Échanges de cartes SIM, fuites de données et comptes volés : comment les escrocs transforment les fuites en argent réel.

/Technologie/ Par

Les fuites de données sont devenues si courantes que beaucoup les considèrent comme un bruit de fond : un courriel agaçant, une réinitialisation de mot de passe, et puis on reprend le cours de sa vie. Mais le véritable danger survient souvent plus tard, lorsque les informations divulguées sont utilisées pour créer des attaques ciblées qui paraissent personnelles, plausibles et difficiles à contrer.

Une enquête de la BBC sur les victimes d'escroquerie révèle comment ce système fonctionne concrètement : les fuites de données anciennes aident les criminels à réussir leurs méfaits.attaques par échange de carte SIMIls peuvent pirater des comptes de messagerie, ouvrir des crédits au nom d'autrui ou prendre le contrôle de comptes publicitaires d'entreprises. Ce qui semble être une simple fuite d'adresses électroniques peut se transformer en un moyen direct de gagner de l'argent, d'usurper son identité et de passer des mois à réparer les dégâts.

Cet article explicatif détaille les mécanismes : comment les échanges de carte SIM réussissent, pourquoi l’authentification à deux facteurs peut échouer et quelles mesures pratiques permettent réellement de réduire les risques.

Le processus de la violation de données à l'escroquerie (en langage clair)

La plupart des arnaques qui aboutissent à un vol de fonds suivent une séquence répétable :

  1. Les données personnelles sont exposées(par le biais d'une violation de données d'une entreprise que vous avez utilisée il y a des années).
  2. Les criminels l'enrichissenten combinant de multiples fuites de données, des informations publiques et parfois des sources provenant de courtiers en données.
  3. Ils ciblent le maillon le plus faible.(un numéro de téléphone portable, une boîte de réception e-mail ou une procédure de « mot de passe oublié »).
  4. L'escalade se produit— en utilisant la première faille de sécurité pour réinitialiser les mots de passe et prendre le contrôle d'autres comptes.

Le correspondant cyber de la BBC, Joe Tidy, souligne qu'être victime d'une cyberattaque augmente le risque d'être ciblé. L'important n'est pas que chaque cyberattaque débouche sur une escroquerie, mais que ces attaques fournissent aux criminels les éléments nécessaires à une usurpation d'identité crédible.

Attaques par échange de carte SIM : pourquoi votre numéro de téléphone est une clé essentielle

Dans un cas, une femme nommée Sue a déclaré à la BBC que sa vie numérique avait été piratée via unéchange de carte SIM.

Une attaque par échange de carte SIM fonctionne comme suit :

  • Un escroc persuade un opérateur de réseau mobile qu'il est le véritable titulaire du compte.
  • L'opérateur délivre une nouvelle carte SIM (ou transfère le numéro), et le téléphone de la victime perd le service.
  • Le criminel reçoit désormais des appels et des SMS destinés à la victime, y compris des codes de vérification.

Une fois que les attaquants contrôlent votre numéro, ils peuvent l'intercepter.Codes de sécurité par SMSUtilisé pour la réinitialisation des mots de passe et la vérification de connexion.

Sue a déclaré que des escrocs avaient pris le contrôle de son compte.Gmailet puis l'a enfermée dehorscomptes bancairesaprès des contrôles de sécurité infructueux. Elle avait également uncarte de crédit ouverte à son nomet les criminels ont achetéplus de 3 000 £ en bons d'achatPour reprendre le contrôle, elle a dû se rendre à plusieurs reprises à sa banque et chez son opérateur de téléphonie mobile.

Cette histoire illustre parfaitement pourquoi les professionnels de la sécurité recommandent d'abandonner les SMS comme principal deuxième facteur d'authentification pour les comptes importants.

Comment les escrocs ont-ils obtenu les informations de Sue ?

La BBC rapporte que Suenuméro de téléphone, adresse e-mail, date de naissance et adresse postaleont été exposées lors de précédentes violations de données, notamment une plateforme de jeux d'argent.PaddyPower (2010)et outil de validation d'emailVérifications.io (2019)D'autres compilations de données piratées contenaient également ses informations personnelles.

