« Je ne comprends pas. Je fais attention, je ne clique jamais, et je reçois quand même quatre SMS d'arnaque par semaine. »
Cette phrase revient constamment. Et elle est parfaitement logique : la prudence protège des conséquences d'un SMS frauduleux, elle ne protège pas de sa réception. Tant que votre numéro circule dans des bases de données, il continuera d'être arrosé. Le problème n'est pas votre comportement face aux messages, c'est l'exposition de l'identifiant lui-même.
Depuis une quinzaine d'années, le numéro de mobile a discrètement remplacé l'adresse postale et l'e-mail comme clé d'identification principale. Il sert à recevoir un code de validation bancaire, à suivre un colis, à créer un compte, à cumuler des points de fidélité, à publier une annonce, à réserver une table. Un seul et même numéro, partagé avec des centaines d'interlocuteurs de fiabilité très variable. C'est un point de défaillance unique — et les escrocs le savent.
La méthode décrite ici n'a rien de spectaculaire : elle consiste à arrêter d'utiliser un numéro unique. Un numéro pour les humains qui comptent et les services critiques, un second pour tout le reste. Ce n'est pas une astuce de geek, c'est du cloisonnement, exactement le principe qu'on applique déjà pour les mots de passe.
Pourquoi un numéro unique finit toujours par fuir
Les fuites ne viennent pas de vous
Un numéro de mobile ne se retrouve pas dans une liste d'escrocs parce que vous avez fait une bêtise. Il y arrive par accumulation :
- Les violations de données. La CNIL a enregistré ces dernières années des notifications massives touchant des opérateurs, des plateformes de billetterie, des mutuelles, des enseignes de distribution. Le numéro de téléphone fait presque toujours partie des champs exposés, parce qu'il est jugé « moins sensible » que le mot de passe — alors qu'il est justement permanent et non modifiable sans coût.
- La revente de fichiers. Le démarchage commercial, parfaitement légal quand le consentement existe, alimente une économie grise où des bases sont revendues, recoupées, enrichies. Une fois qu'un numéro entre dans ce circuit, il en sort rarement.
- Le recoupement. Votre numéro laissé sur une annonce, sur un formulaire de jeu-concours, sur un site de réservation, devient un point de jonction qui permet de relier plusieurs jeux de données entre eux. C'est ce qui explique ces SMS qui « savent » votre nom, votre ville ou votre commande.
La conséquence : un profil de victime
Quand un numéro est associé à des informations contextuelles, l'escroc n'envoie plus un message générique. Il envoie un message plausible. Et la plausibilité est, de très loin, le premier facteur de réussite du smishing. La Banque de France, dans ses travaux de l'Observatoire de la sécurité des moyens de paiement, souligne la progression des fraudes dites « par manipulation », où la victime agit elle-même, convaincue par un scénario crédible.
Cloisonner, c'est casser ce recoupement. Si votre numéro « public » n'est jamais associé à votre banque, une fuite le concernant ne permet plus de fabriquer un message bancaire crédible.
Les trois façons d'obtenir un second numéro
1. La seconde SIM physique ou l'eSIM
C'est la solution la plus robuste. La quasi-totalité des smartphones vendus depuis 2021 gèrent la double SIM, et souvent la combinaison SIM physique + eSIM. Une eSIM s'active en quelques minutes depuis un QR code, sans aller en boutique.
Les forfaits d'appoint à 2 ou 3 € par mois suffisent largement : vous n'avez besoin que de recevoir des SMS et de passer des appels occasionnels. Certains opérateurs proposent même des forfaits bloqués à moins de 2 € qui font parfaitement l'affaire pour ce rôle.
Sur un téléphone plus ancien qui ne gère pas l'eSIM, la solution du second appareil reste valable : un téléphone mobile double SIM d'entrée de gamme, gardé dans un tiroir et allumé une fois par semaine, remplit très bien la fonction de « boîte aux lettres » pour les inscriptions secondaires.
2. Le numéro virtuel d'application
Plusieurs services proposent un numéro attribué logiciellement, utilisable depuis une application. C'est pratique, mais attention à deux limites : certains services bancaires et administratifs refusent les numéros non rattachés à un opérateur mobile classique pour l'envoi de codes de validation, et la pérennité du numéro dépend de la survie du service. Un numéro virtuel qui expire, c'est un compte potentiellement irrécupérable.
