Le sac de Julien disparaît un samedi soir, à la terrasse d'un café de Lisbonne. Dedans : un portefeuille, des clés, et un smartphone verrouillé par empreinte digitale. Il se rassure comme la plupart d'entre nous : « il est verrouillé, ils n'auront rien ».
Le dimanche à 9 h 40, sa banque lui refuse un paiement à l'aéroport. Le lundi, il découvre trois virements sortants validés — chacun confirmé par un code reçu par SMS.
Le téléphone était bien verrouillé. La carte SIM, elle, ne l'était pas.
C'est tout le malentendu de la perte ou du vol d'un mobile en 2026 : on évalue le préjudice à la valeur de l'appareil, alors que le vrai actif est le petit morceau de plastique qui reçoit vos codes de validation bancaire. Et cet actif-là se transfère dans n'importe quel téléphone à dix euros.
Ce que votre carte SIM continue de faire sans vous
Un écran verrouillé protège le contenu du téléphone : photos, applications, historique. Il ne protège pas la ligne téléphonique. Si la carte SIM n'est pas elle-même protégée par un code PIN — et une majorité d'utilisateurs l'a désactivé au fil des années pour éviter de le taper à chaque redémarrage —, il suffit de l'extraire et de l'insérer ailleurs.
À partir de là, la personne qui détient la SIM :
- reçoit tous vos SMS entrants, y compris les codes à usage unique envoyés par les banques, les messageries, les plateformes de vente et les services publics ;
- reçoit vos appels, y compris les appels de vérification automatisés ;
- peut lancer des réinitialisations de mot de passe sur tout service qui accepte « recevoir un code par SMS » comme méthode de récupération.
Ce dernier point est le plus sous-estimé. Le SMS n'est pas seulement un second facteur : sur beaucoup de services, il est aussi un facteur de récupération. Autrement dit, il permet de contourner le mot de passe plutôt que de s'y ajouter. L'ANSSI rappelle régulièrement que l'authentification par SMS reste supérieure au simple mot de passe, mais qu'elle constitue le maillon faible dès lors que la ligne est compromise.
Certains écrans affichent d'ailleurs l'aperçu des notifications sans déverrouillage. Un code à six chiffres est parfaitement lisible sur un écran de veille. Vérifiez ce réglage aujourd'hui, pas après.
Chronologie réaliste d'un vol : les 90 premières minutes comptent
Les statistiques du ministère de l'Intérieur sur les vols avec ou sans violence montrent que le téléphone est l'un des objets les plus dérobés en France. Mais la fenêtre d'exploitation, elle, est courte : les revendeurs veulent écouler le matériel vite, et les fraudeurs veulent exploiter la ligne avant qu'elle ne soit coupée.
| Délai | Ce que fait le voleur opportuniste | Ce que vous devriez faire |
|---|---|---|
| 0–15 min | Éteint l'appareil ou le met en mode avion pour couper la localisation | Tenter la localisation à distance avant extinction |
| 15–60 min | Extrait la SIM, la teste dans un autre appareil | Faire opposition sur la ligne auprès de l'opérateur |
| 1–6 h | Lance des réinitialisations de mot de passe par SMS | Changer les mots de passe des comptes critiques depuis un autre appareil |
| 6–48 h | Tentatives de paiement, revente de l'appareil | Blocage IMEI, dépôt de plainte, opposition bancaire |
L'ordre compte plus que la vitesse pure. Beaucoup de victimes commencent par déclarer le vol au commissariat, ce qui prend deux heures, pendant lesquelles la ligne reste active.
La bonne séquence, dans l'ordre
1. Suspendre la ligne auprès de l'opérateur
C'est le geste numéro un, avant tout le reste. Orange, SFR, Bouygues Telecom et Free disposent tous d'un numéro d'opposition accessible 24 h/24, y compris depuis l'étranger. La suspension coupe l'acheminement des SMS et des appels vers la SIM volée. Elle est réversible : si vous retrouvez votre téléphone, la ligne est réactivée.
