On change de mot de passe. On change parfois d'adresse e-mail. Mais presque personne ne change de numéro de téléphone. Le vôtre vous suit depuis dix, quinze, parfois vingt ans : il a servi à créer des comptes, à recevoir des codes bancaires, à remplir des formulaires de livraison, à valider des cartes de fidélité, à participer à un jeu concours oublié depuis longtemps.
Résultat : ce numéro à dix chiffres est devenu un identifiant permanent, aussi révélateur qu'un numéro de dossier. Et contrairement à un mot de passe, il ne se révoque pas. Quand il fuite — et statistiquement, il a déjà fuité — il rejoint des bases de données qui se revendent, se recoupent et se réactivent pendant des années.
La bonne nouvelle, c'est qu'une fuite n'est pas une fatalité. Elle appelle une réaction méthodique, pas une panique. Voici comment savoir où vous en êtes, et quoi faire concrètement.
Pourquoi un numéro de téléphone vaut plus qu'une adresse e-mail
Sur les marchés parallèles de la donnée, une adresse e-mail seule ne vaut presque rien. Un numéro de mobile vérifié, associé à un nom et à un code postal, vaut nettement plus cher. Trois raisons expliquent cet écart.
Il est unique, stable et lié à une identité réelle
En France, l'attribution des numéros mobiles est encadrée par l'ARCEP, et l'ouverture d'une ligne suppose une identification du titulaire. Un numéro actif est donc, du point de vue d'un fraudeur, une preuve implicite qu'il y a un humain au bout. Contrairement à une boîte mail jetable, il ne se crée pas à la volée par milliers.
Il est le pivot de l'authentification
Le SMS reste, malgré ses faiblesses connues, le second facteur d'authentification le plus déployé au monde. La directive européenne DSP2 a généralisé l'authentification forte pour les paiements, et la plupart des banques françaises s'appuient encore, en tout ou partie, sur l'envoi d'un code par message. Connaître votre numéro, c'est connaître la porte d'entrée — reste à trouver la clé, par ingénierie sociale ou par SIM swapping.
Il permet le recoupement
Un numéro sert de clé de jointure entre fichiers. Une base issue d'un site de e-commerce, une autre d'une plateforme de réservation, une troisième d'un forum : recoupées sur le numéro, elles reconstituent un profil détaillé — nom, adresse, historique d'achat, âge approximatif. C'est ce recoupement qui rend le spear smishing si convaincant : le SMS frauduleux cite votre vrai nom, votre vraie ville, parfois votre vraie commande.
Un message d'arnaque générique se repère en deux secondes. Un message qui connaît votre nom, votre opérateur et votre dernier achat demande un effort de vigilance beaucoup plus élevé.
Comment savoir si votre numéro a fuité
Il n'existe pas de registre officiel des numéros compromis. Mais plusieurs signaux et outils permettent de se faire une idée sérieuse.
Les services de vérification de fuites
Le service Have I Been Pwned, tenu par le chercheur en sécurité Troy Hunt, accepte depuis plusieurs années la recherche par numéro de téléphone au format international (+33...) pour certaines brèches, en complément de la recherche par e-mail. Le Hasso-Plattner-Institut propose également un service de vérification par e-mail avec envoi du résultat. Ces outils ne sont pas exhaustifs : ils ne couvrent que les fuites publiquement documentées.
Quelques précautions d'usage :
- n'utilisez que des services réputés et documentés ; les sites obscurs qui promettent de « scanner le dark web » sont souvent eux-mêmes des collecteurs de données ;
- saisissez le numéro au format international, sans espace ;
- refaites la vérification une à deux fois par an, les bases sont mises à jour après coup.
Les signaux comportementaux
Souvent, la fuite se manifeste avant d'être documentée. Trois indices classiques :
| Signal observé | Interprétation probable |
|---|---|
| Hausse soudaine d'appels de démarchage | Votre numéro vient d'entrer dans un fichier de prospection revendu |
| SMS d'arnaque citant votre nom ou une vraie commande | Fuite d'une base marchande, avec données associées |
| Codes de vérification (OTP) non sollicités | Quelqu'un tente d'accéder à un compte lié à votre numéro |
| Appels « ping » d'un seul sonnement | Test d'activité du numéro avant revente |
Le dernier point est important : recevoir un appel qui raccroche immédiatement, ou un SMS vide, sert parfois simplement à valider que la ligne est active. Ne rappelez jamais un numéro inconnu à tarification exotique.
