La cybercriminalité liée à l'échange de cartes SIM ne se limite plus aux banques. Une décision récente en Espagne a également mis en lumière le rôle des opérateurs téléphoniques, les tribunaux exigeant désormais d'eux un niveau de sécurité bien plus élevé lorsque leurs procédures facilitent la fraude financière.
Dans un environnement où les finances personnelles sont gérées presque entièrement via téléphone portable , la décision du tribunal de première instance n° 44 de Madrid constitue un avertissement clair : si une portabilité ou une carte SIM dupliquée est traitée sans contrôles adéquats et que cela permet de vider des comptes bancaires, l'opérateur téléphonique peut finir par payer la facture avec la banque.
Affaire de Madrid : utilisation frauduleuse de numéros de téléphone portables et vol de plus de 4 000 euros
L'affaire examinée par le tribunal de Madrid débute par un transfert frauduleux de numéro de téléphone de Movistar vers Lowi (une marque de Vodafone) que le titulaire de la ligne n'a jamais demandé. Un tiers est parvenu à faire délivrer une carte SIM dupliquée à la victime et à l'activer sur une nouvelle ligne à son nom, sans que son identité ne soit vérifiée de manière fiable.
La ligne étant désormais sous le contrôle des criminels, ils ont pu recevoir les SMS et les codes de vérification nécessaires pour accéder aux services bancaires en ligne de WiZink. Ils ont modifié les identifiants de connexion, demandé de nouveaux mots de passe et effectué plusieurs transactions à l'aide de deux cartes de crédit liées au compte du client.
Au total, des transactions non autorisées d'un montant de 4 047,91 € ont été effectuées en trois transactions distinctes. Le client était en voyage à l'étranger au moment des faits et n'avait donc pas accès à sa ligne téléphonique habituelle, qui avait été piratée.
La partie lésée a détecté des transactions non autorisées sur d'autres comptes et a alerté la police ainsi que les organismes concernés ( recouvrement des fonds ). WiZink a d'abord remboursé les transactions, avant de les rétablir, prétextant une escroquerie orchestrée par un tiers et déclinant toute responsabilité.
Face à cette situation, l'Association des utilisateurs de services financiers (Asufin) a pris en charge la défense des consommateurs et a intenté une action en justice contre WiZink et Vodafone-Lowi, arguant que la fraude était due à de graves failles de sécurité dans la portabilité des numéros et l'authentification des paiements . Le juge a finalement statué en leur faveur sur tous les points.
Pourquoi les tribunaux pointent du doigt les opérateurs : des contrôles d’identité « vraiment laxistes »
L'un des aspects les plus marquants de cette décision est la fermeté avec laquelle le tribunal critique les protocoles de Lowi. Le jugement considère comme établi que l'entreprise n'exigeait pas d'identification effective lors du traitement des demandes de portabilité des numéros ni lors de l'envoi des cartes SIM de remplacement , se contentant de fournir une adresse postale de livraison — un problème lié à des défaillances dans la vérification par l'opérateur.
Le juge a qualifié les exigences de « très laxistes » par rapport à celles des autres opérateurs de télécommunications et a souligné qu'en pratique, n'importe qui pouvait recevoir la nouvelle carte SIM à l'adresse indiquée , sans avoir à prouver qu'il était le titulaire du compte. Le tribunal a considéré cela comme une « grave faille de sécurité » à l'heure où les téléphones mobiles sont indispensables pour accéder aux services bancaires en ligne.
L'argumentation souligne également que Vodafone a déjà été sanctionné pour usurpation d'identité et duplication frauduleuse de cartes SIM . L'Agence espagnole de protection des données (AEPD) a déjà infligé à l'entreprise une amende de quatre millions d'euros pour avoir autorisé l'émission de cartes SIM au nom de tiers, ce qui a entraîné diverses fraudes bancaires.
Dans cette nouvelle affaire, le tribunal considère qu'il existe un lien de causalité direct entre la négligence de l'opérateur et la réussite de la fraude . Selon le juge, si la procédure de portabilité du numéro n'avait pas été gérée sans garanties, il aurait été impossible de prendre le contrôle de la ligne, d'intercepter les codes SMS ou d'accéder aux services bancaires en ligne du client.