Notez ces numéros ailleurs que dans le téléphone. Une carte au format carte bancaire, glissée dans le portefeuille, ou une note dans un carnet de voyage à couverture rigide — l'objet le plus banal du monde et pourtant le seul qui fonctionne encore quand la batterie est morte et le mobile disparu.
2. Faire opposition sur les moyens de paiement
Si votre téléphone contenait une application bancaire, un portefeuille de paiement sans contact, ou simplement si vos cartes étaient dans le même sac : appelez le serveur interbancaire d'opposition, joignable en permanence. La Fédération bancaire française rappelle que l'opposition doit être immédiate et confirmée par écrit.
3. Changer les mots de passe critiques depuis un autre appareil
Dans l'ordre : messagerie e-mail principale d'abord (c'est la clé de voûte, elle permet de réinitialiser tout le reste), puis banque, puis comptes de vente en ligne et réseaux sociaux.
Vous n'y arriverez que si vous connaissez vos mots de passe — ce qui, en pratique, suppose un gestionnaire de mots de passe accessible depuis un navigateur, ou à défaut un carnet de mots de passe papier rangé chez vous. Cette solution fait grincer des dents les puristes, mais la CNIL elle-même admet qu'un mot de passe fort noté sur un support papier conservé en lieu sûr vaut mieux qu'un mot de passe faible réutilisé partout.
4. Bloquer l'appareil par son numéro IMEI
Le blocage IMEI rend le téléphone inutilisable sur les réseaux français, quelle que soit la SIM insérée. Il se demande à l'opérateur, muni du numéro IMEI à quinze chiffres. Ce numéro figure sur la boîte d'origine, sur la facture d'achat, et dans votre compte client. Photographiez-le maintenant et rangez la photo ailleurs que dans votre téléphone.
5. Déposer plainte
La plainte est nécessaire pour l'assurance, pour le blocage IMEI dans certains cas, et surtout comme pièce si des opérations frauduleuses sont contestées. Le dispositif de pré-plainte en ligne du ministère de l'Intérieur permet de gagner du temps sur place.
Le scénario le plus vicieux : le SMS qui arrive après
Une fois la ligne suspendue, beaucoup de victimes se croient tirées d'affaire. C'est souvent là que commence la seconde phase.
Vous avez déclaré votre vol. Vous êtes stressé, vous attendez des nouvelles de votre opérateur, de votre banque, de votre assurance. Vous êtes exactement dans l'état mental que recherche le smishing : une attente légitime de message officiel.
Les messages qui arrivent alors sur votre ligne de remplacement ressemblent à ceci :
« SUIVI-VOL : votre appareil IMEI 35xxxx a été localisé à Marseille. Validez votre identité sous 24 h pour engager la procédure : suivi-imei-restitution.net »
« Votre déclaration de sinistre n°SIN-2026-77401 est incomplète. Complétez votre RIB pour l'indemnisation : espace-assure-mobile.com/fr »
Aucun opérateur, aucun assureur, aucun service de police ne vous demandera un RIB, un code de vérification ou un identifiant bancaire par SMS. La localisation d'un IMEI volé n'est jamais communiquée à la victime par message automatique.
Comment les escrocs savent-ils que vous venez d'être volé ? Souvent, ils ne le savent pas : ils envoient massivement, et vous êtes simplement dans une phase où le message tombe juste. Parfois, l'information circule via des annonces de recherche publiées sur les réseaux sociaux, où l'on donne son numéro pour être recontacté « si quelqu'un retrouve le téléphone ». Ne publiez jamais votre numéro de mobile dans un post public de ce type.
Prévenir : cinq réglages qui changent tout
Réactiver le code PIN de la carte SIM
C'est le réglage le plus rentable et le plus négligé. Un PIN SIM actif rend la carte inutilisable dans un autre appareil après trois tentatives. Sur Android comme sur iPhone, le réglage se trouve dans les paramètres de sécurité ou de données cellulaires. Changez le code par défaut (0000 ou 1234).
Masquer le contenu des notifications sur l'écran verrouillé
Réglez l'affichage sur « masquer le contenu » : la notification indique qu'un message est arrivé, sans en révéler le texte. Vos codes bancaires cessent d'être lisibles par-dessus votre épaule — dans le métro comme sur une table de café.
