Les messages SMS ne sont ni privés ni sécurisés !

Vous pourriez penser que passer de Facebook Messenger aux bons vieux messages texte (SMS) vous aiderait à protéger votre vie privée. Mais les SMS classiques ne sont ni très privés ni très sûrs. Les SMS sont comme les fax – une vieille norme dépassée qui refuse de disparaître.

Votre opérateur peut voir vos SMS

Avec les SMS, les messages que vous envoyez ne sont pas cryptés de bout en bout. Votre opérateur de téléphonie mobile peut voir le contenu des messages que vous envoyez et recevez. Ces messages sont stockés sur les systèmes de votre opérateur de téléphonie mobile. Ainsi, au lieu qu’une société de technologie comme Facebook voie vos messages, votre opérateur de téléphonie mobile peut les voir.

Les opérateurs cellulaires stockent le contenu de ces messages pendant une durée variable. Les messages ne sont souvent conservés que pendant plusieurs jours, mais ils stockent les métadonnées (quel numéro a envoyé un message à quel numéro, et à quelle heure) pendant encore plus longtemps. Ces enregistrements peuvent faire l’objet d’une assignation à comparaître dans le cadre d’une procédure judiciaire – par exemple, les enregistrements de messages texte sont une forme courante de preuve dans les affaires de divorce.

Comparez cela à une application de chat chiffrée de bout en bout comme Signal. Signal n’accède pas au contenu de vos communications. Signal ne sait même pas à qui vous parlez. Les données de votre conversation ne sont stockées que sur votre appareil et sur l’appareil de votre interlocuteur, et c’est tout.

Les messages SMS peuvent être interceptés par des criminels

Mais les SMS sont utilisés pour la sécurité, non ? Ce n’est pas pour rien que toutes les banques et institutions financières utilisent les SMS pour vérifier votre identité, n’est-ce pas ?

Eh bien, oui, il y a une raison. Mais cette raison n’est pas la sécurité. C’est simplement que tout le monde a un numéro de téléphone. Exiger une confirmation par SMS ajoute une sécurité supplémentaire. Même si le SMS n’est pas particulièrement sûr, il garantit au moins qu’un attaquant devra intercepter un message SMS en plus de taper votre mot de passe.

Les SMS peuvent être interceptés. Les réseaux de téléphonie mobile du monde entier sont connectés les uns aux autres par le protocole SS7. C’est ainsi que votre téléphone peut se connecter à un réseau cellulaire et passer et recevoir des appels, même si vous vous trouvez dans un autre pays à l’autre bout du monde.

Le système SS7 a été attaqué à plusieurs reprises par des pirates informatiques qui ont espionné les SMS ou les ont interceptés. Ceci est particulièrement utile pour compromettre des comptes bancaires, par exemple. Les attaquants peuvent espionner les codes de vérification qui sont généralement envoyés par SMS, les utiliser pour accéder aux comptes bancaires et les vider.

C’est pourquoi les professionnels de la sécurité ont recommandé de ne pas utiliser les SMS pour l’authentification à deux facteurs. Une application qui génère des codes sur votre appareil ou une clé de sécurité physique est beaucoup plus sûre. (Toutefois, si les SMS sont la seule option dont vous disposez, c’est mieux que rien).

Les messages SMS peuvent être surveillés par les autorités

Les gouvernements du monde entier ont accès à des dispositifs qui se font passer pour une tour de téléphonie mobile. Lorsqu’ils sont placés près de votre emplacement physique, ces dispositifs piègent votre téléphone pour qu’il s’y connecte (comme votre téléphone se connecterait à une tour cellulaire normale). La raie peut alors suivre vos mouvements et voir vos SMS, tout comme le fait votre opérateur de téléphonie mobile.

Au-delà de la surveillance locale, les SMS peuvent également être intégrés dans des systèmes de surveillance plus importants. Selon des documents publiés par Edward Snowden en 2014, la NSA recueillait à l’époque plus de 200 millions de SMS par jour dans le monde entier.

Face à ces problèmes et afin d’obtenir des résultats en termes d’anonymisation, certains outils de SMS anonymes et gratuits en ligne existent et vous permettent d’envoyer des messages sans dévoiler votre identité.  Cette solution n’est cependant pas viable pour tenir des conversations sur le long terme mais peut parfois vous sauver la mise.

Les services de renseignement d’autres pays ont également accès à des raies et à des technologies de surveillance des SMS. On comprend donc pourquoi les applications de communication chiffrée comme Signal et Telegram sont particulièrement populaires parmi les militants vivant sous des régimes répressifs. Par exemple, Telegram et Signal sont interdits en Iran.

Votre numéro de téléphone est étonnamment facile à détourner

Au-delà des SMS, les numéros de téléphone sont en fait très peu sécurisés, au niveau de l’opérateur. Un escroc peut appeler votre opérateur de téléphonie mobile ou entrer dans un magasin et se faire passer pour vous. Si l’escroc dispose de suffisamment de détails et parvient à tromper les représentants du service clientèle de votre opérateur, il peut prendre le contrôle de votre numéro de téléphone. Il peut demander à l’opérateur de « transférer » votre numéro de téléphone vers un autre opérateur de téléphonie mobile, comme vous le feriez si vous changiez de fournisseur de téléphonie mobile. Ils peuvent également demander à l’opérateur d’émettre une nouvelle carte SIM liée à votre numéro de téléphone et de désactiver votre carte SIM existante, supprimant ainsi l’accès à votre numéro de téléphone.