Selon Hannah Baumgaertner de Silobreaker, analyste en cybersécurité citée par la BBC, les pirates ont probablement utilisé des données personnelles divulguées pour procéder à l'échange de carte SIM. Une fois en possession du numéro de téléphone de Sue, ils ont pu intercepter les codes de sécurité envoyés pour vérifier l'identité sur Gmail.

C’est le problème des « répercussions de la violation » : même si la violation initiale remonte à dix ans, les données peuvent continuer à circuler, être reconditionnées et utilisées comme preuve d’ingénierie sociale.

Comment les petits piratages prennent de l'ampleur : le marché des abonnements détournés

L'article de la BBC met également en lumière un type de cybercriminalité moins risqué mais extrêmement courant : la prise de contrôle des comptes d'abonnement.

Fran, au Brésil, a déclaré à la BBC qu'elle avait découvert que quelqu'un s'était enregistré à son nom.Netflixet a augmenté son abonnement mensuel – une arnaque classique de « parasite ».

L'article indique qu'il n'est pas toujours possible d'identifier une seule faille de sécurité comme étant la cause première. Mais la BBC a découvert que l'adresse électronique de Fran avait été compromise lors d'au moins quatre violations de données, dont…Archives Internet (2024),Trellov (2024),Descomplica (2021)etWattpad (2020).

Un chercheur en sécurité cité dans l'article, Alon Gal de Hudson Rock, a décrit un marché pour les comptes de streaming piratés, transformant une fuite de données d'une entreprise en un abus continu.

Lorsque l'authentification à deux facteurs échoue toujours

L'un des aspects les plus inquiétants des arnaques modernes est que les attaquants peuvent parfois contourner des protections que les utilisateurs jugent « suffisantes ».

La BBC décrit l'histoire de Leah, une petite entrepreneuse, victime d'un courriel frauduleux semblant provenir de Facebook. Après avoir cliqué sur un lien et saisi ses informations sur une fausse page Meta, des escrocs ont pris le contrôle de son compte professionnel, malgré ses efforts pour le supprimer.authentification à deux facteurs.

Ses agresseurs ont ensuite publié des vidéos d'abus sexuels sur enfants sous son nom (ce qui a entraîné son blocage) et ont dépensé des centaines de livres sterling en publicités qu'elle avait payées pendant les trois jours qu'il lui a fallu pour reprendre le contrôle (elle a finalement récupéré son argent).

Comment l'authentification à deux facteurs peut-elle échouer ? Voici quelques exemples :

  • Hameçonnage par proxy en temps réel :Le faux site transmet les identifiants au vrai site et demande le code d'authentification à deux facteurs, qu'il utilise immédiatement.
  • Vol de session / capture de jetons :Certains kits d'hameçonnage capturent le cookie de session après la connexion.
  • failles dans la récupération de compte :Si l'adresse e-mail ou le numéro de téléphone de récupération sont compromis, les attaquants réinitialisent l'accès sans déclencher les vérifications normales.

L'idée n'est pas de dire que l'authentification à deux facteurs est inutile, mais plutôt que…Le compte le plus solide est celui qui comporte plusieurs couches., pas une seule case à cocher.

Le rôle des courtiers en données et de « l’enrichissement »

Même lorsqu'une faille de sécurité ne contient pas tout ce qu'un attaquant souhaite, les criminels peuvent combiner leurs sources.

La BBC souligne que les escrocs mélangent souvent des informations privées volées avec des informations publiques. Les enquêteurs ont décrit comment un pirate pouvait associer une adresse électronique volée à un numéro d'entreprise public afin d'envoyer un message d'hameçonnage plus convaincant.

C’est ce qui rend les arnaques modernes si inquiétantes : le message ne ressemble pas à un spam. Il a l’air d’avoir été écrit.pour toi.