La décision note également que, malgré la connaissance depuis des années de la prolifération des échanges de cartes SIM , des mesures suffisantes n'avaient pas été prises pour garantir le processus de portabilité et l'émission de cartes SIM en double, ce qui aggrave l'appréciation du comportement de l'opérateur.
Responsabilité de WiZink : défaillances dans l’authentification forte des paiements
La banque n'est pas épargnée non plus. Le tribunal considère que WiZink n'a pas respecté les exigences d'authentification forte du client , soulignant l'importance de l'authentification par selfie . La réglementation des services de paiement dans l'Union européenne impose la combinaison de plusieurs éléments de sécurité indépendants (connaissance, possession et biométrie, par exemple).
Plus précisément, la décision souligne que la banque n'a pas détecté que l'élément de « possession » avait été compromis : le terminal validant les transactions n'était plus entre les mains du propriétaire légitime, mais celles du fraudeur qui avait dupliqué la carte SIM. Malgré cela, le système a permis des changements de mot de passe et des transactions sans déclencher d'alerte.
Cette décision met également en lumière la facilité avec laquelle les identifiants pouvaient être modifiés à l'aide de simples données telles que la carte d'identité de la personne concernée, ce qui, combiné à l'usurpation de la ligne mobile, a ouvert la voie à une liberté quasi totale pour les cybercriminels.
De l'avis du tribunal, WiZink n'a pas démontré que les transactions avaient été effectuées avec un niveau de sécurité adéquat, ni fourni la documentation technique requise concernant les systèmes d'authentification, les appareils utilisés ou les journaux d'accès internes. Ce manque de preuves joue en sa défaveur.
Le juge a statué que l'insécurité liée à la portabilité des numéros et l'absence de contrôles de paiement rigoureux avaient contribué au préjudice et qu'il n'était donc pas approprié de répartir les responsabilités. Les deux entités doivent être tenues conjointement responsables du préjudice subi par le client.
Condamnation commune : banques et opérateurs télécoms, unis face à l'échange de cartes SIM
L'arrêt du tribunal de première instance n° 44 de Madrid ne se contente pas d'ordonner la restitution des sommes détournées. Il déclare WiZink et Vodafone-Lowi solidairement responsables de la fraude, ce qui signifie que chacune des deux sociétés peut être contrainte de payer l'intégralité du montant, majoré des intérêts légaux et des frais de justice, et ensuite engager une action en justice contre l'autre si elle le juge opportun.
La décision souligne que « sans portabilité, l'accès à WiZink aurait été impossible, et sans la violation de contrat par WiZink, les dispositions n'auraient pas été prises ». Autrement dit, ces deux actes de négligence étaient indispensables à la perpétration de la fraude.
Pour Asufin, cet élément est fondamental car il remet en question l'idée que seules les banques devraient supporter les conséquences juridiques de la fraude numérique. L'association soutient depuis longtemps que, dans un système financier entièrement numérisé, tous les intermédiaires technologiques impliqués dans la chaîne de paiement doivent partager la responsabilité lorsque leurs actions ouvrent la voie à la criminalité.
La décision met également en lumière le comportement de la partie lésée : le tribunal comprend que le client a agi avec diligence, n’a pas été négligent avec ses données et a signalé la fraude dès qu’il en a eu connaissance, ce qui exclut toute tentative de lui imputer une partie de la responsabilité.
Bien que la décision puisse faire l'objet d'un appel dans un délai de vingt jours, sa portée symbolique est claire : elle crée un précédent important dans la lutte contre l'échange de cartes SIM en Espagne et envoie un message clair aux banques et aux opérateurs de télécommunications quant à leur obligation de renforcer leurs systèmes.
Un problème croissant : Digi, Orange et O2 sanctionnés pour des manquements similaires
L'affaire WiZink et Vodafone-Lowi n'est pas un cas isolé. Parallèlement à cette décision, l'Agence espagnole de protection des données (AEPD) a dressé un historique de sanctions contre plusieurs opérateurs de télécommunications pour de graves manquements dans leurs procédures de vérification d'identité et dans le traitement des demandes frauduleuses de portabilité des numéros.