Vérifier ce que vous exposez vous-même
Avant d'accuser une fuite, il est utile de mesurer son exposition volontaire. Tapez votre numéro entre guillemets dans un moteur de recherche. Vérifiez :
- vos annonces sur les plateformes de petites annonces, souvent laissées en ligne avec le numéro en clair dans le texte ;
- les annuaires inversés, qui recensent les lignes non listées uniquement si l'abonné n'a pas demandé la « liste rouge » ;
- vos profils professionnels et associatifs, PDF de comptes rendus, listes de contacts publiées par un club ou une école.
Beaucoup de fuites ne sont pas des piratages : ce sont des publications oubliées.
Ce qui se passe concrètement après une fuite
Vague 1 : le démarchage
C'est la conséquence la plus immédiate et la plus bénigne. En France, le démarchage téléphonique est encadré : depuis les évolutions de la loi, les appels commerciaux sont interdits les week-ends, les jours fériés, et en dehors de plages horaires précises en semaine. L'inscription gratuite sur Bloctel, le service officiel d'opposition au démarchage géré pour le compte de l'État, reste la première démarche. Elle ne bloque ni les arnaques, ni les entreprises avec lesquelles vous avez un contrat en cours, mais elle assainit une partie du flux.
Pour la prospection par SMS, le cadre est différent : le RGPD et le code des postes et des communications électroniques imposent un consentement préalable pour les messages commerciaux adressés à des particuliers, ainsi qu'un moyen d'opposition simple — le fameux « STOP » suivi d'un code.
Vague 2 : le smishing ciblé
C'est le vrai danger. Le smishing (hameçonnage par SMS) exploite les données fuitées pour construire un scénario crédible : colis en attente, amende à régler, compte bancaire suspendu, mise à jour de carte Vitale. Le service Cybermalveillance.gouv.fr publie régulièrement des alertes sur les campagnes en cours et met à disposition des fiches réflexes gratuites, plutôt bien faites.
Le réflexe unique à retenir : on ne clique jamais depuis le message. On rouvre l'application officielle ou on tape l'adresse à la main. Un lecteur qui veut ancrer ce réflexe et comprendre les mécaniques d'ingénierie sociale trouvera dans un livre sur la cybersécurité pour particuliers de quoi structurer sa vigilance bien mieux qu'une accumulation d'articles.
Vague 3 : la tentative de prise de contrôle
Le stade ultime consiste à s'emparer de la ligne elle-même, par SIM swapping ou portabilité frauduleuse, pour intercepter les codes d'authentification. Cette attaque suppose que l'attaquant dispose déjà de suffisamment d'informations personnelles — d'où l'importance de limiter le recoupement en amont.
Réduire son exposition sans changer de numéro
Changer de numéro est une option lourde, à réserver aux situations de harcèlement ou de fraude répétée. Dans la grande majorité des cas, on peut compartimenter.
Adopter une stratégie à deux numéros
Le principe est simple : un numéro privé, réservé aux proches, à la banque, à l'employeur et aux administrations ; un numéro public, utilisé pour les livraisons, les inscriptions, les petites annonces, les cartes de fidélité et les services en ligne.
Ce second numéro peut prendre plusieurs formes :
- une carte SIM prépayée dédiée, la solution la plus simple et la moins coûteuse ;
- une eSIM secondaire sur un téléphone compatible double SIM ;
- pour les usages ponctuels, un service d'envoi de SMS en ligne sans inscription, qui évite d'exposer sa ligne personnelle pour un message unique.
Si votre appareil ne gère pas la double SIM, un smartphone double SIM d'entrée de gamme conservé comme second appareil remplit très bien ce rôle, et vous évite de mélanger les usages.
Nettoyer ce qui est déjà en ligne
Le RGPD vous donne un droit d'effacement (article 17) et un droit d'opposition au traitement à des fins de prospection (article 21). Concrètement :
- Identifiez les sites qui affichent ou détiennent votre numéro.
- Envoyez une demande écrite d'effacement, en précisant votre identité et le traitement visé. La CNIL met à disposition des modèles de courriers gratuits sur son site.
- Le responsable de traitement dispose en principe d'un mois pour répondre.
- En l'absence de réponse ou en cas de refus non motivé, vous pouvez saisir la CNIL via son formulaire de plainte en ligne.
