Une perte de réseau inexpliquée pendant quelques minutes, puis un compte bancaire vidé avant la fin de la journée : c’est le scénario que redoutent de plus en plus de titulaires de lignes mobiles françaises. Le SIM swapping, ou détournement de carte SIM, connaît une recrudescence signalée par les services de gendarmerie durant l’été 2026. Cette fraude mobilise plusieurs qualifications du Code pénal et engage la responsabilité potentielle de la banque comme de l’opérateur téléphonique.

I – C’EST QUOI LE SIM SWAPPING ?

Le SIM swapping désigne la prise de contrôle frauduleuse d’un numéro de téléphone mobile par un tiers, obtenue en trompant l’opérateur télécom du titulaire légitime. L’auteur ne pirate pas directement le téléphone : il convainc l’opérateur de transférer la ligne vers une carte SIM ou une eSIM qu’il contrôle, en se faisant passer pour l’abonné.

L’opération se déroule en deux temps distincts. La collecte d’informations personnelles précède toujours l’attaque : nom, date de naissance, adresse, parfois numéro de sécurité sociale, obtenus par hameçonnage, par une fuite de données antérieure ou par une recherche méthodique sur les réseaux sociaux. Ces éléments permettent ensuite de solliciter l’opérateur, par téléphone ou en boutique, en prétextant la perte, le vol ou le dysfonctionnement de la carte SIM d’origine.

Une fois la portabilité frauduleuse effectuée, la ligne de la victime cesse immédiatement de fonctionner. Tous les appels et SMS destinés au titulaire légitime basculent vers le terminal de l’auteur, codes d’authentification bancaire par SMS et codes 3D Secure compris. L’accès à l’espace bancaire en ligne, combiné à ces codes, permet d’initier des virements instantanés en quelques minutes.

Certains signes doivent alerter sans délai : une perte de réseau brutale et durable sans explication technique connue, un SMS confirmant l’activation d’une nouvelle carte SIM jamais commandée, une impossibilité soudaine de passer un appel ou d’envoyer un SMS, ou une alerte de connexion inconnue sur une application bancaire. Réagir dans l’heure qui suit ces signaux réduit considérablement le préjudice financier.

II – LE RISQUE PÉNAL LIÉ AU SIM SWAPPING

Le SIM swapping ne relève pas d’une seule infraction mais d’un enchaînement de qualifications pénales cumulables, chacune protégeant un intérêt juridique distinct.

L’usurpation de l’identité de la victime auprès du service client de l’opérateur, par l’usage de son nom, de sa date de naissance et de son adresse, caractérise le délit prévu par l’article 226-4-1 du Code pénal, puni d’un an d’emprisonnement et de 15.000 euros d’amende.

La connexion non autorisée à l’espace client bancaire de la victime relève ensuite de l’accès frauduleux à un système de traitement automatisé de données, réprimé par l’article 323-1 du Code pénal à hauteur de trois ans d’emprisonnement et 100.000 euros d’amende. La peine grimpe à cinq ans et 150.000 euros dès lors que l’intrusion s’accompagne d’une extraction ou d’une modification de données, en application de l’article 323-3 du Code pénal.

La qualification la plus lourde reste toutefois celle d‘escroquerie. Les manœuvres frauduleuses déployées successivement auprès de l’opérateur puis de la banque, destinées à obtenir la remise de fonds au préjudice de la victime, relèvent de l’article 313-1 du Code pénal, puni de cinq ans d’emprisonnement et 375.000 euros d’amende. Cette peine grimpe à dix ans d’emprisonnement et un million d’euros d’amende lorsque les faits sont commis en bande organisée, en application de l’article 313-2 du Code pénal, ce qui correspond au mode opératoire habituel de ces fraudes structurées à l’échelle régionale voire internationale.

Lorsque plusieurs individus s’organisent en amont pour préparer ce type d’opérations, la qualification autonome d’association de malfaiteurs, prévue par l’article 450-1 du Code pénal, peut également être retenue indépendamment de la commission effective de l’escroquerie. Cette qualification et la circonstance aggravante de bande organisée peuvent, selon la Chambre criminelle de la Cour de cassation, se cumuler.

