Les SMS peuvent-ils être interceptés ? Méthodes écoute & protections
Oui. Les SMS/MMS (non chiffrés) et même les messages chiffrés (iMessage, Signal, WhatsApp) peuvent être interceptés — mais la **surface d'attaque, coût et légalité diffèrent radicalement**.
Vecteurs d'interception (Taxonomie technique)
| Vecteur | Cible | Mécanisme | Accès requis | Coût / Compétence | Contournement chiffrement ? |
|---|---|---|---|---|---|
| Attaque signalisation SS7 / Diameter | SMS (SS7), Voix (Diameter) | Exploite confiance protocoles itinérance télécom pour rediriger SMS/voix. | Accès réseau SS7 (opérateur, hub itinérance, nœud piraté) | Élevé (État-nation / crime organisé) | ✅ SMS (clair). ❌ iMessage/Signal (E2EE). |
| IMSI Catcher (Stingray / Simulateur station de base) | Tout trafic cellulaire (2G/3G/4G) | Fausse station de base → force downgrade 2G (A5/1 cassable) ou capture IMSI/localisation. | Proximité physique (matériel 10k $–500k $) | Élevé (Forces ordre, renseignement, sécurité corporate) | ✅ 2G SMS/Voix. ❌ 4G/5G (auth mutuelle). ❌ Apps E2EE. |
| Malware / Spyware (Pegasus, Predator, mSpy, FlexiSPY) | Appareil (toutes apps) | Exploit zero-clic (iMessage, WebKit) ou 1-clic lien → implant → keylog, screen scrape, dump DB, micro/cam. | Appareil cible (à distance ou physique) | Très élevé (100k $–1M $+ pour 0-day) ; Faible (50 $/mois spyware grand public avec accès physique) | ✅ **Tous** — lit clair *avant* chiffrement / *après* déchiffrement sur appareil. |
| Interception légale opérateur / LEO (CALEA / ETSI LI / SORM) | SMS, Voix, Métadonnées (IP, IMEI, localisation) | Dispositif médiation au MSC/SMSC/IMS → flux dupliqué vers LEA. | Mandat légal / ordonnance tribunal (variable pays) | Institutionnel | ✅ SMS/Voix (clair). ❌ Contenu E2EE (Apple/Google/Signal ne peuvent déchiffrer). Métadonnées seulement. |
| SIM Swap / Fraude portabilité | Codes SMS 2FA, Prise contrôle compte | Ingénierie sociale opérateur → porte numéro victime vers SIM attaquant. | PII victime (SSN, DOB, facturation) | Faible (ingénierie sociale) | ✅ SMS OTP. ❌ 2FA app (TOTP, Push). |
| Accès physique / Extraction sauvegarde | Sauvegardes appareil (iCloud, iTunes, Google Drive) | Extraction backup → déchiffre (si pas mot de passe / faible) → lit bases SMS/iMessage/WA. | Appareil + code accès / identifiants Apple ID | Faible–Moyen | ✅ Si backup non chiffré / mot de passe craqué. ❌ iCloud Protection données avancée (E2EE). |
| Fuite notification / Écran verrouillé | Aperçu message | Surveillance épaule / aperçu écran verrouillé / miroir montre connectée. | Proximité visuelle | Zéro | ✅ Aperçu clair. |
Hiérarchie protections (Plus fort → Base)
- Messagerie E2EE (Signal, WhatsApp, iMessage, Threema, Session) : Contenu illisible par opérateur, FAI, plateforme, LEO (avec mandat). **Vérifiez numéros sécurité.**
- Mode Verrouillage (iOS 16+) / Android durci : Réduit surface attaque (pas aperçus liens, pas FaceTime inconnu, pas profils config).
- 2FA matériel (YubiKey, Passkeys) : Bat SIM swap / phishing.
- Désactivez SMS 2FA partout possible. Utilisez TOTP (Authy, Bitwarden, Google Auth) ou Passkeys.
- MAJ auto OS / Apps. Patch 0-days vite.
- Verrouillage écran (6 chiffres + biométrique). Chiffre stockage (File-Based Encryption / Data Protection).
- Masquez contenu notifications écran verrouillé.
- VPN (WireGuard) sur réseaux non fiables. Cache métadonnées FAI local.
- Protection données avancée (iCloud E2EE) / Sauvegardes chiffrées.
Cadre légal (Exemple US)
- Wiretap Act (18 USC 2511) : Criminalise interception *intentionnelle* comms fil/oral/électronique. **Exceptions :** Exception fournisseur (ops opérateur), Consentement (1 partie dans 38 états, toutes parties dans 12), LEO avec ordonnance Title III.
- ECPA / SCA : Comms stockées (email, SMS sur serveur) — mandat pour contenu < 180 jours, assignation > 180 jours (contesté).
- Lois états : CA (CIPA), IL (BIPA), WA — plus strictes.
Si vous suspectez compromission : Reset usine (DFU pour iOS) → Restaurez depuis backup *connu sain* → Activez Mode Verrouillage → Rotate tous mots de passe + 2FA → Contactez avocat si ciblé.