En bref : à retenir
SMS, application TOTP, passkey ou clé FIDO2 : choisissez la bonne 2FA, limitez le SIM swapping et préparez la récupération de vos comptes.
Guide vérifié et mis à jour le 1er septembre 2026.
Votre téléphone n’a soudainement plus de réseau. Quelques minutes plus tard, un tiers reçoit à votre place les SMS envoyés à votre numéro. S’il connaît déjà le mot de passe de votre messagerie, ces codes peuvent lui ouvrir l’accès au compte, puis aux services qui utilisent cette adresse pour réinitialiser leurs identifiants.
Cette attaque porte le nom de SIM swapping, ou remplacement frauduleux de carte SIM. Elle ne consiste pas nécessairement à copier physiquement votre carte. L’attaquant cherche plutôt à convaincre l’opérateur de transférer le numéro vers une autre SIM ou eSIM, ou à effectuer un portage frauduleux. L’eSIM n’est donc pas le problème en elle-même : le point faible se trouve souvent dans la récupération du compte opérateur et la vérification de l’identité.
La bonne réponse n’est pas d’abandonner toute authentification à deux facteurs. Elle consiste à protéger en priorité les comptes qui permettent de récupérer les autres, puis à remplacer progressivement le SMS par une méthode plus résistante au hameçonnage.
Cet article prolonge notre guide simple de cybersécurité avec une méthode concrète pour choisir, activer et surtout récupérer une protection 2FA.
La réponse en 30 secondes
Activez au minimum une seconde vérification sur votre messagerie, votre gestionnaire de mots de passe, vos comptes administrateurs, votre compte opérateur et vos services financiers. Si un service ne propose que le SMS, utilisez-le plutôt que de rester avec le seul mot de passe, mais ajoutez un code PIN au compte opérateur et migrez dès qu’une option plus robuste devient disponible.
Quand le service le permet, préférez une passkey ou une clé de sécurité FIDO2/WebAuthn : ces méthodes vérifient le véritable site et résistent mieux au hameçonnage. Une application TOTP reste un très bon compromis pratique, à condition de protéger sa sauvegarde et ses codes de récupération.
Enfin, enregistrez toujours une seconde méthode avant de fermer la page. La sécurité d’un compte dépend autant de la connexion que du scénario de perte du téléphone.
Deux facteurs ne signifient pas deux mots de passe
L’authentification multifacteur combine des preuves de catégories différentes : quelque chose que vous connaissez, quelque chose que vous possédez ou quelque chose que vous êtes. Un mot de passe et une question secrète appartiennent tous deux à la première catégorie ; les additionner ne crée pas une véritable 2FA.
Dans un parcours courant, le mot de passe constitue le premier facteur. Le second peut être un téléphone qui génère un code, une clé physique, une passkey protégée par le verrouillage du smartphone ou une validation biométrique liée à l’appareil.
La biométrie ne quitte généralement pas le téléphone pour être envoyée au site. Elle sert à déverrouiller une clé cryptographique conservée sur l’appareil. C’est une différence importante : le service vérifie une preuve signée, pas une copie de votre empreinte.
Toutes les méthodes 2FA ne protègent pas contre les mêmes attaques
| Méthode | Ce qu’elle améliore | Sa limite principale | Usage conseillé |
|---|---|---|---|
| Code par e-mail | Ajoute une étape simple | Si la messagerie est compromise, le facteur tombe avec elle | Secours temporaire, jamais pour protéger cette même messagerie |
| SMS ou appel | Accessible sans application | Vulnérable au SIM swapping, au portage frauduleux et au hameçonnage du code | Dernier recours lorsqu’aucune meilleure option n’existe |
| Application TOTP | Fonctionne hors réseau et n’utilise pas le numéro | Le code peut être demandé par un faux site ; perte possible sans sauvegarde | Bon niveau courant pour de nombreux services |
| Notification push | Très simple à utiliser | Fatigue MFA si l’on accepte mécaniquement ; préférer la correspondance de nombres | Environnement professionnel correctement configuré |
| Passkey sur smartphone ou ordinateur | Résiste au hameçonnage et supprime souvent le mot de passe | Dépend de la récupération du gestionnaire ou de l’écosystème choisi | Choix privilégié quand le service la propose |
| Clé physique FIDO2 | Très forte résistance au hameçonnage, séparation matérielle | Achat, transport et nécessité d’une clé de secours | Administrateurs, comptes sensibles, dirigeants, profils exposés |
Les recommandations du NIST et de la CISA classent WebAuthn/FIDO2 parmi les méthodes résistantes au hameçonnage. Les codes saisis manuellement, y compris TOTP, améliorent nettement la situation mais peuvent encore être capturés par un faux site en temps réel.
