En bref
Une eSIM est une puce intégrée à votre téléphone : un voleur ne peut donc pas la retirer, et un téléphone volé reste généralement connecté et peut être localisé, verrouillé ou effacé à distance. Les fraudeurs peuvent malgré tout tenter de s'approprier votre numéro, le plus souvent en convainquant votre opérateur de le transférer vers une SIM qu'ils contrôlent (le SIM swapping) ou en vous envoyant un faux lien d'activation d'eSIM qui le transfère vers leur téléphone. Pour rester protégé, définissez un code PIN auprès de votre opérateur, utilisez une application d'authentification plutôt que des codes par SMS et n'installez une eSIM que depuis l'application ou le site de votre fournisseur.
Qu'est-ce qu'une eSIM et comment est-elle protégée ?
Le nom technique d'une eSIM est eUICC, pour « embedded universal integrated circuit card ». C'est une petite puce inviolable déjà soudée dans votre téléphone. Contrairement à la carte SIM en plastique, elle n'est pas liée à vie à un seul opérateur (votre opérateur mobile ou un fournisseur d'eSIM). Elle peut contenir plusieurs profils d'opérateur et en télécharger de nouveaux en quelques secondes.
Ce téléchargement, c'est le provisionnement SIM à distance, le processus défini dans les spécifications eSIM de la GSMA. Avant que quoi que ce soit n'arrive sur votre téléphone, l'appareil et le serveur de provisionnement de l'opérateur échangent des certificats et se vérifient mutuellement, puis le profil est chiffré pour cette puce précise. Il est stocké dans l'élément sécurisé, une zone protégée de la puce que le reste des logiciels du téléphone ne peut pas lire.
Des chercheurs de l'université Aalto ont modélisé le protocole de téléchargement de l'eSIM et cherché comment un attaquant pourrait s'y introduire. D'après les résultats publiés par la GSMA, il est correctement protégé contre les pirates. Les failles mises au jour supposent toutes que le serveur de provisionnement ou la puce soit déjà compromis avant le téléchargement.
eSIM et carte SIM physique : ce qui change et ce qui ne change pas
Situation | Carte SIM physique | eSIM |
|---|---|---|
Quelqu'un vole le téléphone et place la SIM dans son propre appareil | Possible, la carte se retire | Impossible, la puce est soudée |
Clonage de la carte avec un accès physique | Une attaque connue sur les anciennes cartes | Aucune carte à retirer ni à copier |
Protection par code PIN de la SIM | Oui | Oui, si le téléphone le permet |
Effacée quand vous réinitialisez le téléphone | Seulement si vous retirez la carte | Effacée dans les réglages, ou conservée volontairement |
Passage à un nouveau téléphone | Déplacer la carte | Transférer le profil |
Votre numéro et votre compte opérateur | Inchangés | Inchangés |
Le réseau auquel se connecte votre téléphone | Inchangé | Inchangé |
Le chiffrement de votre trafic | Inchangé | Inchangé |
La FCC résume clairement la différence pratique dans son guide sur l'eSIM : on ne peut pas voler une eSIM sans voler le téléphone. Les cartes SIM physiques, elles, sont bel et bien retirées de téléphones perdus pour voler des données personnelles et votre numéro.
Les eSIM sont-elles protégées contre le SIM swapping, le phishing et les autres arnaques ?
Une eSIM ne peut pas empêcher ces arnaques, une carte SIM physique non plus, car elles visent vos comptes et non votre téléphone.
SIM swapping
Lors d'un SIM swap, un fraudeur se fait passer pour vous et convainc votre opérateur, le plus souvent via le service client, de transférer votre numéro vers une SIM qu'il contrôle. Dès lors, vos appels et SMS lui arrivent, y compris les codes à usage unique de votre banque et de votre messagerie.
