Protégez le numéro, mais examinez aussi chaque voie d’accès au compte qui le considère comme une preuve d’identité.
Un échange de SIM transfère le contrôle de votre numéro de téléphone vers une SIM ou une eSIM contrôlée par un attaquant. Si un compte de messagerie accepte un SMS comme preuve suffisante pour l’inscription, la connexion ou la récupération, l’attaquant peut éventuellement exploiter cette voie.
Le résultat n’est pas identique dans toutes les messageries. Un verrouillage supplémentaire de l’inscription, une clé d’accès, un mot de passe ou un secret de récupération indépendant peuvent modifier les possibilités de l’attaquant. Prendre le contrôle d’un numéro ne déchiffre pas non plus automatiquement toutes les anciennes conversations conservées sur vos appareils.
Comment le contrôle du numéro devient celui du compte
Les conseils de la Federal Trade Commission américaine sur les échanges de SIM décrivent comment des attaquants convainquent un opérateur d’activer le numéro d’une victime sur une autre SIM. Les SMS de vérification et les appels entrants peuvent alors parvenir à l’attaquant.
La faiblesse pertinente est la décision du compte de faire confiance à ce numéro. Un service peut l’utiliser pour l’inscription initiale, une étape de vérification supplémentaire ou la réinitialisation d’un mot de passe. Ces possibilités sont distinctes. Examinez-les toutes, y compris les solutions de repli, au lieu de vérifier seulement l’écran de connexion habituel.
Une perte soudaine du service mobile ou un avis inattendu d’activation de SIM peuvent être des signaux d’alerte, même si des pannes et des problèmes de compte ordinaires peuvent leur ressembler. Confirmez la situation auprès de l’opérateur par un canal officiel connu.
Distinguer l’usurpation de l’accès aux anciens messages
Un appareil nouvellement enregistré et contrôlé par un attaquant peut éventuellement usurper votre identité ou recevoir les communications futures, selon les règles de l’application. L’accès à l’ancien historique nécessite une explication supplémentaire : une copie lisible sur le serveur, l’accès à une sauvegarde chiffrée et à sa clé, un appareil associé ou une copie locale.
| Élément | Le contrôle du numéro suffit-il nécessairement à l’obtenir ? |
|---|---|
| Codes de vérification SMS entrants | Potentiellement, une fois le numéro transféré |
| Inscription ou réinitialisation du compte | Seulement si le service accepte cette voie sans exigence indépendante |
| Sessions existantes sur les appareils | Pas automatiquement ; les règles de gestion des sessions comptent |
| Ancien historique de discussion E2EE | Pas automatiquement ; l’attaquant doit encore disposer d’une copie accessible et des clés requises |
| Messages futurs adressés à une identité nouvellement acceptée | Un risque dépendant de la vérification d’identité et du comportement du compte |
Les alertes de changement de clé et la vérification indépendante de l’identité d’un contact peuvent aider à détecter un nouveau terminal inattendu. Il ne faut pas les ignorer simplement parce que le numéro familier reste inchangé.
Ce que SRP apporte et ce qu’il ne peut pas promettre
SRP authentifie la connaissance d’un mot de passe sans transmettre celui-ci dans l’échange prévu. Si la connexion exige réellement un mot de passe indépendant et qu’aucune solution de repli par SMS ne le contourne, voler le numéro ne suffit pas à remplir cette condition.
SRP ne définit pas lui-même la politique de l’application concernant les numéros, son processus de réinitialisation ni ses procédures d’assistance. Il ne rend pas un mot de passe faible plus fort et n’empêche pas un code d’hameçonnage de lire le texte saisi sur une page malveillante. Le vérificateur conservé par le serveur reste lui aussi sensible : la section 3.3 du RFC 5054 décrit la recherche de mots de passe après le vol d’un vérificateur.
Les clés d’accès et les clés de sécurité sont d’autres moyens possibles de réduire la dépendance aux SMS, lorsque le service les prend en charge. L’explication des clés d’accès par la FIDO Alliance décrit les identifiants à clé publique et la résistance à l’hameçonnage. Le véritable parcours de récupération du compte doit toujours être examiné, quelle que soit la méthode de connexion habituelle.
La séparation documentée par Livara
La page de sécurité de Livara décrit la connexion SRP séparément de sa sauvegarde d’identité chiffrée. La version 7 scelle les données d’identité avant leur téléversement sous une clé de récupération distincte et restaure l’identité, pas l’historique des discussions. Le modèle de menace indique qu’un mot de passe volé ne permet pas à lui seul de restaurer ces clés de chiffrement.
Ces limites permettent de distinguer authentification et déchiffrement. Elles ne justifient pas de promettre que chaque voie de prise de contrôle a été auditée ou qu’un incident chez l’opérateur ne peut avoir aucun effet. Vérifiez les options actuelles de connexion et de récupération dans le client ; ne déduisez pas de comportements non documentés du nom d’un protocole.
L’établissement de clés post-quantique traite un autre problème : de futures attaques contre du trafic chiffré capturé. Il n’empêche pas un opérateur de transférer un numéro ni un compte de faire confiance à un SMS intercepté.
Réduire le risque avant un incident
- Protégez le compte de l’opérateur mobile avec un code PIN ou un mot de passe distinct et les contrôles de portabilité disponibles.
- Préférez une authentification forte sans SMS lorsqu’elle est prise en charge, et conservez les moyens de récupération en sécurité.
- Vérifiez si la récupération du compte utilise discrètement le numéro de téléphone comme solution de repli.
- Utilisez des mots de passe uniques et protégez le compte de messagerie électronique servant à la récupération.
- Apprenez comment la messagerie affiche les appareils associés, les changements d’inscription et les changements de clés des contacts.
Si vous soupçonnez une prise de contrôle de votre numéro
- Contactez immédiatement l’opérateur par un canal vérifié et demandez une enquête ainsi que la récupération du numéro.
- Depuis un appareil fiable, sécurisez les comptes concernés et examinez les sessions inconnues. Récupérer le numéro ne met pas nécessairement fin à une session existante de l’attaquant.
- Recherchez les modifications des paramètres de récupération et réinitialisez les identifiants compromis par les procédures officielles.
- Avertissez les contacts importants par une autre voie fiable si une usurpation est possible. Revérifiez les identités cryptographiques qui ont changé.
- Conservez les avis et horodatages pertinents pour l’assistance ou un signalement. N’envoyez jamais de code à usage unique, de mot de passe ou de phrase de récupération à quelqu’un qui propose de « réparer » le problème dans un message.
Une protection utile repose sur une conception du compte qui ne laisse pas un seul facteur volé contourner tous les autres contrôles, associée à un plan clair de récupération et de gestion des sessions en cas d’incident.
