Tu ne voles pas son mot de passe. Tu voles son numéro de téléphone.

Par /

Décryptage

Tu es assis devant ton écran. T’as son nom, son adresse, sa date de naissance, pis le nom de sa compagnie de cellulaire. C’est tout ce que ça te prend. Dans 30 minutes, ses comptes vont être à toi.

La matière première

Tu commences pas par elle. Tu commences par une liste.

Une fuite de données quelque part — un site de commerce, une clinique, un vieux forum. Des millions de lignes qui traînent, revendues pour presque rien. Nom, courriel, adresse, date de naissance, numéro de cellulaire. Tu paies, tu télécharges, tu tries.

Ensuite tu vas sur Facebook pis Instagram. Gratuit, celui-là. Le nom de son chien. Le nom de jeune fille de sa mère (merci les publications de fête). La ville où elle a grandi. Les réponses aux questions de sécurité sont pratiquement toutes là, offertes.

Ton profil de cible, tu le construis pas en piratant quoi que ce soit. Tu le construis en lisant.

Ce que tu cherches vraiment, c’est un détail précis : son fournisseur. Un vieux courriel de facturation dans une fuite, une photo où on voit le logo sur son écran, n’importe quoi. Parce que la prochaine étape, c’est un appel — pis tu veux pas te tromper de compagnie.

L’appel

Là, c’est plus de l’informatique. C’est du théâtre.

Tu appelles le service à la clientèle. T’as pas besoin d’être bon. T’as juste besoin d’être ordinaire — un gars pressé qui vient d’échapper son téléphone dans le bain, qui a acheté un appareil neuf, pis qui voudrait ben transférer sa ligne. Tu récites les infos que t’as ramassées. Adresse. Date de naissance. Peut-être les quatre derniers chiffres d’une carte.

De l’autre bord, y a une personne payée pour régler des appels vite. Son indicateur de performance, c’est le temps de traitement, pas le taux de fraude. Elle est pas complice. Elle fait juste sa job.

Si ça bloque, tu raccroches. Tu rappelles dans 20 minutes. Tu vas tomber sur quelqu’un d’autre. Tu joues aux statistiques — pis les statistiques, elles jouent pour toi.

(Pis dans les vrais réseaux, y a une autre porte : quelqu’un à l’interne, payé quelques centaines de dollars par transfert. Ça, c’est documenté dans plusieurs dossiers judiciaires. Pas besoin de convaincre personne quand t’as déjà acheté la personne.)

Les trente minutes

Le transfert passe. Son téléphone à elle affiche « Aucun service ».

Elle va penser à une panne. C’est normal, tout le monde pense à une panne. Elle va peut-être redémarrer son appareil. Ça va lui prendre un bon vingt minutes avant de se dire que c’est bizarre.

Vingt minutes, c’est en masse.

Tu ouvres son fournisseur de courriel. Tu cliques pas sur « se connecter ». Tu cliques sur « mot de passe oublié ». Le code arrive par texto — sur ton appareil à toi, parce que son numéro, c’est le tien maintenant. Tu changes le mot de passe.

Le courriel, c’est pas un compte. C’est le trousseau de clés.

À partir de là tu fais le tour : banque, application d’investissement, crypto si elle en a, comptes de magasinage avec des cartes enregistrées. Chaque fois, la même mécanique. « Mot de passe oublié ». Code par texto ou par courriel. Les deux passent par toi.

T’as jamais deviné un seul mot de passe. T’en avais pas besoin.

Pendant qu’elle appelle son fournisseur d’une autre ligne, toi t’es déjà rendu ailleurs.

