Sécurité des eSIM : mythes et vrais risques

Une eSIM est globalement aussi sûre qu'une SIM plastique, et la plupart des histoires inquiétantes à son sujet sont des mythes. Mais être honnête, c'est l'être dans les deux sens : aucune technologie n'est à l'abri de toute attaque, et quelques précautions bien réelles méritent d'être prises. Cet article range les craintes courantes en deux piles : les mythes qui ne valent plus une nuit blanche, et les habitudes qui vous protègent vraiment. Aucune ne demande de compétence technique ; la plupart reviennent à traiter un QR code avec le soin que vous réservez à un mot de passe.

La menace réaliste n'est pas l'intrusion à distance dans la puce ; c'est la tromperie qui vous vise. Les profils eSIM sont livrés via le processus standardisé de la GSMA, où le serveur et la puce sécurisée s'authentifient mutuellement et où le profil circule chiffré. Rien n'est jamais démontré inviolable, et les chercheurs sondent tous les systèmes en permanence, mais aucune attaque pratique connue ne permet à un inconnu d'installer ou de voler un profil sur votre téléphone par les airs. Les attaques qui arrivent vraiment sont classiques : e-mails de phishing, faux sites d'opérateurs et QR codes volés. Le maillon faible est humain, pas la puce.

Une eSIM n'ajoute aucun suivi qu'une SIM plastique n'ait déjà. Tout téléphone connecté à un réseau mobile peut être localisé par ce réseau à l'échelle des antennes ; c'est simplement ainsi que les réseaux acheminent vos appels et vos données, et cela fonctionne à l'identique pour les deux types de SIM. La norme eSIM n'ajoute aucun canal de localisation supplémentaire, aucun rapport caché, et aucun moyen pour le vendeur du profil de suivre vos déplacements. Si la localisation par le réseau vous préoccupe, la réponse honnête est qu'elle vient avec le fait de posséder un téléphone, pas avec le choix d'une eSIM.

Non. Il n'existe aucun scanner, à une porte d'embarquement ou à un guichet frontalier, qui lise les profils présents sur la puce de votre téléphone. Les profils résident dans l'eUICC, la puce sécurisée, et ne sont pas diffusés pour que des équipements proches viennent les consulter. Ce qu'un agent des frontières peut faire, c'est ce qu'il a toujours pu faire : demander à voir votre téléphone déverrouillé, où la liste de vos eSIM apparaît dans les réglages comme n'importe quel autre réglage. Cela relève du droit local et de vos propres choix au poste-frontière, et cela vaut tout autant pour une SIM plastique posée dans son tiroir.

Vous pouvez supprimer un profil eSIM quand vous le voulez, directement dans les réglages. La puce, elle, reste dans le téléphone (elle est soudée), mais le profil qui s'y trouve s'enlève en quelques touches. La réserve honnête : la suppression est souvent définitive. Comme le QR code d'origine a été consommé à l'installation, un profil supprimé ne peut en général pas être réajouté sans que l'opérateur le réémette. Le mythe est donc à l'envers : retirer est facile, et le vrai conseil est de ne pas supprimer un profil auquel il reste des données ou de la validité si ce n'est pas vraiment votre intention.

Trois habitudes couvrent les risques réels. D'abord, gardez un QR code non utilisé comme un mot de passe : le premier qui l'active possède le profil, alors ne le publiez pas, ne le transférez pas et ne le laissez pas traîner dans une boîte mail partagée. Ensuite, supprimez vos profils avant de vendre ou de céder un téléphone, comme vous vous déconnecteriez de vos comptes. Enfin, sachez que la fraude au SIM swap (un escroc qui convainc un opérateur de transférer votre numéro) vise votre compte client et non la puce : aucun format de SIM ne l'empêche, et un mot de passe solide plus un code PIN chez l'opérateur vous protègent bien davantage. Un fournisseur sérieux, comme Goodbars, ne livrera par ailleurs votre eSIM qu'à l'adresse e-mail utilisée pour l'achat, jamais via des liens dans des messages inattendus.