Une seconde circonstance aggravante mérite attention : lorsque la vulnérabilité de la victime, liée à son âge, est apparente ou connue de l’auteur, l’escroquerie est punie de sept ans d’emprisonnement et 750.000 euros d’amende en application de l’article 313-2, 4° du Code pénal. Les personnes âgées, moins familières des alertes de sécurité numérique et souvent seules face à leur opérateur, constituent une cible identifiée de ces réseaux, comme l’illustre le cas exposé plus bas d’une abonnée octogénaire.

Les fonds détournés transitent rarement directement vers l’auteur : ils sont le plus souvent réceptionnés par des tiers recrutés pour prêter leur compte bancaire, parfois à leur insu, parfois en toute connaissance de cause. Le fait de bénéficier, en connaissance de cause, du produit de cette escroquerie caractérise le recel prévu par l’article 321-1 du Code pénal, puni de cinq ans d’emprisonnement et 375.000 euros d’amende. Cette qualification élargit le champ des personnes susceptibles d’être poursuivies au-delà du seul auteur de l’usurpation initiale.

III – BIEN AGIR EN CAS DE SIM SWAPPING

3.1. LES BONS RÉFLEXES À ADOPTER

3.1.1. Les démarches auprès de son établissement bancaire

Le signalement à la banque constitue la priorité absolue dès la détection de l’attaque, avant toute autre démarche. Ce signalement fait courir l’obligation de remboursement immédiat prévue par l’article L133-18 du Code monétaire et financier : la banque doit restituer le montant de l’opération non autorisée au plus tard le premier jour ouvrable suivant.

Ce signalement doit intervenir sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion prévue par l’article L133-24 du Code monétaire et financier. La charge de la preuve pèse ensuite sur l’établissement bancaire, conformément à l’article L133-23 : c’est à lui de démontrer, s’il entend refuser le remboursement, que la victime a commis une négligence grave au sens de l’article L133-19 du Code monétaire et financier. Conserver une trace écrite de ce premier contact, avec la date et l’heure exactes, sécurise ce point de départ.

3.1.2. Réunir des éléments de preuve

L’opérateur téléphonique conserve les pièces utiles à la reconstitution de la fraude, vidéos de boutique, copie de la pièce d’identité présentée par l’auteur, enregistrements des appels au service client, mais ces éléments disparaissent généralement entre un et trois ans selon les politiques internes de conservation des données. Demander par écrit, dès les premiers jours, la conservation de ces pièces évite qu’elles ne soient supprimées avant qu’une procédure ne les réclame.

La victime a également intérêt à conserver toute capture d’écran utile : SMS confirmant l’activation d’une carte SIM non commandée, alertes bancaires de connexion inconnue, historique des appels infructueux passés à son opérateur. Chaque échange avec la banque et avec l’opérateur mérite d’être daté et archivé.

3.1.3. Déposer plainte dans les meilleurs délais

Le dépôt de plainte ouvre l’enquête, même lorsque l’auteur reste inconnu au moment des faits. Pour la plupart des escroqueries commises sur internet, la plateforme THESEE permet un dépôt en ligne via FranceConnect. Le SIM swapping combine toutefois une usurpation d’identité auprès d’un opérateur physique, des montants souvent élevés et, fréquemment, un mode opératoire structuré : un déplacement en commissariat ou en brigade de gendarmerie reste dans ces circonstances la voie la plus adaptée pour garantir la qualité du procès-verbal et la coordination avec les réquisitions judiciaires adressées à l’opérateur et à la banque.

Le récépissé de dépôt de plainte constitue ensuite une pièce déterminante dans les échanges avec la banque, l’opérateur ou l’assureur, chacun pouvant conditionner l’instruction du dossier à sa production.

3.2. OBTENIR UNE INDEMNISATION

Le remboursement par la banque demeure la voie la plus directe et la mieux consacrée par la jurisprudence récente. 

L’opérateur téléphonique peut également voir sa responsabilité retenue lorsque la portabilité frauduleuse résulte d’une vérification d’identité insuffisante, le relevé d’identité opérateur étant censé sécuriser cette opération depuis la décision de l’ARCEP du 6 décembre 2022, homologuée par arrêté du 15 mars 2023 et entrée en vigueur le 1er décembre 2023.