« Un voleur qui prend votre téléphone peut retirer une carte SIM physique, la mettre dans un autre téléphone et commencer à recevoir vos appels et vos codes SMS pour la connexion à la banque, la double authentification et la réinitialisation des mots de passe. Avec une eSIM, le profil est verrouillé dans le matériel sécurisé du téléphone. Comme un voleur ne peut pas retirer l'eSIM, le téléphone reste généralement connecté au réseau, et Localiser ou Localiser mon appareil peut toujours le retrouver, le verrouiller ou l'effacer. Retirer la carte SIM physique est souvent la première chose que fait un voleur pour mettre un téléphone hors ligne. »
Asım Alp, cofondateur et CTO de Roamless (plus de 15 ans dans les télécommunications)
Il existe aussi une variante qui cible directement les utilisateurs d'eSIM. Des fraudeurs se faisant passer pour votre opérateur vous appellent ou vous envoient un SMS avec un lien pour « activer » une eSIM, et cliquer dessus transfère votre numéro vers leur téléphone.
Ce que votre opérateur doit vérifier avant de transférer votre numéro dépend de votre lieu de résidence :
Où | Ce que disent les règles |
|---|---|
États-Unis | La FCC a adopté des règles en 2023 qui obligent les opérateurs à vérifier votre identité de façon sécurisée avant de transférer votre numéro, et à vous prévenir quand quelqu'un essaie. En juillet 2024, les opérateurs ont obtenu un délai supplémentaire pour s'y conformer. |
Australie | Depuis le 30 juin 2022, les opérateurs doivent effectuer des vérifications multifacteurs, par exemple vos informations personnelles plus un code à usage unique, avant un changement de SIM. Ils doivent aussi conserver une trace de ces vérifications pendant au moins un an. |
Canada | Le CRTC a demandé des données aux opérateurs sur les changements de SIM et les transferts de numéro non autorisés, en 2020 puis en 2023. En juillet 2026, il a modifié le processus de transfert : un nouvel opérateur ne peut activer votre numéro qu'une fois que l'ancien a confirmé le transfert. |
Royaume-Uni | Aucune règle du régulateur ne vise le SIM swapping. Les réseaux mobiles ont plutôt signé une charte contre la fraude avec le gouvernement en novembre 2025, en s'engageant sur des pratiques communes contre la prise de contrôle de comptes, comme la double authentification avant un transfert de compte. |
Union européenne | Il n'existe pas de règle à l'échelle de l'UE, mais certains pays, comme l'Italie, ont la leur. |
Où que vous soyez, demandez à votre opérateur ce qu'il vérifie avant de transférer votre numéro vers un nouvel appareil.
Phishing
Beaucoup d'arnaques commencent par du phishing. Les fraudeurs envoient des e-mails et des SMS qui semblent venir d'une entreprise de confiance, comme votre banque ou votre opérateur, pour obtenir vos mots de passe ou vos informations de compte. Les auteurs de SIM swaps utilisent aussi le phishing auprès des employés des opérateurs pour accéder à votre compte (FBI).
Arnaques à l'IA
L'IA facilite encore l'usurpation d'identité. Des criminels ont déjà utilisé des voix clonées pour accéder à des comptes bancaires, et de fausses pièces d'identité générées par IA pour passer des contrôles d'identité (FBI).
Pour vous protéger de toutes ces arnaques :
Définissez un code PIN ou un mot de passe sur votre compte opérateur, et ne le donnez jamais à quelqu'un qui vous appelle pour le demander.
Demandez si votre opérateur propose un verrouillage du numéro ou un blocage de la portabilité, et activez-le.
Utilisez une application d'authentification plutôt que des codes par SMS dès que possible, et gardez les codes de secours dans un endroit accessible sans votre téléphone.
N'utilisez pas les liens des messages que vous n'attendiez pas. Allez vous-même sur l'application ou le site de l'entreprise.
Si un appel vous demande de l'argent ou un code, raccrochez et rappelez un numéro que vous avez trouvé vous-même.
Convenez d'un mot ou d'une question secrète avec votre famille, pour vérifier que c'est bien elle au téléphone.
Une eSIM peut-elle être piratée ?
En théorie, oui, mais la seule attaque publiée contre une puce eSIM grand public a nécessité que les attaquants aient la puce entre les mains.
En 2025, le laboratoire de recherche Security Explorations a piraté une puce eSIM Kigen via un profil de test et en a extrait la clé qui identifie la puce, ce qui lui a permis de télécharger des profils eSIM d'opérateurs mobiles.