Le problème de l'échelle : les violations massives alimentent une économie mondiale de l'escroquerie

La BBC note que plusieurs attaques très médiatisées ont eu lieu dans2025Des millions d'enregistrements ont été exposés, citant des exemples tels que :

  • 6,5 millionstouchés par une violation de données chez Coop (avril)
  • un piratage informatique affectant les clients de Marks & Spencer (l'entreprise n'a pas précisé le nombre de personnes touchées).
  • 400 000Les clients de Harrods sont concernés
  • 5,7 millionstouchés par un piratage de Qantas

L'article cite également l'Observatoire des violations de données de Proton Mail :794 violations vérifiéesà partir de sources identifiables découvertes jusqu'à présent en 2025, révélantplus de 300 millionsdossiers individuels.

À cette échelle, les criminels n'ont pas besoin d'être brillants. Ils doivent être persévérants et organisés.

Ce que les entreprises font (et ne font pas) après une violation de données

Les victimes découvrent souvent qu'il n'existe pas de dispositif standard de « suivi après violation de données ».

La BBC rapporte que proposer un service gratuit de surveillance du crédit était autrefois courant, mais que de moins en moins d'entreprises le font aujourd'hui. Elle note que certaines entreprises ne proposaient pas ces services, tandis que la Coopérative offrait un bon d'achat sous certaines conditions.

L'article mentionne également une tendance croissante aux recours collectifs — bien que difficiles à gagner car il est complexe de prouver l'impact individuel — et un règlement notable : T-Mobile a accepté de verser350 millions de dollarssuite à une violation de données survenue en 2021 et ayant affecté76 mclients, avec des paiements déclarés allant de50 $ à 300 $.

Un plan d'action réaliste en cas de suspicion d'échange de carte SIM

Les échanges de carte SIM étant urgents, il est utile d'avoir une liste de contrôle.

  1. Si votre téléphone perd soudainement le réseau(et si vous n'êtes pas dans une zone blanche), traitez cela comme une urgence.
  2. Appelez votre opérateur depuis un autre téléphoneet demandez si un transfert de carte SIM ou un portage de numéro a eu lieu.
  3. Demander un verrouillage immédiatlors de tout changement de carte SIM ultérieur et réinitialisation des identifiants/code PIN du compte.
  4. Sécurisez votre compte de messagerie principalEnsuite, parce que cela peut tout réinitialiser.
  5. Changer les mots de passepour les services bancaires, les applications de paiement et tous les comptes liés aux codes SMS.
  6. Vérifier les nouveaux comptes/l'activité de créditen votre nom.

Même si l'attaque s'avère être un problème de réseau, vous ne perdez pas grand-chose à agir rapidement.

Mesures pratiques pour réduire les risques (sans paranoïa)

Il est impossible d'empêcher une entreprise que vous avez utilisée il y a des années de subir une cyberattaque. Mais vous pouvez rendre les données divulguées moins utiles aux pirates.

1) Protégez votre compte mobile

  • Renseignez-vous auprès de votre opérateur.codes PIN du compte, des verrous de sortie de port et une vérification supplémentaire.
  • Réduisez au minimum le nombre de services qui utilisent les SMS comme méthode de récupération.

2) Utilisez une authentification plus forte lorsque cela est possible.

Pour vos comptes les plus importants (courriel, banque, gestionnaire de mots de passe), privilégiez :

  • Applications d'authentification (TOTP)
  • clés d'accès
  • ou clés de sécurité matérielles

…par SMS.

3) Utilisez un gestionnaire de mots de passe et des mots de passe uniques.

Le bourrage d'identifiants reste peu coûteux. Des mots de passe uniques empêchent une seule faille de sécurité de tout déverrouiller.

4) Traitez votre messagerie principale comme le « compte racine ».

Si des criminels accèdent à votre boîte de réception, ils peuvent réinitialiser presque tous vos autres comptes. Sécurisez votre messagerie :

  • fortement authentifié
  • options de récupération sécurisées
  • et surveillés pour détecter les connexions suspectes

En résumé

Les fuites de données ne sont pas seulement un problème de confidentialité ; elles alimentent les arnaques. D'anciennes fuites peuvent être combinées à des informations publiques pour usurper votre identité, voler votre numéro de téléphone via un échange de carte SIM, contourner vos identifiants et transformer une simple compromission en une attaque en chaîne touchant vos courriels, vos comptes bancaires et vos profils sur les réseaux sociaux. La meilleure défense est multicouche : protégez votre numéro de téléphone, sécurisez votre messagerie principale et privilégiez autant que possible les solutions de sécurité autres que les SMS.

