Le verdict en trois phrases
Le SIM swap détourné votre numéro de téléphone pour recevoir vos codes OTP à votre place et vider votre solde mobile money. La protection ne tient pas à un seul réglage mais à une chaîne : PIN distinct du code SIM, alerte de changement de carte, et double validation des gros retraits. Pour un compte marchand qui brasse plusieurs millions par mois, le coût d'un incident dépasse largement le coût de la prévention.
Comment fonctionne l'attaque, étape par étape
Le fraudeur collecte d'abord vos données (numéro, nom, parfois pièce d'identité via phishing), puis se fait passer pour vous auprès de l'opérateur pour obtenir une nouvelle carte SIM. Dès que la SIM est activée, votre téléphone perd le réseau et tous les OTP arrivent chez l'attaquant. En quelques minutes, il réinitialise le PIN du wallet et lance des retraits.
| Étape | Action du fraudeur | Signal côté victime | Fenêtre de réaction |
|---|---|---|---|
| 1. Collecte | Phishing, fuite de données, ingénierie sociale | Aucun | Jours/semaines |
| 2. Demande SIM | Faux justificatifs auprès de l'opérateur | Aucun | Heures |
| 3. Activation SIM | La nouvelle SIM prend le réseau | Perte totale de réseau | 5-30 minutes |
| 4. Reset PIN | Réception des OTP détournés | SMS de reset non sollicité | 2-10 minutes |
| 5. Retraits | Vidage du solde et des plafonds | Notifications de débit | Immédiat |
Le point critique est l'étape 3 : une perte de réseau soudaine et prolongée sans raison est le signal d'alerte numéro un. Sur un marché où les coupures réseau sont courantes, beaucoup de victimes l'ignorent jusqu'au débit.
Les protections qui réduisent vraiment le risque
Toutes les mesures ne se valent pas. Voici leur efficacité estimée et leur coût pour un marchand en 2026.
| Protection | Coût | Effort | Réduction du risque (estimation) |
|---|---|---|---|
| PIN wallet distinct du code SIM | 0 FCFA | 5 min | Élevé |
| Alerte SMS/e-mail de changement SIM | 0 FCFA (souvent gratuit) | 10 min | Élevé |
| Double validation retraits > 500 000 FCFA | 0 FCFA (paramétrage) | 15 min | Très élevé |
| Numéro marchand dédié, non public | 0 FCFA | 1 h | Moyen |
| Plafond journalier de retrait abaisse | 0 FCFA | 10 min | Moyen-élevé |
| Compte marchand vérifié (KYC complet) | Variable | 24 h-5 j | Moyen |
| Second signataire pour gros montants | Organisation | Continu | Très élevé |
La combinaison la plus rentable : PIN distinct + alerte de changement SIM + double validation au-delà de 500 000 FCFA. Ces trois mesures coûtent zéro franc et bloquent la majorité des scénarios d'attaque automatisée.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Awa, gérante d'une boutique de cosmétiques à Dakar, encaisse environ 4 500 000 FCFA/mois sur son wallet marchand. Un dimanche, son téléphone perd le réseau pendant 40 minutes. Comme elle avait active l'alerte e-mail de changement SIM, elle reçoit une notification sur son ordinateur, appelle immédiatement l'opérateur et fait suspendre le compte. Le fraudeur avait déjà tente un retrait de 800 000 FCFA, bloqué par la double validation qu'elle avait configurée au-delà de 500 000 FCFA. Coût de l'incident : 0 FCFA au lieu d'une perte potentielle de 1 à 2 millions. Le seul investissement : 25 minutes de paramétrage un mois plus tôt.
FAQ
Comment savoir si je suis victime d'un SIM swap ? Le signe principal est une perte de réseau soudaine et durable (plus de 15-20 minutes) sans coupure générale dans votre zone, suivie de SMS de réinitialisation que vous n'avez pas demandes. Vérifiez aussitôt auprès de l'opérateur.
Que faire dans les premières minutes ? Appelez l'opérateur depuis un autre téléphone pour faire bloquer la SIM et le wallet, puis changez les accès. Chaque minute compte : les retraits surviennent souvent dans les 10 minutes suivant l'activation.
La double validation ralentit-elle mes ventes ? Non, si vous la limitez aux montants élevés (au-delà de 500 000 FCFA). Les encaissements clients courants, généralement inférieurs à 100 000 FCFA, ne sont pas affectés.
Quelle est la perte moyenne en cas de fraude ? En 2026, l'ordre de grandeur constaté va de 200 000 à 2 000 000 FCFA par cas, selon le solde disponible et les plafonds du compte au moment de l'attaque.
Un compte marchand vérifié est-il plus sûr ? Il offre de meilleurs outils de contrôle (alertes, multi-utilisateurs, historiques) mais ne remplace pas les bonnes pratiques. La vérification KYC est une couche parmi d'autres, pas une garantie absolue.
Discutons de votre projet. Nous intégrons paiement mobile money sécurise, alertes et double validation directement dans votre site ou application. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