Parmi les décisions les plus récentes figure une amende de 200 000 € infligée à Digi pour une affaire d'échange de carte SIM. Un tiers avait obtenu une carte SIM dupliquée sans que l'entreprise ait vérifié l'identité du demandeur. Le procédé était similaire : la ligne étant enregistrée à son nom, l'auteur de la fraude pouvait accéder aux services bancaires en ligne de la victime et les utiliser à sa place.
Cette amende s'ajoute à une autre sanction de 150 000 € infligée au même opérateur pour une infraction grave au Règlement général sur la protection des données (RGPD). Dans cette affaire, un contrat frauduleux avait été enregistré, et la personne concernée avait ensuite été indûment fichée dans des bases de données de recouvrement de créances pour une dette qu'elle n'avait jamais contractée.
Orange a également fait l'objet d'un examen minutieux. L'Audience nationale a confirmé que l'entreprise avait enfreint la réglementation sur la protection des données en délivrant des cartes SIM en double sans vérifier correctement l'identité du demandeur, lors d'incidents survenus entre 2019 et 2020. Bien que l'Agence espagnole de protection des données (AEPD) ait initialement infligé une amende de 700 000 €, le tribunal l'a ramenée à 300 000 € compte tenu de la rapidité avec laquelle l'entreprise a réagi, notamment en supprimant les bornes libre-service et en renforçant ses protocoles d'activation.
De son côté, O2 a enregistré le premier cas d'échange d'eSIM détecté par l'Agence espagnole de protection des données (AEPD) en 2023. Lors de cet incident, les attaquants ont modifié l'adresse électronique de contact du client et demandé une copie virtuelle de sa ligne. S'agissant d'une eSIM, l'activation a été réalisée à distance, sans carte physique, profitant de la faiblesse des procédures de validation pour prendre le contrôle total du numéro et, par conséquent, des services associés.
Réponse institutionnelle : du Forum des bonnes pratiques à la brigade anti-fraude
La multiplication des fraudes et des sanctions a finalement inscrit l'échange de cartes SIM au cœur des préoccupations politiques et réglementaires . Asufin, qui a porté de nombreuses affaires devant les tribunaux, est membre du Forum des bonnes pratiques financières créé par le ministère de l'Économie, du Commerce et des Entreprises en 2022.
Depuis cette plateforme, l'association milite pour que la fraude financière soit considérée comme l'un des problèmes les plus urgents pour les consommateurs et pour des mesures coordonnées avec les nouvelles autorités fiscales . L'objectif est que les banques, les opérateurs de télécommunications et les autorités coordonnent des mesures concrètes, tant préventives qu'indemnisatives, pour les victimes.
À l'issue de la dernière session de ce forum, qui s'est tenue le 10 décembre, le ministre de l'Économie, Carlos Cuerpo, a annoncé la création d'une unité antifraude spécialisée dans la cybercriminalité financière . Cette unité bénéficiera de la participation directe du secteur des télécommunications, reconnaissant que le problème ne peut plus être appréhendé uniquement sous l'angle bancaire.
L'arrêt du tribunal de Madrid s'inscrit parfaitement dans cette stratégie : il conforte l'idée que la sécurité des données et des communications est une obligation légale , et non un simple accessoire du service. En cas de défaillance des protocoles, le coût économique de l'infraction peut retomber directement sur les entreprises.
Pour les utilisateurs, ces mesures constituent un progrès dans la protection contre des escroqueries de plus en plus sophistiquées. On espère que, face au risque de devoir verser des millions d'euros en dédommagements et amendes, les nouvelles techniques antifraude et les améliorations technologiques inciteront les banques et les opérateurs télécoms à renforcer leurs normes de sécurité et à réagir plus rapidement en cas de signalement de transactions suspectes.
L'ensemble de cette activité juridique et réglementaire dresse le tableau d' une fraude qui cesse d'être un cas isolé, sans coupables clairement identifiés, pour devenir un problème partagé par l'ensemble de l'écosystème numérique : de l'opérateur gérant la ligne à l'entité autorisant les paiements, en passant par les autorités de régulation qui fixent les règles du jeu. Et, bien qu'il reste encore du chemin à parcourir, les dernières décisions indiquent que ceux qui ne sécurisent pas leurs processus auront de moins en moins de marge de manœuvre pour fermer les yeux lorsqu'un compte client est vidé après une simple duplication de carte SIM.