En cas de refus de remboursement, la saisine du médiateur bancaire, gratuite et accessible via les conditions générales du contrat, permet souvent de débloquer la situation en amont d’une action judiciaire, le médiateur rendant généralement son avis sous 90 jours. Certains contrats d’assurance multirisque habitation comportent une garantie spécifique contre la fraude aux moyens de paiement ou l’usurpation d’identité numérique, qu’il convient de vérifier avant même la survenue d’un sinistre.

Le risque ne se limite pas aux particuliers. Lorsque la ligne détournée est celle d’un dirigeant utilisée pour authentifier les accès bancaires de l’entreprise, le préjudice touche directement la trésorerie de la structure et non plus seulement son patrimoine personnel. Cette vulnérabilité s’intègre à la cartographie des risques pénaux numériques que le cabinet établit lors d’un audit pénal d’entreprise, au même titre que les autres expositions liées à la cybercriminalité visant les professionnels.

La constitution de partie civile dans le cadre de la procédure pénale ouverte contre l’auteur, lorsqu’il est identifié, offre une voie supplémentaire, quoique subordonnée à sa solvabilité réelle. 

QUESTIONS FRÉQUENTES

Le SIM swapping constitue-t-il une infraction pénale en France ?
Oui. Les faits relèvent cumulativement de l’usurpation d’identité (article 226-4-1 du Code pénal), de l’accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal) et de l’escroquerie (article 313-1 du Code pénal), cette dernière qualification étant aggravée en cas de bande organisée ou de victime vulnérable.

Ma banque est-elle obligée de me rembourser après un SIM swapping ?
En principe oui. L’article L133-18 du Code monétaire et financier impose au prestataire de services de paiement de rembourser immédiatement toute opération non autorisée dûment signalée, sauf s’il démontre une négligence grave de la victime, ce que plusieursdécisions récentes de cours d’appel ont écarté lorsque la victime avait réagi promptement.

Dans quel délai dois-je signaler l’opération frauduleuse à ma banque ?
Le signalement doit intervenir sans tarder et, en tout état de cause, dans les treize mois suivant la date du débit litigieux, sous peine de forclusion en application de l’article L133-24 du Code monétaire et financier. Plus le signalement est rapide, plus la négligence grave est difficile à établir contre la victime.

Dois-je porter plainte même si ma banque me rembourse rapidement ?
Oui. Le dépôt de plainte alimente l’enquête pénale, permet d’identifier l’auteur ou le réseau à l’origine des faits et constitue une pièce souvent exigée par l’opérateur téléphonique ou l’assureur pour instruire une demande complémentaire d’indemnisation.

L’opérateur téléphonique peut-il être tenu pour responsable ?
Sa responsabilité peut être recherchée lorsque la portabilité ou l’activation d’une nouvelle carte SIM a été accordée sans vérification suffisante de l’identité du demandeur, en méconnaissance du cadre fixé par la décision de l’ARCEP relative à la conservation des numéros.

Comment démontrer que je n’ai pas commis de négligence grave ?
La rapidité de réaction constitue l’élément central : contact immédiat avec l’opérateur et la banque, déplacement en boutique dès la détection de l’anomalie, conservation de tous les échanges écrits. La charge de la preuve de la négligence grave incombe légalement à la banque, non à la victime.

Les personnes qui reçoivent les fonds volés risquent-elles des poursuites ?
Oui. Les tiers qui acceptent sciemment de recevoir les fonds détournés sur leur compte bancaire, parfois qualifiés de mules bancaires, s’exposent au délit de recel prévu par l’article 321-1 du Code pénal, puni de cinq ans d’emprisonnement et 375 000 euros d’amende,indépendamment des poursuites engagées contre l’auteur de l’escroquerie.

Ai-je encore un recours si je découvre la fraude plusieurs années après les faits ?
Cela dépend des circonstances. Le délai de prescription est en principe de six ans à compter des faits, mais la Cour de cassation a ouvert, par un arrêt du 25 mars 2026, la possibilité de reporter ce point de départ lorsque l’auteur a accompli des actes destinés à dissimuler l’infraction, ce qui peut correspondre au mécanisme même du SIM swapping. Un examen individualisé du dossier reste indispensable.