Sécurité carte SIM : la puce que tout le monde oublie de surveiller

Vous avez un antivirus. Vos appareils sont à jour. Vos mots de passe sont complexes.

Et dans votre poche, il y a une petite puce de 15 millimètres carrés à laquelle personne ne pense jamais.

Votre carte SIM.

Elle est là depuis le premier jour. Discrète, silencieuse, oubliée. On ne la change que quand on perd son téléphone. On ne la met à jour jamais. Et on ne la surveille pas.

Pourtant, des chercheurs de l'université de Birmingham viennent de démontrer qu'une carte SIM compromise peut envoyer des SMS à votre insu, passer des appels, exfiltrer des données sensibles, forcer votre téléphone à basculer sur le réseau 2G moins sécurisé, ou même éteindre votre appareil à distance.

Sans exploiter la moindre faille logicielle.

Sans laisser de trace visible.

Sans que vous ayez rien fait de suspect.

Ces résultats, présentés en août 2026 à la conférence Usenix Woot, changent la façon dont on doit penser la sécurité des appareils mobiles en entreprise.

Parce que la menace ne vient plus forcément d'une application malveillante ou d'un email de phishing.

Elle peut venir de la puce elle-même.

1-Sécurité carte SIM : la puce que tout le monde ignore est devenue une cible 

La première carte SIM a été créée en 1991. Depuis, elle n'a presque pas changé dans l'esprit des gens.

On la glisse dans le téléphone. On ne la touche plus. On l'oublie.

Et c'est précisément ce qui en fait une cible intéressante.

Pendant que les équipes IT surveillent les applications, les réseaux, les terminaux, la carte SIM reste dans un angle mort presque total. Elle n'apparaît dans aucun tableau de bord. Elle ne génère aucune alerte. Elle n'est couverte par aucune politique de sécurité classique.

Ce n'est pas un reproche. C'est une réalité historique. Jusqu'ici, la carte SIM n'était pas considérée comme un vecteur d'attaque sérieux.

Jusqu'ici.

Ce que les chercheurs de Birmingham ont mis en lumière, c'est que les commandes AT, ces instructions techniques que la carte SIM utilise pour communiquer avec le modem de l'appareil, peuvent être détournées. Sans exploiter une faille cachée. Sans injecter un logiciel malveillant. En utilisant simplement ces commandes comme elles ont été conçues.

Mais avec une carte SIM qui n'aurait pas dû être là. Ou qui aurait été modifiée.

Pour les entreprises, ce n'est pas un sujet réservé aux smartphones personnels. C'est un sujet qui touche les flottes mobiles, les objets connectés industriels, les véhicules connectés, les bornes de recharge. Tout ce qui embarque une puce SIM et une connectivité mobile.

C'est beaucoup plus large qu'on ne le pense.

2-Comment une carte SIM compromise prend le contrôle de votre appareil? 

Pas de code malveillant. Pas de téléchargement suspect. Pas de clic sur un mauvais lien.

Juste une puce. Et des commandes qu'elle envoie au modem de votre appareil.

C'est ça, le principe des commandes AT. Ce sont des instructions techniques, standardisées, qui existent depuis les débuts de la téléphonie mobile. Elles permettent à la carte SIM de communiquer avec le modem : passer un appel, envoyer un SMS, vérifier le signal.

Des commandes légitimes. Prévues. Documentées.

Le problème, c'est qu'une carte SIM compromise peut les utiliser pour faire des choses que vous n'avez jamais demandées.

Envoyer des messages à votre insu. Passer des appels vers des numéros surtaxés. Exfiltrer l'identifiant unique de votre appareil. Forcer le basculement vers le réseau 2G, beaucoup moins sécurisé et plus facile à intercepter. Désactiver les données mobiles. Éteindre l'appareil à distance.

Sur Android, les chercheurs ont même réussi à déclencher l'ouverture d'une page web sans aucune interaction de l'utilisateur.

Ce qui rend cette technique particulièrement inquiétante, c'est son invisibilité. Aucune application installée. Aucun comportement anormal détectable par un antivirus classique. La carte SIM agit en dessous de la couche logicielle que vos outils surveillent.

C'est un vecteur d'attaque qui ressemble beaucoup, dans sa logique, au SIM swapping. Sauf qu'ici, personne n'a besoin de convaincre votre opérateur de quoi que ce soit. La puce compromise fait le travail elle-même.

3-Quatre façons de compromettre une carte SIM sans que vous le sachiez 

C'est la question qui suit naturellement. D'accord, une carte SIM compromise peut faire tout ça. Mais comment elle devient compromise?

Les chercheurs de Birmingham ont identifié quatre scénarios. Aucun n'est science-fiction.

Le premier, c'est la faille logicielle. Comme tout système informatique, le logiciel embarqué dans une carte SIM peut contenir des vulnérabilités. Un attaquant qui les exploite peut modifier le comportement de la puce à distance, sans jamais toucher l'appareil physiquement.

Le deuxième, c'est le remplacement physique. Une carte SIM échangée à votre insu, lors d'une réparation, d'un passage en boutique, ou d'un accès non surveillé à l'appareil. Simple. Discret. Efficace.

Le troisième est le plus structurel : la modification à la fabrication. Une porte dérobée intégrée directement dans la puce avant même qu'elle ne quitte l'usine. Ce n'est pas une hypothèse farfelue. L'Europe envisage déjà d'exclure certains équipements d'origine étrangère de ses infrastructures critiques pour exactement cette raison.

Le quatrième, c'est la compromission de l'opérateur mobile. Un opérateur peut gérer les cartes SIM à distance. Si son infrastructure est compromise, un attaquant peut modifier le comportement de millions de puces simultanément, sans jamais approcher un seul appareil.