Sources

Document Title
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money
Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
UK bans Coinbase ads: what it means for crypto marketing in Britain
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters
Page Content
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money
Nature
Climate
/
Technology
/ By
Admin
Data breaches have become so routine that many people treat them like background noise — an annoying email, a password reset, then back to life. But the real danger often arrives later, when leaked details are stitched together into targeted attacks that feel personal, plausible, and hard to stop.
A BBC investigation into scam victims shows how this pipeline works in practice: old data leaks help criminals perform
SIM swap attacks
, hijack email accounts, open credit in someone’s name, or seize control of business advertising accounts. What looks like “just an email address leak” can become a direct route to money, identity fraud, and months of cleanup.
This explainer breaks down the mechanics: how SIM swaps succeed, why two-factor authentication can fail, and what practical steps actually reduce risk.
The breach-to-scam pipeline (in plain English)
Most scams that end in stolen funds follow a repeatable sequence:
Personal data is exposed
(through a breach of a company you used years ago).
Criminals enrich it
by combining multiple breaches, public info, and sometimes data-broker sources.
They target the weakest link
(a mobile number, an email inbox, or a “forgot password” workflow).
They escalate
— using the first compromise to reset passwords and take over other accounts.
The BBC’s cyber correspondent Joe Tidy notes that being a victim of a breach increases your chance of being targeted. The key is not that every breach leads to a scam, but that breaches supply the raw materials criminals need for believable impersonation.
SIM swap attacks: why your phone number is a master key
In one case, a woman named Sue told the BBC her digital life was hijacked via a
SIM swap
.
A SIM swap attack works like this:
A criminal convinces a mobile network operator they are the real account holder.
The operator issues a new SIM (or transfers the number), and the victim’s phone loses service.
The criminal now receives calls and texts meant for the victim — including verification codes.
Once attackers control your number, they can intercept
SMS-based security codes
used for password resets and login verification.
Sue said scammers took over her
Gmail
and then locked her out of
bank accounts
after failed security checks. She also had a
credit card opened in her name
, and criminals purchased
more than £3,000 in vouchers
. Getting control back required several trips to her bank and mobile phone provider.
This story is a textbook example of why security professionals recommend moving away from SMS as your primary second factor for important accounts.
Where the scammers got Sue’s details
The BBC reports that Sue’s
phone number, email address, date of birth and physical address
were exposed in earlier breaches — including gambling platform
PaddyPower (2010)
and email validation tool
Verifications.io (2019)
. Other compilations of hacked records also included her details.
A cybersecurity analyst cited by the BBC, Hannah Baumgaertner of Silobreaker, said attackers likely used leaked personal data to conduct the SIM swap. Once they had Sue’s phone number, they could intercept security codes sent to verify identity for Gmail.
This is the “breach aftershock” problem: even if the original breach is a decade old, the data can keep circulating, being repackaged, and being used as social-engineering proof.
How small hacks scale: the market for hijacked subscriptions
The BBC story also highlights a lower-stakes but extremely common kind of cybercrime: subscription account takeover.
Fran, in Brazil, told the BBC she found someone had registered to her
Netflix
account and increased her monthly subscription — a classic “freeloader” hijack.
The article says it’s not always possible to pinpoint a single breach as the root cause. But the BBC found Fran’s email address had been exposed in at least four breaches, including
Internet Archive (2024)
,
Trellov (2024)
Descomplica (2021)
and
Wattpad (2020)
A security researcher quoted in the piece, Alon Gal of Hudson Rock, described a market for cracked streaming accounts, turning one company’s leak into ongoing abuse.
When two-factor authentication still fails
One of the most unsettling parts of modern scams is that attackers can sometimes bypass protections users assume are “enough.”
The BBC describes a small business owner, Leah, targeted by a phishing email that appeared to come from Facebook. She clicked a link, entered details on a fake Meta page, and scammers took over her business account even though she had
two-factor authentication