3. La ligne fixe ou le numéro d'un ancien forfait
Solution du pauvre mais efficace : beaucoup de formulaires acceptent un numéro fixe. Si vous en avez un via votre box, il peut absorber une partie des inscriptions non critiques. L'inconvénient : il ne reçoit pas les SMS, ce qui bloque toute double authentification.
Comment répartir vos usages : la règle des deux colonnes
Le principe est simple : le numéro privé ne doit jamais être saisi dans un formulaire en ligne, sauf exceptions listées.
| Usage | Numéro privé | Numéro public |
|---|---|---|
| Famille, amis, collègues | ✅ | ❌ |
| Banque, assurance, impôts, Ameli | ✅ | ❌ |
| Médecin, pharmacie, laboratoire | ✅ | ❌ |
| École, crèche, employeur | ✅ | ❌ |
| Livraisons, e-commerce | ❌ | ✅ |
| Cartes de fidélité, jeux-concours | ❌ | ✅ |
| Petites annonces, Vinted, Leboncoin | ❌ | ✅ |
| Réservations (restaurants, coiffeur, location) | ❌ | ✅ |
| Inscriptions à des sites peu connus | ❌ | ✅ |
| Wi-Fi public demandant un numéro | ❌ | ✅ |
Cette grille n'est pas une contrainte permanente. Elle demande un effort les deux premières semaines, le temps d'installer le réflexe, puis elle devient automatique.
Le cas particulier de la double authentification
C'est le point où il faut être rigoureux. Les codes reçus par SMS pour valider un paiement ou une connexion doivent arriver sur le numéro privé, jamais sur le numéro public. Raison : le numéro public est celui qui figure dans les bases divulguées, donc celui qui sera visé par une tentative de détournement de ligne (fraude à la portabilité ou au remplacement de SIM).
Et tant qu'à faire, profitez de l'occasion pour sortir du SMS quand c'est possible. L'ANSSI recommande depuis longtemps les applications d'authentification plutôt que les codes par SMS, le SMS n'étant pas chiffré de bout en bout. Pour les comptes les plus sensibles, une clé de sécurité physique FIDO2 constitue le niveau au-dessus : elle rend le hameçonnage structurellement inopérant, puisqu'aucun code n'est transmissible à un tiers.
Ce que le cloisonnement règle vraiment — et ce qu'il ne règle pas
Ce qu'il règle
- Le volume. Les retours d'expérience convergent : au bout de six à douze mois, le numéro privé reçoit une quantité résiduelle de spam, souvent proche de zéro, tandis que le numéro public concentre tout.
- La crédibilité des attaques. Un SMS « votre colis est bloqué » reçu sur un numéro que vous savez réservé aux livraisons et aux inscriptions douteuses perd immédiatement son pouvoir de persuasion. Vous n'êtes plus obligé de vous demander s'il est vrai : le contexte vous répond.
- La détection des fuites. En réservant certains usages à certains numéros, vous savez d'où vient une fuite. C'est le principe de l'adresse e-mail jetable, appliqué au mobile.
Ce qu'il ne règle pas
Soyons honnêtes sur les limites.
Le spoofing d'expéditeur reste possible : un escroc peut afficher le nom de votre banque quel que soit le numéro visé. Le cloisonnement réduit la probabilité que vous receviez ce message, pas la capacité technique de l'attaquant.
Les SMS Blasters, ces valises qui simulent une antenne relais et arrosent tous les mobiles dans un rayon de quelques centaines de mètres, se moquent complètement de votre numéro : ils n'utilisent pas le réseau opérateur et n'ont pas besoin de connaître votre ligne. Aucun cloisonnement ne protège de ce vecteur.
Enfin, le cloisonnement ne protège pas de vos proches. Si le téléphone d'un ami est compromis et que son carnet d'adresses est aspiré, votre numéro privé sort de sa boîte.
Mettre en place la bascule sans tout casser
Étape 1 : inventorier avant d'agir
Avant d'activer quoi que ce soit, listez les services où votre numéro actuel est enregistré. Ouvrez votre boîte SMS et parcourez les six derniers mois : vous verrez apparaître les expéditeurs légitimes (banque, mutuelle, médecin, opérateur, services de livraison). C'est votre inventaire de départ.
Un carnet de notes papier fait très bien l'affaire pour cette étape, et il a un avantage réel : il ne finira jamais dans une fuite de données. Beaucoup de personnes qui structurent leur sécurité numérique tiennent ce genre de registre hors ligne pour les informations de récupération de comptes.
