Les nouvelles règles de la FCC devraient réduire le nombre de substitutions de cartes SIM, mais je suis pessimiste.

Après des années d’inaction, la FCC a annoncé cette semaine qu’elle allait enfin protéger les consommateurs contre un escroc qui prend le contrôle de leurs numéros de téléphone cellulaire en trompant les employés des services de téléphonie mobile. Alors que les membres du FCC se félicitaient de ce geste, il y a peu de raisons de croire que cela mettra fin à une pratique qui est malheureusement trop courante depuis une dizaine d’années. Ces escroqueries, connues sous le nom de « fraude par transfert de SIM » et de « fraude par transfert de service », ont toutes les deux le même objectif: s’emparer du numéro de téléphone d’une personne en trompant les employés de l’opérateur qui le gère. La fraude par transfert de SIM se produit lorsque des criminels se font passer pour quelqu’un d’autre et demandent que le numéro de la victime soit transféré à une nouvelle carte SIM, généralement sous prétexte que la victime vient d’obtenir un nouveau téléphone. Dans les escroqueries par transfert de service, les criminels font à peu près la même chose, sauf qu’ils trompent l’employé de l’opérateur en lui faisant transférer le numéro cible vers un nouvel opérateur. Ce type d’attaque existe depuis plus de 10 ans et elle s’est multipliée avec l’euphorie irrationnelle qui a fait augmenter le prix du Bitcoin et d’autres crypto-monnaies. Les personnes stockant de grandes quantités de pièces numériques ont été fréquemment visées. Une fois que les escrocs prennent le contrôle d’un numéro de téléphone, ils déclenchent des réinitialisations de mot de passe fonctionnant par clic sur des liens envoyés dans des messages textes. Les escrocs font ensuite déborder les comptes en cryptomonnaie et les comptes bancaires traditionnels. La pratique est devenue si courante qu’un véritable marché des services de transfert de SIM a vu le jour. Plus récemment, ces escroqueries ont été utilisées par des acteurs malveillants pour cibler et, dans certains cas, pénétrer avec succès les réseaux d’entreprise appartenant à certains des plus grandes organisations mondiales. Les escrocs poursuivant ces escroqueries sont étonnamment habiles dans l’art du jeu de la confiance. Lapsus$, un groupe de menace composé principalement d’adolescents, a utilisé à maintes reprises des transferts de SIM et d’autres formes d’ingénierie sociale avec un niveau de succès déroutant. À partir de là, les membres utilisent les numéros confisqués pour pénétrer d’autres cibles. Juste le mois dernier, Microsoft a présenté un groupe jusqu’alors inconnu qui utilise régulièrement des transferts de SIM pour piéger les entreprises qui fournissent des services de traitement des télécommunications mobiles.