Mais reproduire une telle attaque nécessiterait à la fois la puce et les codes d'accès du profil de test, et des mesures ont depuis été prises pour la rendre encore plus difficile. Kigen a corrigé la faille, et la GSMA a modifié ses règles pour bloquer cette même voie.
Ce que votre fournisseur d'eSIM peut voir
Une eSIM de voyage est un produit d'itinérance. Vos données passent par un réseau local partenaire dans le cadre d'un accord d'itinérance, et votre fournisseur les achemine, ce qui lui donne la même visibilité que n'importe quel opérateur mobile sur n'importe quel client :
Les antennes que vous avez utilisées
À peu près quand et où
La quantité de données consommée
Les serveurs auxquels vous vous êtes connecté
Il ne voit pas le contenu, chiffré entre votre téléphone et l'application ou le site que vous utilisez. Votre opérateur habituel a exactement la même visibilité si vous utilisez ses forfaits d'itinérance à l'étranger.
Utiliser une eSIM pour la banque et la double authentification
Les eSIM de voyage sont uniquement data : elles n'ont pas de numéro de téléphone et ne peuvent pas recevoir d'appels classiques ni de codes par SMS.
Pour que la banque et les codes à usage unique (OTP) fonctionnent à l'étranger :
Gardez votre SIM habituelle active, itinérance des données désactivée, pour que les SMS et les codes continuent d'arriver sur votre numéro sans frais d'itinérance.
Définissez l'eSIM de voyage comme ligne de données mobiles.
Passez vos comptes importants sur une application d'authentification avant de partir, et enregistrez les codes de secours.
Prévenez votre banque de votre voyage si elle le propose, car une connexion depuis un pays inhabituel peut déclencher un blocage.
Si vous voulez recevoir des appels et des codes SMS partout, chez vous comme à l'étranger, vous pouvez aussi prendre un numéro de téléphone qui n'a besoin ni de carte SIM physique ni d'eSIM.
Pour la session bancaire elle-même, utilisez les données mobiles plutôt qu'un Wi-Fi public. Le Wi-Fi des aéroports et des hôtels est partagé, non géré et facile à imiter. Le trafic mobile est chiffré entre votre téléphone et les équipements de l'opérateur, et il n'y a pas de réseau partagé auquel quelqu'un d'autre pourrait se connecter.
Comment choisir un fournisseur d'eSIM de confiance
La confiance que vous pouvez accorder à un fournisseur d'eSIM compte autant que la sécurité technique. Elle tient surtout à sa transparence et à son honnêteté sur ce qu'il vous facture et les données qu'il collecte. Commencez par vérifier que le fournisseur d'eSIM :
Indique les réseaux locaux qu'il utilise. La couverture et le débit dépendent du réseau, et c'est cela que vous payez.
Annonce clairement ses limites de débit et d'usage raisonnable, pour éviter un ralentissement imprévu en plein voyage.
Précise clairement quand vos données expirent. Sinon, vous pourriez perdre des données déjà payées.
Propose un service client facile à joindre et une politique de remboursement claire, au cas où votre eSIM ne s'installe pas ou ne se connecte pas.
Vend directement sur son propre site ou dans son application. Votre QR code est alors neuf et vous bénéficiez de l'assistance du fournisseur.
Ne demande que les autorisations dont l'application a besoin. Au-delà, il collecte des données dont il n'a pas besoin.
Si un fournisseur d'eSIM rend ces informations difficiles à trouver, mieux vaut chercher ailleurs.
Une eSIM globale, où que vous soyez
Une eSIM globale Roamless couvre plus de 200 destinations : vous l'installez une fois et elle continue de fonctionner quand vous passez les frontières. Vos Crédits n'expirent jamais, donc les données que vous achetez restent disponibles quand vous en avez besoin, chez vous ou lors de votre prochain voyage.
FAQ sur la sécurité des eSIM
Les eSIM peuvent-elles être piratées ?
Techniquement, il est possible de pirater une eSIM, mais il est très peu probable que cela vous arrive. Le seul piratage publié d'une puce eSIM grand public, réalisé par le laboratoire Security Explorations en 2025, a nécessité la puce entre les mains des attaquants et un ensemble de codes d'accès. Le fabricant de la puce, Kigen, a depuis publié un correctif (Security Explorations, Kigen). Les vrais risques sont les arnaques qui visent vos comptes, comme le SIM swapping et le phishing, qui fonctionnent de la même façon avec une eSIM ou une carte SIM physique.