Pour les annuaires inversés, demandez à votre opérateur l'inscription en liste rouge — la démarche est gratuite et prend effet à la parution suivante.
Verrouiller la ligne côté opérateur
Trois mesures peu connues, à demander directement au service client :
- l'activation d'un code PIN sur la carte SIM (souvent désactivé par confort) ;
- la mise en place d'un mot de passe ou d'une question secrète sur le compte client, exigé avant toute opération sensible ;
- la vigilance sur le code RIO, qui permet la portabilité : ne le communiquez jamais à un tiers.
Sortir progressivement du SMS comme facteur d'authentification
Là où c'est possible, remplacez la validation par SMS par une application d'authentification (codes TOTP) ou, mieux, par une clé de sécurité physique. L'ANSSI recommande depuis plusieurs années de privilégier ces méthodes pour les comptes sensibles. Une clé de sécurité FIDO2 tient sur un porte-clés, coûte le prix d'un dîner et rend l'hameçonnage de vos identifiants pratiquement inopérant sur les services qui la prennent en charge.
Pour les codes de secours et les mots de passe associés, un gestionnaire de mots de passe reste l'outil de base : il évite la réutilisation, principale cause de compromission en cascade après une fuite.
Que faire dans les 48 heures suivant une fuite avérée
Si une entreprise vous notifie une violation de données incluant votre numéro — obligation prévue par le RGPD lorsque le risque est élevé — voici une marche à suivre raisonnable.
Jour 1 — Inventaire. Listez les comptes qui utilisent ce numéro comme moyen de récupération ou de double authentification : banque, messageries, réseaux sociaux, boîte mail principale, plateformes de paiement.
Jour 1 — Renforcement. Changez les mots de passe des comptes les plus critiques, en commençant par la boîte mail, qui commande tous les autres. Activez une authentification non-SMS partout où l'option existe.
Jour 2 — Surveillance. Mettez en place une alerte sur les mouvements bancaires. Notez la date de la fuite : si un SMS suspect fait référence, quelques jours plus tard, à un service concerné, le lien est établi.
Jour 2 — Signalement. Signalez les SMS frauduleux au 33700, la plateforme nationale de lutte contre les spams vocaux et SMS. Le signalement est gratuit : on transfère le message au 33700, puis on envoie le numéro de l'expéditeur en réponse. En cas de préjudice financier, un dépôt de plainte et un signalement sur la plateforme THESEE du ministère de l'Intérieur sont possibles.
Un carnet de notes sécurisé, papier, rangé hors du domicile pour les codes de secours, reste une précaution étonnamment efficace : il ne se pirate pas à distance.
Les fausses bonnes idées
Quelques réflexes répandus font plus de mal que de bien.
- Répondre « STOP » à un SMS d'arnaque. Pour un expéditeur légitime, c'est le bon geste. Pour un fraudeur, c'est une confirmation que la ligne est active. Distinguez : un vrai message commercial identifie clairement l'annonceur.
- Bloquer les numéros un par un. Les campagnes de smishing utilisent des numéros jetables, renouvelés en permanence. Le blocage individuel est un travail de Sisyphe ; le filtrage des expéditeurs inconnus, disponible nativement sur iOS et Android, est plus efficace.
- Installer une application « anti-spam » invasive. Beaucoup d'applications de filtrage d'appels réclament l'accès complet au carnet d'adresses et téléversent vos contacts. Vous protégez votre numéro en exposant celui de vos proches.
- Croire qu'un numéro « masqué » protège. Le masquage du numéro appelant ne joue que sur l'affichage. Il n'empêche ni le recoupement ni la conservation par le réseau.
Un principe simple : traiter son numéro comme une donnée sensible
Le numéro de téléphone a longtemps été perçu comme une coordonnée banale, qu'on donnait sans réfléchir. Il est devenu, en pratique, un identifiant de niveau bancaire : il ouvre des comptes, valide des paiements, prouve une identité.
La conclusion opérationnelle tient en trois questions à se poser avant chaque saisie :
- Ce service a-t-il un besoin réel de me joindre par téléphone ?
- Puis-je utiliser mon numéro secondaire ?
- Si ce fichier fuite demain, qu'est-ce que cela révèle de moi une fois recoupé avec le reste ?
Trois questions, quelques secondes. C'est le meilleur ratio effort/protection de toute l'hygiène numérique — et de loin.