Ce dernier scénario est le plus large. Et le moins visible.

Pour les équipes IT, ces quatre vecteurs rappellent quelque chose de fondamental : la chaîne d'approvisionnement est elle aussi une surface d'attaque.

Ce qui entre dans votre réseau ne vient pas seulement de vos fournisseurs logiciels. Ça vient aussi du matériel, des puces, et des opérateurs sur lesquels vous vous appuyez sans vraiment les auditer.

4-Ce que ça change pour les entreprises et leurs équipes IT 

On pourrait penser que ce sujet ne concerne que les particuliers.

Ce serait une erreur.

Dans une entreprise, les cartes SIM sont partout. Dans les téléphones des collaborateurs, bien sûr. Mais aussi dans les tablettes, les routeurs 4G/5G de secours, les véhicules de flotte, les bornes de recharge, les capteurs industriels, les équipements de surveillance.

Tout ce qui embarque une connectivité mobile embarque une carte SIM. Et potentiellement, un angle mort.

La surface d'exposition est beaucoup plus large qu'un simple smartphone perdu ou volé.

Prenons un exemple concret. Un module SIM intégré dans un chargeur de véhicule électrique sur un parking d'entreprise. Personne ne le surveille. Personne ne sait quelle version logicielle il embarque. Personne ne vérifie s'il a été modifié. Et pourtant, il communique. Il peut devenir un point d'entrée vers le reste de votre réseau.

C'est exactement ce que les chercheurs ont documenté dans leur étude.

Pour les DSI et RSSI, cela soulève des questions très concrètes. Avez-vous un inventaire de toutes les cartes SIM actives dans votre périmètre ? Savez-vous qui gère vos contrats opérateurs et avec quelles garanties de sécurité? Vos politiques de gestion des appareils mobiles couvrent-elles les objets connectés, ou seulement les smartphones?

Et surtout : est-ce que votre MFA repose encore sur des SMS ?

Parce que si une carte SIM compromise peut envoyer et recevoir des messages à votre insu, un code de vérification envoyé par SMS n'est plus une garantie. C'est précisément pourquoi des standards comme FIDO2 (un système d'authentification sans mot de passe basé sur la cryptographie) existent : pour sortir de la dépendance au numéro de téléphone comme facteur d'authentification.

Pour les DSI et RSSI, cela soulève des questions très concrètes." vers "La bonne nouvelle, c'est que la protection commence par des décisions simples." La transition est un peu abrupte. Ajoutez une phrase de pont :

"Ces questions ont des réponses. Et elles sont plus simples qu'on ne le croit."

5-Comment se protéger concrètement 

La bonne nouvelle, c'est que la protection commence par des décisions simples.

Cinq étapes concrètes. Pas extraordinaires. Juste négligées

5.1. Cartographier toutes vos SIM actives 

L'inventaire. Cartographier toutes les cartes SIM actives dans votre périmètre. Smartphones, tablettes, routeurs, objets connectés, équipements industriels. Si vous ne savez pas ce qui est connecté, vous ne pouvez pas le surveiller.

5.2. Sortir du SMS comme facteur d'authentification 

Revoir votre authentification. Un code reçu par SMS n'est plus suffisant comme seul facteur d'authentification. Les standards sans mot de passe basés sur la cryptographie, comme FIDO2, offrent une alternative qui ne dépend pas du numéro de téléphone. Ce changement est actionnable maintenant, sans attendre.

5.3.Auditer vos contrats opérateurs 

Troisième étape : auditer vos contrats opérateurs. Quelles garanties de sécurité votre opérateur mobile offre-t-il sur la gestion à distance des cartes SIM ? Est-ce que des alertes existent en cas de modification non sollicitée ? Ces questions méritent une réponse écrite, pas une réponse verbale.

5.4. Appliquer le moindre privilège aux appareils mobiles 

Appliquer le principe du moindre privilège aux appareils mobiles. Un smartphone professionnel n'a pas besoin d'accéder à l'ensemble du réseau de l'entreprise. Segmenter, restreindre, surveiller les connexions inhabituelles. Une approche Zero Trust appliquée aux identités couvre aussi les appareils mobiles, pas seulement les postes fixes.

5.5. Intégrer les objets connectés dans votre politique de sécurité 

Inclure les objets connectés dans votre politique de sécurité mobile. Un capteur IoT avec une SIM intégrée est un terminal (endpoint) comme les autres. Il mérite le même niveau d'attention qu'un ordinateur portable.

La carte SIM ne va pas disparaître. Les risques qu'elle porte, eux, vont croître avec la multiplication des objets connectés.

Mieux vaut commencer à la regarder autrement. Maintenant.

Conclusion

Trente-cinq ans. C'est l'âge de la carte SIM.

Trente-cinq ans pendant lesquels on a regardé ailleurs. Vers les applications, les réseaux, les mots de passe, les emails suspects. Vers tout ce qui était visible, détectable, auditable.

Pendant ce temps, cette petite puce de 15 millimètres carrés attendait tranquillement dans l'angle mort.

Ce que les chercheurs de Birmingham ont mis en lumière n'est pas une faille qu'un patch va corriger demain matin. C'est une réalité structurelle sur la façon dont nos appareils fonctionnent et sur ce qu'une puce compromise peut faire sans jamais déclencher la moindre alerte.

Pour les équipes IT, le message est simple.

Inventoriez. Auditez. Remplacez le SMS comme facteur d'authentification. Intégrez les objets connectés dans vos politiques de sécurité mobile.

Pas parce qu'une attaque est imminente. Parce que les menaces qui font le plus de dégâts sont toujours celles qu'on n'avait pas pensé à surveiller.

La carte SIM vient de rejoindre cette liste.