Une eSIM peut-elle être clonée ?
Pas en utilisation normale. Lors du téléchargement, une eSIM est chiffrée pour la seule puce de votre téléphone. Dans le seul cas publié où des chercheurs ont copié des profils eSIM, ils ont d'abord dû pirater une puce qu'ils avaient physiquement entre les mains (Security Explorations).
Une eSIM peut-elle être localisée ?
Pas plus qu'une carte SIM physique. Tout téléphone allumé et connecté à un réseau mobile peut être localisé approximativement par l'opérateur à partir des antennes qu'il utilise, quel que soit son type de SIM (EFF).
Une eSIM est-elle sûre pour la banque en ligne ?
Oui, et la connexion mobile est plus sûre qu'un Wi-Fi public pour cela. Une eSIM de voyage uniquement data ne peut pas recevoir de codes par SMS : gardez votre ligne habituelle joignable ou passez vos comptes sur une application d'authentification avant de partir.
Y a-t-il des raisons de ne pas utiliser une eSIM ?
Trois raisons pratiques. Si votre téléphone tombe en panne, vous ne pouvez pas glisser une puce dans un téléphone de secours comme vous le feriez avec une carte. Certains profils limitent le nombre de réinstallations. Et quelques pays compliquent l'achat une fois sur place.
Dans quels pays les eSIM ne sont-elles pas autorisées ?
Les eSIM fonctionnent dans la plupart des pays, mais quelques-uns limitent leur achat ou leur utilisation. En Turquie, les sites et applications de nombreux fournisseurs d'eSIM internationaux sont bloqués. Les eSIM de voyage se connectent toutefois via les réseaux locaux, donc une eSIM installée avant d'arriver en Turquie fonctionne normalement. En Russie, les données mobiles des cartes SIM étrangères, eSIM comprises, seraient coupées pendant 24 heures après votre arrivée. Et les téléphones vendus en Chine continentale ne prennent en charge l'eSIM que depuis octobre 2025 : si vous avez acheté le vôtre là-bas, vérifiez qu'il est compatible eSIM.
Que devient mon eSIM si mon téléphone est perdu ou volé ?
Le profil ne peut pas être retiré de l'appareil, et un effacement à distance le supprime avec tout le reste, même si vous pouvez choisir de conserver l'eSIM en réinitialisant le téléphone. Appelez aussi votre opérateur pour suspendre la ligne, car c'est le compte qu'un attaquant viserait.
Mon fournisseur d'eSIM peut-il voir ce que je consulte ?
Il voit ce que voit n'importe quel opérateur mobile : volumes, horaires, position approximative et serveurs contactés. Pas le contenu, chiffré entre votre téléphone et le site. Votre opérateur habituel voit la même chose quand vous êtes en itinérance.
Une eSIM est-elle plus sûre qu'une carte SIM physique ?
Face au vol, oui, car il n'y a pas de carte à retirer. Pour tout le reste, les deux se valent, car ce qui est attaqué, ce sont votre compte opérateur et vos mots de passe, et ils ne changent pas quand la carte change.
Glossaire
eUICC : la puce intégrée qui héberge l'eSIM. Le matériel.
Élément sécurisé : la partie protégée de cette puce où sont stockés les identifiants, isolée des autres logiciels du téléphone.
Profil eSIM : les identifiants de l'opérateur téléchargés sur la puce. Ce qui fait de votre téléphone un client d'un réseau donné.
Provisionnement SIM à distance : le processus défini par la GSMA pour livrer un profil sans fil.
IMSI : l'identité d'abonné qu'un réseau utilise pour acheminer vos appels et SMS. C'est ce que déplace un SIM swap.
SM-DP+ : le serveur de provisionnement de l'opérateur, l'adresse que votre téléphone contacte pour récupérer un profil.
TOTP : le code à six chiffres qui change régulièrement dans une application d'authentification, et la raison pour laquelle elle résiste mieux au SIM swapping que les SMS.