🎯 Pourquoi ça marche

  • Le SMS a jamais été conçu pour l’authentification. C’est un protocole des années 80 pour envoyer du texte. On lui a greffé un rôle de gardien de sécurité qu’il est pas capable de jouer.
  • Le numéro de téléphone est devenu la clé maîtresse. Banques, courriels, réseaux sociaux : presque tout le monde l’utilise comme méthode de récupération. Une seule clé pour toutes les portes.
  • Le maillon faible est humain, pas technique. Y a pas de faille à exploiter. Y a un employé au bout du fil avec un quota d’appels.
  • Le délai de réaction joue contre la victime. « Aucun service », ça ressemble à une panne. Personne pense « on est en train de me voler » en première hypothèse.
  • La pile de comptes est en cascade. Le courriel déverrouille tout le reste. Un seul point de rupture, pis toute la structure tombe.

🚩 Les signaux

  • Ton téléphone perd le service d’un coup, sans raison, en pleine zone couverte. C’est le signal numéro un. Pas dans un sous-sol, pas en région — chez vous, en ville, à 14h un mardi.
  • Un texto ou un courriel de ton fournisseur que t’as pas demandé : confirmation de transfert, changement de carte SIM, activation d’appareil. Même si ça dit « si ce n’est pas vous, ignorez ce message ». Surtout dans ce temps-là.
  • Des courriels de réinitialisation de mot de passe pour des comptes que t’as pas touchés.
  • Ton entourage reçoit des messages de toi que t’as jamais envoyés.

✅ Comment fermer la porte

  • Enlève ton numéro de cellulaire comme méthode de récupération sur ton courriel principal. C’est le geste le plus important de la liste, pis c’est celui que presque personne fait. Tant que ton téléphone peut ouvrir ta boîte courriel, ton téléphone est ton point faible.
  • Passe à une application d’authentification (Google Authenticator, Aegis, Ente Auth) plutôt qu’aux codes par SMS, partout où c’est offert. Petit détail qui compte : si tu mets tes mots de passe ET tes codes 2FA dans le même gestionnaire, t’as plus deux facteurs, t’en as un. Garde-les séparés.
  • Appelle ton fournisseur et demande ce qui existe chez eux. Attention : au Canada, y a pas de verrouillage de transfert universel comme aux États-Unis. Chez Rogers, Fido et chatr, un transfert déclenche un texto de confirmation auquel il faut répondre « OUI » — ça protège seulement si ton appareil est encore allumé et connecté. Chez Bell, Telus et Vidéotron, tu peux généralement ajouter un mot de passe verbal ou un NIP au dossier. Demande-le nommément, insiste, pis note la date de l’appel.
  • Si le service coupe, appelle d’une autre ligne tout de suite. Pas dans une heure. Le téléphone d’un voisin, le cellulaire de ton conjoint, n’importe quoi. Demande si un transfert a été demandé sur ton compte.
  • Des mots de passe uniques partout, dans un gestionnaire. Ça empêche pas le SIM swap, mais ça empêche l’effet domino quand une seule fuite sort.

💬 Le mot de la fin

Ce qui me frappe dans ce type d’arnaque là, c’est qu’y a rien de brillant dedans. Zéro piratage. Zéro virus. Un gars qui lit des données volées pis qui fait un appel téléphonique convaincant.

Le vrai problème, c’est qu’on a tous accepté, sans jamais y penser, que notre numéro de téléphone devienne la pièce d’identité qui ouvre tout. Une pièce d’identité qu’un employé du service à la clientèle peut transférer à un inconnu en quinze minutes.

Ton numéro de téléphone, c’est pas une preuve d’identité. Arrête de t’en servir comme si c’en était une.

📚 Ressources utiles

Les « Décryptages » sont des reconstructions pédagogiques de méthodes d’arnaque réelles. Aucune des techniques décrites n’est encouragée — au contraire, comprendre comment fonctionne une arnaque est la meilleure manière de ne pas y tomber. Toutes les informations sont basées sur des cas documentés par les centres antifraude, des témoignages publics, et mes 27 ans d’expérience dans le domaine de l’informatique.

Écrit par Éric, technicien informatique depuis 27 ans, fondateur de Bcisolutions et créateur de protecteurnumerique.com.

Retour en haut