À observer : le passage au TOTP supprime la dépendance au numéro, tandis que la passkey et FIDO2 ajoutent une résistance au hameçonnage.
Pourquoi le SIM swapping contourne le SMS
Votre numéro de téléphone n’est pas physiquement attaché à une seule carte pour toujours. L’opérateur peut le transférer en cas de changement d’appareil, de perte ou de portabilité. Cette fonction légitime devient une attaque lorsqu’un tiers prend le contrôle du compte opérateur ou convainc le support qu’il est le titulaire.
Une fois le transfert réalisé, les appels et SMS arrivent sur l’appareil de l’attaquant. Celui-ci peut alors recevoir des codes de connexion ou demander une réinitialisation. Les premiers signes sont souvent une perte soudaine du réseau, des notifications de modification du compte opérateur ou des alertes de connexion inattendues.
Une eSIM peut être la destination du transfert frauduleux, exactement comme une SIM physique. Dire que « l’eSIM vole le numéro » serait trompeur : l’attaque vise surtout le processus d’identité, de récupération et de portage.
Le numéro est transféré vers un autre appareil : la faiblesse se situe dans l’autorisation de changement ou de portage, pas dans le format physique ou eSIM.
Réduire ce risque avant l’incident
Contactez votre opérateur ou ouvrez son espace client pour vérifier trois points : un mot de passe unique protège-t-il le compte, un code PIN supplémentaire est-il demandé pour les opérations sensibles, et une alerte est-elle envoyée lors d’un changement de SIM ou d’un portage ? Activez la meilleure MFA proposée pour cet espace, en évitant si possible que le SMS soit son unique protection.
Ne publiez pas inutilement votre numéro, votre date de naissance et les informations utilisées par le support pour vous reconnaître. Enfin, retirez le numéro comme méthode de récupération des comptes les plus sensibles lorsque le service autorise une passkey, une clé ou une application d’authentification à la place.
Commencer par les cinq comptes qui ouvrent les autres
Une entreprise n’a pas besoin de migrer cent services le même jour. Elle doit d’abord protéger les comptes à effet domino.
La messagerie arrive en tête, car elle reçoit les liens de réinitialisation. Viennent ensuite le gestionnaire de mots de passe, les comptes Apple, Google ou Microsoft qui synchronisent des identifiants, l’espace opérateur et les comptes administrateurs du site, du cloud, de la facturation ou des réseaux sociaux. Les services bancaires suivent leurs propres exigences, mais leurs méthodes de récupération doivent aussi être vérifiées.
Pour chaque compte, notez la méthode actuelle, la meilleure méthode proposée, l’existence d’un secours et la personne responsable. Cette petite cartographie transforme une consigne abstraite — « activer la 2FA » — en plan de migration vérifiable.
Commencez avec un inventaire très court. Il doit rester compréhensible par la personne qui reprendra le compte en votre absence.
| Compte critique | Propriétaire | Méthode principale | Secours indépendant | Codes rangés | Dernier test |
|---|---|---|---|---|---|
| Messagerie | Nom ou fonction | À compléter | À compléter | Oui / Non | Date |
| Gestionnaire de mots de passe | Nom ou fonction | À compléter | À compléter | Oui / Non | Date |
| Compte opérateur | Nom ou fonction | À compléter | À compléter | Oui / Non | Date |
Choisir une application d’authentification sans chercher un vainqueur universel
Une application TOTP calcule un code temporaire à partir d’un secret partagé au moment de l’activation. Le QR code d’installation contient ce secret. Une capture d’écran de ce QR code permettrait à une autre personne de générer les mêmes codes : ne l’envoyez jamais et ne le conservez pas dans une galerie non protégée.
Le choix de l’application dépend surtout de la récupération et de l’environnement.
| Solution | Point fort | Point à examiner avant de choisir |
|---|---|---|
 2FAS Auth |
Interface accessible, sauvegarde et synchronisation via iCloud ou Google Drive, export protégé possible | Synchronisation principalement liée à l’écosystème mobile ; protéger le fichier exporté par mot de passe |
 Aegis |
Application Android libre, coffre chiffré, export chiffré et sauvegardes contrôlées | Android uniquement ; la synchronisation éventuelle dépend d’un outil séparé |
 Ente Auth |
Multiplateforme, synchronisation chiffrée de bout en bout, export | Dépend d’un compte de synchronisation si l’on veut le fonctionnement multiappareil |
 Google Authenticator |
Très répandu, fonctionnement hors ligne, synchronisation optionnelle avec le compte Google | La récupération dépend alors fortement de la sécurité du compte Google |
 Microsoft Authenticator |
Bien intégré aux environnements Microsoft et aux validations professionnelles | La restauration n’est pas identique selon les types de comptes et reste liée au même type d’appareil |
 Bitwarden Authenticator |
Application dédiée avec import et export ; intégration possible avec l’écosystème Bitwarden | Décider si le code doit rester séparé du coffre de mots de passe ; protéger strictement les exports |
Pour un particulier qui veut surtout éviter la perte du téléphone, une synchronisation chiffrée et un export contrôlé peuvent être prioritaires. Pour un utilisateur Android qui préfère garder un coffre local et gérer lui-même ses sauvegardes, Aegis répond à une autre logique. Dans une entreprise Microsoft, Authenticator peut simplifier le déploiement, mais l’administrateur doit documenter ce qui est réellement restauré.