Étape 2 : décider quel numéro devient « public »
Deux écoles.
Option A — le numéro historique devient le numéro public. Vous prenez une nouvelle ligne pour l'usage privé. Avantage : aucune démarche de mise à jour, tous les services existants continuent de fonctionner. Inconvénient : votre numéro privé tout neuf doit être communiqué à vos proches, et il faut penser à migrer les services critiques dessus.
Option B — le numéro historique reste privé. Vous prenez une ligne neuve pour l'usage public. Avantage : vos proches ne changent rien. Inconvénient : il faut mettre à jour, un par un, tous les services non critiques déjà enregistrés — ou simplement laisser le temps faire et ne réserver le numéro public qu'aux nouvelles inscriptions.
Dans les faits, l'option B est plus douce, et c'est celle que je recommande à qui n'a pas envie d'un chantier. Le numéro privé se « nettoie » progressivement.
Étape 3 : gérer deux lignes sans confusion
Sur Android comme sur iOS, vous pouvez nommer chaque ligne (« Perso », « Public »), lui attribuer une couleur de bulle, et définir une ligne par défaut pour l'envoi. Prenez cinq minutes pour le faire : c'est ce qui évite d'envoyer un message pro depuis le numéro poubelle.
Une sonnerie différente par ligne est également très utile. Le numéro public n'a pas besoin de vous interrompre : mettez-le en silencieux permanent et consultez-le une fois par jour. Sur les téléphones qui gèrent mal les profils sonores par SIM, une montre connectée avec notifications filtrées permet de ne laisser passer que la ligne privée.
Étape 4 : ne pas rendre le numéro public trop bavard
Un numéro public reste un numéro qui vous appartient. Évitez d'y associer votre nom complet dans les annuaires, ne l'utilisez pas comme identifiant de messagerie instantanée avec photo de profil personnelle, et refusez la synchronisation du carnet d'adresses pour les applications installées sur ce contexte-là.
Le réflexe qui doit rester, quoi qu'il arrive : signaler
Le cloisonnement ne remplace pas le signalement. Chaque SMS frauduleux reçu — sur l'une ou l'autre ligne — doit être transféré au 33700, service officiel de signalement des spams vocaux et SMS géré par l'Association française du multimédia mobile en lien avec les opérateurs. C'est gratuit, cela prend dix secondes, et c'est ce qui alimente les blocages de numéros émetteurs.
En cas de préjudice financier, le dépôt de plainte et la plateforme Perceval (pour l'usage frauduleux de carte bancaire) et Cybermalveillance.gouv.fr (pour l'accompagnement) restent les points d'entrée officiels.
Un numéro public saturé de spam n'est pas un échec du système : c'est la preuve qu'il fonctionne. Le spam est parti là où il ne fait plus de dégâts.
Faut-il aller jusqu'à deux téléphones ?
Pour la plupart des gens, non : la double SIM suffit. Deux situations justifient tout de même un second appareil.
Le cas professionnel. Si vous êtes indépendant ou commerçant, le numéro affiché sur vos supports commerciaux est par définition public, exposé, aspiré. Le séparer physiquement du téléphone personnel a du sens, notamment pour les coupures de soirée et de week-end. Une batterie externe compacte devient alors un accessoire indispensable, deux appareils signifiant deux autonomies à gérer.
Le cas des déplacements. Pour un voyage, un téléphone secondaire avec le seul numéro public limite l'ampleur des dégâts en cas de vol ou de perte, puisque ni la banque ni les codes de validation n'y transitent. On complète utilement avec un traceur Bluetooth glissé dans le sac, qui permet au moins de savoir si l'appareil a été oublié quelque part ou emporté.
Ce qu'il faut retenir
Vous ne pouvez pas empêcher les fuites de données : elles ne dépendent pas de vous. Vous pouvez en revanche décider de ce qu'elles emportent avec elles. Un numéro unique, c'est une clé qui ouvre toutes les portes de votre vie numérique ; deux numéros, c'est deux trousseaux séparés, dont un seul peut être perdu sans conséquence.
La mise en place demande une heure de réflexion, quelques euros par mois et deux semaines d'habitude. En échange, la question « ce SMS est-il vrai ? » se pose beaucoup moins souvent — et c'est exactement le but. Le meilleur SMS d'arnaque est celui qui arrive sur une ligne dont vous savez déjà, avant même de l'ouvrir, qu'elle ne reçoit jamais rien d'important.
