La « souveraineté du 06 » : l'eSIM face à la menace persistante du SIM-Swapping

le 4 mars 2026

Rédigé en collaboration avec bisatelphone

En 2026, le numéro de téléphone mobile constitue la clé d’accès principale à l’identité numérique de plusieurs centaines de millions d’individus. Le SIM-Swapping – la prise de contrôle frauduleuse d’un numéro – exploite les failles humaines des opérateurs traditionnels. L’eSIM modifie structurellement cette équation de risque.

Le SIM-Swapping : une menace systémique adossée à l’ingénierie sociale

Depuis 2019, les autorités de régulation des télécommunications documentent une progression régulière des attaques par substitution de carte SIM. Le mécanisme est connu : un attaquant se présente auprès d’un opérateur en se faisant passer pour le titulaire d’une ligne, obtient le transfert du numéro vers une carte SIM qu’il contrôle, puis intercepte les codes d’authentification à deux facteurs (2FA) envoyés par SMS. En quelques minutes, comptes bancaires, portefeuilles de cryptoactifs et messageries professionnelles peuvent être compromis.

Ce vecteur d’attaque tire sa force non pas d’une vulnérabilité logicielle, mais d’une faiblesse structurelle inhérente aux processus de gestion client des opérateurs : la vérification d’identité repose, dans la plupart des procédures de portabilité ou de remplacement SIM, sur des données déclaratives aisément reconstituables à partir de sources ouvertes. Selon les travaux publiés par l’IEEE Xplore en 2024, plus de 68 % des attaques réussies ont exploité des centres de relation client téléphoniques, où la pression commerciale sur les temps de traitement entre directement en tension avec les exigences de vérification rigoureuse.

Le profil des victimes a évolué. Si les premières affaires documentées ciblaient principalement les détenteurs de cryptomonnaies, les analyses du Journal of Cyber Policy signalent depuis 2023 une extension significative vers les dirigeants d’entreprises, les décideurs politiques et les journalistes – des profils pour lesquels la compromission du numéro mobile représente un risque de sécurité nationale au sens large.

Données comparatives : la rupture eSIM en chiffres

Les projections sectorielles permettent de mesurer l’ampleur du changement en cours.

Indicateur

Données 2025

Projection 2026

Part des smartphones eSIM-compatibles vendus en France

61 %

74 %

Taux d’activation eSIM chez les opérateurs français

29 % des lignes actives

41 %

Incidents SIM-Swapping documentés en France

~4 200 cas déclarés

~3 100 (est.)

Délai moyen de détection d’une attaque SIM-Swap

6,4 heures

3,8 heures (est.)

Part des attaques SIM-Swap ciblant des lignes eSIM

7 %

11 % (est.)

Sources : ARCEP, IDATE DigiWorld, estimations consolidées du secteur (mars 2026)

Ces chiffres appellent une lecture nuancée. La progression du taux d’attaques ciblant spécifiquement les lignes eSIM – de 7 % à 11 % en projection – indique que les attaquants adaptent leurs méthodes. La réduction globale du nombre d’incidents reste toutefois significative, portée par les contraintes techniques propres au format eSIM.

Enjeux techniques et souveraineté

Analyse des infrastructures : ce que change l’eSIM au niveau protocolaire

L’eSIM – ou eUICC (Embedded Universal Integrated Circuit Card) – repose sur une architecture radicalement différente de la carte SIM amovible. Le profil opérateur est chargé de manière sécurisée via un serveur SM-DP+ (Subscription Manager Data Preparation), selon des spécifications établies par la GSMA. Ce chargement cryptographique implique une authentification mutuelle entre le terminal et la plateforme de gestion du profil, ce qui élimine mécaniquement la possibilité d’un remplacement physique de carte en boutique ou par envoi postal – les deux vecteurs historiquement les plus exploités dans les attaques de substitution.

La Commission Européenne, dans son cadre réglementaire sur l’identité numérique (eIDAS 2.0, en déploiement progressif depuis 2025), identifie explicitement la sécurisation du canal téléphonique comme un prérequis à l’intégrité des portefeuilles d’identité numérique. L’eSIM s’inscrit dans cette logique : en liant cryptographiquement le profil opérateur à un terminal certifié, elle introduit un niveau d’ancrage matériel que la SIM classique ne permettait pas.

Il subsiste cependant des vecteurs résiduels. Le processus de changement d’appareil – qui nécessite un transfert de profil eSIM d’un terminal à un autre – constitue un moment de vulnérabilité si les mécanismes d’authentification côté opérateur restent insuffisamment robustes. L’ANSSI a publié en janvier 2026 des recommandations spécifiques sur la sécurisation de ces transactions, préconisant l’introduction systématique d’une vérification hors-bande (out-of-band) lors de tout transfert de profil.

Vers une authentification décorrélée du numéro de téléphone

À moyen terme, la réduction de la dépendance au SMS comme vecteur d’authentification représente l’évolution la plus structurante. Forrester Research estimait, dans son rapport annuel sur l’authentification publié fin 2025, que 58 % des grandes entreprises européennes auraient migré vers des solutions d’authentification sans SMS d’ici fin 2027 – passkeys, authentification FIDO2 ou applications dédiées. Cette trajectoire ne rend pas obsolète la sécurisation du numéro mobile, mais en modifie la nature : le « 06 » devient moins un moyen d’authentification qu’un identifiant de joignabilité, dont la valeur stratégique pour un attaquant diminue mécaniquement.

Parallèlement, les réflexions menées au sein de l’UIT (Union Internationale des Télécommunications) sur les standards de portabilité numérique à horizon 2030 intègrent désormais des exigences de traçabilité cryptographique des opérations de transfert de profil. Ces travaux, encore au stade consultatif, dessinent une architecture où chaque modification d’un profil téléphonique laisserait une empreinte vérifiable dans un registre auditable – sans pour autant impliquer de centralisation des données personnelles.

Une transition technique dont les effets resteront partiels sans évolution des pratiques opérateurs mobiles

L’eSIM constitue indéniablement un progrès technique dans la réduction de la surface d’attaque exposée aux opérations de SIM-Swapping. Ses mécanismes cryptographiques éliminent les vecteurs d’attaque les plus rudimentaires et introduisent une traçabilité absente de l’écosystème SIM classique. Mais la technologie seule ne suffit pas : les incidents documentés sur des lignes eSIM démontrent que les failles persistent là où les procédures humaines restent le maillon le plus accessible. La sécurité du numéro mobile en 2026 se joue autant dans les centres d’opérations des opérateurs que dans les puces embarquées des terminaux.