Le meilleur choix est celui que vous pouvez expliquer et récupérer. Une application très sécurisée sans sauvegarde testée peut conduire au blocage de plusieurs comptes lors du remplacement du téléphone.
Comment choisir en une minute ?
Choisissez Aegis si vous êtes exclusivement sur Android et souhaitez piloter vous-même un coffre local chiffré. Choisissez 2FAS, Ente Auth ou Bitwarden Authenticator si votre priorité est une utilisation accessible avec une stratégie d’export ou de synchronisation clairement documentée. Google Authenticator convient lorsque l’écosystème Google est déjà correctement protégé ; Microsoft Authenticator prend davantage de sens dans une organisation Microsoft. Dans tous les cas, vérifiez d’abord la restauration et la possibilité d’exporter : le logo ou la popularité ne remplacent pas un plan de secours testé.
Activer une application TOTP sans se verrouiller dehors
Le vocabulaire varie selon les services : Sécurité, Validation en deux étapes, Authentification multifacteur ou Application d’authentification. La méthode reste proche.
Avant de commencer, ouvrez l’application choisie sur le téléphone et prévoyez un emplacement sécurisé pour les codes de récupération. Évitez la démonstration avec un compte principal : utilisez un compte de test sans données personnelles pour apprendre le chemin.
- Dans le compte à protéger, ouvrez Paramètres > Sécurité > Authentification à deux facteurs.
- Choisissez Application d’authentification plutôt que SMS lorsque les deux options existent.
- Le service affiche un QR code. Scannez-le depuis l’application ; ne le photographiez pas et ne le partagez pas.
- Saisissez le code à six chiffres généré par l’application pour confirmer l’association.
- Téléchargez ou copiez les codes de récupération dans votre coffre sécurisé.
- Ajoutez une seconde méthode indépendante : autre appareil, passkey ou clé de secours selon le service.
- Ouvrez une fenêtre de navigation privée et vérifiez la connexion avant de fermer la session existante.
Le test en fenêtre privée intervient avant la fermeture de la session initiale : c’est ce qui évite de transformer une erreur de configuration en verrouillage du compte.
Le test en navigation privée est essentiel. Si le code ne fonctionne pas, votre session initiale reste ouverte pour corriger la configuration. Une fois le test réussi, notez la date et la méthode de secours dans l’inventaire.
Transformer son smartphone en clé de sécurité avec une passkey
Une passkey repose sur une paire de clés cryptographiques. Le service conserve la partie publique ; la partie privée reste dans le téléphone, l’ordinateur, une clé physique ou un gestionnaire de passkeys. Lors de la connexion, l’appareil vérifie le domaine du site puis signe une demande. Un faux site ne peut pas réutiliser cette preuve sur le véritable domaine.
Sur un ordinateur, le service peut proposer Utiliser une passkey depuis un autre appareil. Un QR code apparaît ; vous le scannez avec le smartphone, puis vous déverrouillez le téléphone avec son code, son empreinte ou la reconnaissance faciale. Bluetooth peut être utilisé pour confirmer que les deux appareils se trouvent à proximité.
La ligne se colore sans afficher de véritable QR code : l’animation montre le principe, pas un secret utilisable.
Une passkey synchronisée peut être retrouvée sur les appareils associés au même gestionnaire. Une passkey liée à un seul appareil offre davantage de séparation, mais exige une seconde méthode si l’appareil est perdu. Avant d’adopter la passkey, identifiez donc l’endroit où elle est stockée et la manière dont le compte du gestionnaire est lui-même récupéré.
Quand ajouter une clé physique FIDO2
Une clé USB, NFC ou compatible avec plusieurs connecteurs matérialise la preuve de possession. Elle devient particulièrement pertinente pour les comptes administrateurs, les dirigeants, les personnes exposées au hameçonnage ciblé et les comptes capables de modifier un domaine, une messagerie ou une infrastructure.