Remplacer le SMS par une application d'authentification là où c'est possible
Le SMS reste indispensable pour beaucoup de services français, mais partout où une application d'authentification (TOTP) ou une clé physique est proposée, elle rend le vol de la SIM inopérant. Pour les comptes les plus sensibles — messagerie principale, espace bancaire secondaire, plateformes professionnelles — une clé de sécurité FIDO2 tient sur un porte-clés et ne dépend d'aucun réseau. L'ANSSI classe ce type de dispositif parmi les méthodes d'authentification les plus robustes accessibles au grand public.
Activer la localisation à distance et le verrouillage d'urgence
« Localiser mon appareil » côté Android et « Localiser » côté Apple permettent, depuis n'importe quel navigateur, d'afficher la position, de faire sonner l'appareil, de le verrouiller avec un message ou de l'effacer à distance. Testez la procédure une fois, calmement, avant d'en avoir besoin.
Réduire l'exposition physique
Une bonne part des vols en vacances sont des vols à l'arraché ou à la tire, pas des cambriolages sophistiqués. Une sacoche bandoulière anti-vol portée devant soi, ou une simple pochette de voyage sous le vêtement pour les documents et une carte de secours, supprime le geste opportuniste. Ce n'est pas glamour, c'est efficace.
Le cas particulier de l'étranger
Hors de France, deux difficultés s'ajoutent.
La joignabilité de votre opérateur. Les numéros d'assistance en 0800 ne sont pas toujours accessibles depuis l'international. Chaque opérateur publie un numéro alternatif au format +33. Notez-le avant le départ.
La dépendance à un seul appareil. Si votre téléphone est votre billet de train, votre carte d'embarquement, votre moyen de paiement et votre carte d'identité numérique, sa perte vous immobilise. Emporter une batterie externe compacte ne résout pas le vol, mais évite la panne sèche qui vous prive de vos outils au pire moment ; conserver une copie papier des réservations et un second moyen de paiement rangé séparément fait le reste.
Pensez également à l'eSIM : conserver une eSIM secondaire déjà installée sur un ancien téléphone laissé à l'hôtel permet de récupérer une ligne fonctionnelle en quelques minutes. Plusieurs opérateurs proposent le multi-SIM sur le même numéro.
Et si la fraude a déjà eu lieu ?
Si des opérations bancaires ont été validées par des codes SMS reçus sur votre ligne volée, vous n'êtes pas juridiquement démuni. L'article L133-19 du Code monétaire et financier encadre la responsabilité du payeur : après notification de la perte ou du vol, aucune opération frauduleuse ne peut vous être imputée, hors agissement frauduleux de votre part. Avant notification, la responsabilité est plafonnée à 50 € pour les opérations liées à un instrument de paiement perdu ou volé.
La banque peut opposer une « négligence grave », notion régulièrement tranchée par la Cour de cassation, qui a rappelé à plusieurs reprises qu'il appartient à l'établissement d'apporter la preuve de cette négligence — et non au client de prouver son innocence.
Concrètement :
- Contestez par écrit auprès de votre banque, en recommandé, en joignant le récépissé de plainte et l'attestation d'opposition de l'opérateur.
- En cas de refus, saisissez le médiateur bancaire de l'établissement.
- Signalez les SMS frauduleux reçus au 33700, et les sites de collecte via la plateforme PHAROS ou cybermalveillance.gouv.fr.
Ce qu'il faut retenir
Un téléphone volé, ça se remplace. Une ligne active dans les mains de quelqu'un d'autre, c'est un trousseau de clés numériques.
Les trois gestes qui comptent, dans l'ordre : suspendre la ligne, faire opposition bancaire, changer les mots de passe depuis un autre appareil. Le reste — plainte, IMEI, assurance — peut attendre une heure. Pas ces trois-là.
Et si vous ne devez faire qu'une seule chose après avoir lu cet article, faites-la maintenant : réactivez le code PIN de votre carte SIM. Trois minutes de réglage contre plusieurs milliers d'euros de risque, c'est le meilleur rapport effort/protection de toute la sécurité mobile.
