 000 euros par dossier. La plateforme Cybermalveillance.gouv.fr rapporte une hausse de 517 % des demandes d’assistance pour usurpation de numéro de téléphone.
Le point qui doit retenir l’attention des directions bancaires n’est pas le montant. C’est la nature de l’attaque : aucune faille cryptographique, aucun logiciel malveillant sur le téléphone de la victime. Uniquement une faille de procédure chez un tiers que la banque ne contrôle pas.

Le SMS n’a jamais été conçu pour authentifier quelqu’un

Le réseau de signalisation SS7 qui achemine les SMS date des années 1970. Le SMS luimême de 1992. Ni l’un ni l’autre n’a été pensé avec un modèle de menace. Un code à six chiffres envoyé par SMS est un secret de connaissance, transmis en clair, sur un canal dont la banque ne maîtrise ni la sécurité ni l’identification de l’abonné.
Les vecteurs d’attaque sont connus depuis plus de dix ans :

• SIM swapping : le fraudeur obtient la ligne auprès de l’opérateur par ingénierie sociale. Avec l’eSIM, l’opération se fait à distance.
• Exploitation SS7 : des failles publiques du protocole permettent, depuis 2014, l’interception de SMS sans contact avec la victime.
• IMSI catcher : une fausse antenne relais capte le trafic mobile dans un rayon de quelques centaines de mètres.
• Malware Android : une application malveillante lit les SMS entrants et les relaie automatiquement.

C’est pour ces raisons que le NIST, l’institut de référence américain, classe depuis 2017 l’OTP par SMS comme authentifiant “restreint” dans sa norme SP 800-63B. Restreint signifie : acceptable seulement si l’organisation évalue le risque, informe l’utilisateur et propose une alternative. Le SMS ne dépasse pas le niveau AAL1.

Ce n’est pas un phénomène français

Les chiffres disponibles, issus de sources officielles, dessinent une tendance mondiale.

• États-Unis : l’Internet Crime Complaint Center du FBI recense 982 plaintes pour SIM swap en 2024, pour près de 26 millions de dollars de pertes déclarées, après un pic de 72,6 millions de dollars en 2022. Dans son rapport 2025, le SIM swapping figure parmi les cinq principales cybermenaces signalées, à hauteur de 10 % des signalements. Ces montants n’incluent que les plaintes déposées sur un portail fédéral : la plupart des victimes se tournent vers leur banque ou leur opérateur, jamais vers le FBI.
• Royaume-Uni : l’organisme anti-fraude Cifas enregistre près de 3 000 SIM swaps non autorisés en 2024, contre 289 l’année précédente, soit une hausse de 1 055 %.
• Canada : en 2024, la police de Toronto démantèle un réseau ayant compromis environ 1 500 lignes mobiles à travers le pays.

Quand un régulateur, un institut de normalisation et les polices de quatre pays
convergent sur le même constat, la question n’est plus de savoir si le SMS est un maillon faible. C’est de savoir combien de temps une banque peut continuer à le présenter comme une sécurité.

Pourquoi les applications d’authentification génériques ne suffisent pas non plus

Face au SIM swapping, la recommandation grand public est de remplacer le SMS par une application de type Google ou Microsoft Authenticator. C’est un progrès réel : le code est calculé sur l’appareil, il ne transite plus par le réseau mobile.
Mais pour une banque, cette réponse est incomplète, et il faut le dire clairement.
Ces applications reposent sur un secret partagé (la “seed” TOTP) qui peut être exporté, sauvegardé dans le cloud, ou saisi sur un site d’hameçonnage. Le code généré est un simple nombre : rien ne prouve qu’il vient de l’appareil enrôlé plutôt que d’une copie. La banque ne sait pas quel téléphone a produit le code, ne peut pas révoquer un appareil précis, et ne dispose d’aucune preuve cryptographique de possession.
Autrement dit, on a remplacé un facteur transmissible par un autre facteur transmissible. Plus difficile à intercepter, mais toujours copiable. Pour une session de consultation, c’est acceptable. Pour un virement, ce ne l’est pas.

Ce que change la possession cryptographique du device

C’est le principe sur lequel Pixels Secure est construit, et c’est ce qui le distingue d’un générateur de codes.
Au premier lancement de l’application, une paire de clés ECDSA P-256 est générée à l’intérieur du composant sécurisé du téléphone : Secure Enclave sur iOS, environnement d’exécution de confiance (TEE) sur Android. La clé privée ne quitte jamais ce composant. Elle n’est pas exportable, pas sauvegardable, pas clonable. Même Pixels Banking ne peut pas l’extraire. Seule la clé publique est transmise au serveur de la banque, qui l’associe à l’identifiant client et à l’identifiant unique de l’appareil.
À chaque connexion, le serveur génère un défi unique : identifiant, horodatage, nonce anti-rejeu, signature serveur. Ce défi est présenté sous forme de QR code sur le site web de la banque, ou transmis directement dans l’application mobile. Le téléphone le signe avec sa clé privée, après déverrouillage biométrique ou PIN. Le serveur vérifie la signature avec la clé publique. Sans le téléphone physique enrôlé, il est impossible de produire cette signature. Un fraudeur qui détourne la ligne mobile récupère un numéro. Il ne récupère pas la clé.
Trois règles de conception sont non négociables dans cette architecture :