Attackers then posted child sexual abuse videos under her name (getting her blocked) and ran hundreds of pounds of adverts paid for by her in the three days it took to regain control (she eventually got the money back).
How can 2FA still fail? Common paths include:
Real-time proxy phishing:
the fake site relays credentials to the real site and asks for the 2FA code, using it immediately.
Session theft / token capture:
some phishing kits capture the session cookie after login.
Account recovery loopholes:
if recovery email/phone is compromised, attackers reset access without triggering normal checks.
The point isn’t that 2FA is pointless — it’s that
the strongest account is the one with multiple layers
, not a single checkbox.
The role of data brokers and “enrichment”
Even when a breach doesn’t include everything an attacker wants, criminals can combine sources.
The BBC notes that scammers often mix stolen private information with public information. Investigators described how an attacker could connect a stolen email address with a publicly listed business number to send a more convincing phishing message.
That’s what makes modern scams feel creepy: the message doesn’t look like spam. It looks like it was written
for you
The scale problem: mass breaches fuel a global scam economy
The BBC notes that several high-profile attacks in
2025
exposed millions of records, listing examples such as:
6.5 million
affected by a Co-op breach (April)
a hack affecting Marks & Spencer customers (the company did not specify how many)
400,000
Harrods customers affected
5.7 million
impacted in a Qantas hack
It also cites Proton Mail’s Data Breach Observatory:
794 verified breaches
from identifiable sources discovered so far in 2025, exposing
more than 300 million
individual records.
At that scale, criminals don’t need to be brilliant. They need to be persistent and industrial.
What companies do (and don’t do) after breaches
Victims often discover there is no standard “breach aftercare.”
The BBC reports that offering free credit monitoring used to be common, but fewer firms are doing it now. It notes that some companies did not offer these services, while Co-op offered a voucher under conditions.
The article also mentions a growing trend of class action lawsuits — though hard to win because proving individual impact is difficult — and a notable settlement: T-Mobile agreed to pay
$350m
after a 2021 breach affecting
76m
customers, with reported payments ranging from
$50 to $300
A realistic response plan if you suspect a SIM swap
Because SIM swaps are time-sensitive, it helps to have a checklist.
If your phone suddenly loses service
(and you’re not in a dead zone), treat it as urgent.
Call your carrier from another phone
and ask if a SIM transfer or number port happened.
Request an immediate lock
on further SIM changes and reset the account credentials/PIN.
Secure your primary email account
next, because it can reset everything else.
Change passwords
for banking, payment apps, and any accounts tied to SMS codes.
Check for new accounts/credit activity
in your name.
Even if the attack turns out to be a network issue, you lose little by moving fast.
Practical steps that reduce risk (without paranoia)
You can’t prevent a company you used years ago from being breached. But you can make leaked data less useful to attackers.
1) Protect your mobile account
Ask your carrier about
account PINs
, port-out locks, and extra verification.
Minimise how many services use SMS as a recovery method.
2) Use stronger authentication where possible
For your most important accounts (email, banking, password manager), prefer:
authenticator apps (TOTP)
passkeys
or hardware security keys
…over SMS codes.
3) Use a password manager + unique passwords
Credential stuffing is still cheap. Unique passwords stop one breach from unlocking everything.
4) Treat your primary email like the “root account”
If criminals get your email inbox, they can reset almost every other account. Make your email:
strongly authenticated
recovery options secured
and monitored for suspicious logins
Bottom line
Data breaches aren’t just a privacy problem — they’re the supply chain for scams. Old leaks can be combined with public information to impersonate you, steal your phone number through a SIM swap, bypass logins, and turn a single compromise into a cascade across email, financial accounts, and social profiles. The most effective defence is layered: protect your phone number, secure your primary email, and move away from SMS-based security wherever you can.
Sources
https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
UK bans Coinbase ads: what it means for crypto marketing in Britain
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters
Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.
Document Title
Page not found - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.
It looks like the link pointing here was faulty. Maybe try searching?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.
Florin.blog
Florin.blog » Feed
RSD
Search...
r Français