N’achetez pas une clé uniquement parce qu’elle est connue. Vérifiez la compatibilité FIDO2/WebAuthn, les connecteurs de vos appareils, la présence éventuelle du NFC, le système d’exploitation et les services à protéger. Prévoyez au moins une clé de secours ou une autre passkey indépendante. Apple exige par exemple deux clés lors de l’activation de cette fonction sur un compte Apple.
La clé principale peut rester avec l’utilisateur ; la seconde doit être conservée dans un endroit sûr, séparé et documenté. Une clé non enregistrée ne sert à rien le jour de la perte : testez chaque clé sur le compte après l’ajout.
Préparer la récupération avant d’en avoir besoin
Les codes de récupération ne sont pas des souvenirs à laisser dans le dossier Téléchargements. Ils permettent souvent de contourner le second facteur et doivent être protégés comme un mot de passe maître. Stockez-les dans un coffre chiffré ou sur un support physique sécurisé, séparé du téléphone.
Pour un compte professionnel partagé par une équipe, évitez qu’une seule personne possède l’unique moyen de récupération. Désignez un responsable, documentez le transfert lors d’un départ et vérifiez régulièrement les appareils enregistrés. Supprimez les anciens téléphones, anciennes clés et numéros qui ne sont plus utilisés.
Tous les six mois, effectuez un test contrôlé : connexion depuis une fenêtre privée, utilisation du facteur principal, vérification du secours et confirmation que les codes de récupération sont accessibles. Ne consommez pas un code réel uniquement pour « voir » sans noter qu’il a été utilisé ; certains services invalident chaque code après un seul usage.
Que faire si le téléphone perd soudainement le réseau ?
Une panne reste possible, mais une perte brutale de service accompagnée d’alertes doit être traitée rapidement.
Depuis un autre téléphone ou une connexion sûre, contactez l’opérateur et demandez s’il existe une modification récente de SIM, d’eSIM ou de portage. Faites bloquer le transfert frauduleux et rétablir le numéro. En parallèle, sécurisez d’abord la messagerie : changez son mot de passe depuis un appareil sain, révoquez les sessions inconnues et remplacez le SMS par une autre méthode si possible.
Poursuivez avec le gestionnaire de mots de passe, les comptes bancaires, les comptes Apple/Google/Microsoft et les services administrateurs. Conservez les alertes, dates et échanges avec l’opérateur. Si des fonds, des données ou une identité ont été compromis, contactez les organismes concernés et déposez un signalement selon la situation.
L’opérateur et la messagerie passent en premier, car ils conditionnent la reprise de contrôle des autres comptes.
Questions fréquentes
Le SMS est-il inutile ?
Non. Il reste préférable au seul mot de passe lorsqu’aucune autre méthode n’existe. Mais il ne doit pas être présenté comme équivalent à une passkey ou une clé FIDO2. Pour les comptes importants, considérez-le comme une étape transitoire.
Une application TOTP est-elle protégée contre le SIM swapping ?
Oui, le code TOTP n’est pas envoyé au numéro de téléphone. L’attaque SIM ne le détourne donc pas directement. En revanche, un faux site peut vous pousser à saisir ce code ; la passkey et FIDO2 résistent mieux à cette forme de hameçonnage.
Puis-je stocker le mot de passe et le code TOTP dans le même gestionnaire ?
C’est plus pratique et reste très supérieur à la réutilisation de mots de passe. Pour un compte à très fort enjeu, séparer le second facteur limite toutefois l’impact de la compromission du coffre. Le choix dépend du risque, des utilisateurs et de la capacité de récupération.
La passkey remplace-t-elle toujours le mot de passe ?
Pas toujours. Certains services l’utilisent comme connexion sans mot de passe ; d’autres la conservent comme facteur supplémentaire. Vérifiez aussi les méthodes de récupération, car une ancienne option SMS peut rester la voie la plus faible du compte.
Faut-il deux téléphones ?
Non. Une deuxième méthode peut être une clé physique, une passkey sur un autre appareil, un export chiffré ou des codes de récupération. L’essentiel est qu’elle ne disparaisse pas avec le même incident que le téléphone principal.
À retenir
La 2FA n’est pas un simple interrupteur. Le SMS bloque de nombreuses attaques ordinaires, mais reste lié au numéro et donc au risque de SIM swapping. Une application TOTP supprime cette dépendance ; une passkey ou une clé FIDO2 apporte en plus une forte résistance au hameçonnage.
Protégez d’abord les comptes qui permettent de récupérer les autres. Ajoutez une méthode de secours, sauvegardez les codes de récupération, testez la connexion avant de fermer votre session, puis consignez le résultat. La méthode la plus forte est celle qui résiste à l’attaque sans vous enfermer hors de vos propres comptes.
Liens utiles