1. Toute décision d’authentification est prise côté serveur. Un appareil ne s’autodéclare jamais authentifié. Il fournit une preuve vérifiable.
2. La clé est liée au matériel. Un utilisateur, un appareil, une clé. Le serveur peut révoquer instantanément n’importe quel appareil.
3. Le SMS reste disponible, mais dégradé. Un client authentifié par SMS accède à la consultation de ses comptes, jamais aux virements ni à la modification de bénéficiaires. La méthode d’authentification détermine les droits, pas l’inverse.

Pixels Secure est déployé sur l’infrastructure de chaque banque, en marque blanche (BTL Secure, STB Secure), sans dépendance à un fournisseur d’OTP tiers, sans cloud public. À notre connaissance, c’est la première solution d’authentification forte propriétaire de niveau bancaire conçue et déployée en Afrique du Nord. Son architecture répond aux exigences du niveau AAL2 de la norme NIST SP 800-63B et adopte les principes du niveau AAL3, celui des authentifiants matériels : clé non exportable, résistance à l’usurpation du vérifieur, preuve de possession à chaque session. La certification formelle d’un niveau dépend de l’ensemble de la chaîne bancaire, et nous le disons à nos clients avant de le dire dans un article.

Le vrai sujet : faire changer une habitude

Nous serions malhonnêtes de présenter la migration comme indolore. Un client qui a validé ses virements par SMS pendant dix ans doit, une fois, télécharger une application dédiée, activer son compte selon une procédure définie avec sa banque, et comprendre pourquoi ce numéro à six chiffres qu’il connaissait ne suffit plus.
C’est un projet d’accompagnement autant qu’un projet technique. Il se gagne sur trois points.

L’enrôlement. La première configuration est le moment le plus sensible et le plus exigeant. Elle doit être courte, guidée, et sécurisée par la banque elle-même. Le SMS ne peut jamais servir à activer un nouvel appareil : c’est précisément la porte que le SIM swapping enfonce.

Le quotidien. Une fois enrôlé, l’utilisateur ne doit plus voir la cryptographie. Sur le web, un scan de QR code. Sur mobile, notre roadmap prioritaire est un SDK intégré directement dans l’application bancaire : déverrouillage biométrique, signature invisible, accès direct. Aucun code à recopier. Plus sûr et plus simple que le SMS, ce qui est la seule condition pour qu’une habitude change.

La transparence. Quand un client se connecte avec la méthode de secours, il doit savoir immédiatement que son accès est limité et pourquoi. La dégradation contrôlée n’est pas une punition. C’est une protection expliquée.

Ce qui vient ensuite

La suite de la roadmap Pixels Secure est publique et assumée comme telle : signature cryptographique de chaque transaction avec affichage du montant et du bénéficiaire dans le défi signé, puis QR code propriétaire chiffré, lisible uniquement par l’application de la banque, pour fermer la porte au QRishing. Ces fonctions sont en développement. Nous ne les présentons pas comme disponibles.
À plus long terme, l’arrivée des ordinateurs quantiques rendra obsolètes une partie des algorithmes asymétriques utilisés aujourd’hui. Une architecture fondée sur la possession matérielle et le défi-réponse a un avantage décisif sur ce terrain : l’algorithme de signature est un composant remplaçable, pas un fondement. Migrer vers les schémas post-quantiques normalisés par le NIST est une évolution de l’architecture, pas une refonte. Une sécurité fondée sur un numéro de téléphone n’a, elle, aucune migration possible.

Conclusion

Le SIM swapping n’exploite pas une faiblesse technique. Il exploite une confusion : celle qui consiste à traiter un numéro de téléphone comme une identité. Tant que la validation d’un virement dépend de la capacité d’un opérateur télécom à reconnaître son abonné au téléphone, la banque a délégué sa sécurité à un tiers.
L’identité numérique d’un client bancaire doit reposer sur quelque chose qu’il possède physiquement, que personne ne peut copier, et dont la banque vérifie elle-même la preuve. C’est ce que nous construisons avec nos partenaires bancaires. Le calendrier n’est plus dicté par les roadmaps. Il est dicté par les fraudeurs.
Pixels Banking, division solutions bancaires de Pixels Trade SA (Genève). Pour échanger sur l’authentification forte de votre banque : Contact us | For bankers and the finance industry

Sources