Fraude IMEI et SIM Swapping : comment détecter les menaces réseau

Un analyste fraude d’un MVNO européen remarque 47 terminaux présentant des préfixes IMEI identiques, enregistrés dans 12 villes en 24 heures. Le TAC correspond à un modèle économique vendu principalement en Asie du Sud-Est. Mais les numéros de série IMEI sont séquentiels : 000001 à 000047. Aucun lot de production légitime ne distribue des IMEI séquentiels dans 12 villes simultanément. C’est du clonage IMEI à grande échelle.

L’EIR de l’opérateur déclenche l’alerte. En quelques heures, l’enquête confirme : chaque terminal utilise un firmware contrefait, usurpant l’identité d’un modèle légitime pour contourner les politiques d’admission réseau. L’exposition financière : des appels internationaux frauduleux routés via les terminaux clonés, totalisant plus de 180 000 EUR en trois semaines.

Ce scénario n’est pas hypothétique. Il se reproduit sur les réseaux du monde entier, coûtant des milliards chaque année à l’industrie.

L’ampleur de la fraude IMEI

L’impact financier de la fraude terminaux sur les réseaux mobiles est considérable. Les estimations de la GSMA placent les pertes mondiales liées à la fraude IMEI, au SIM swapping et au trafic de terminaux contrefaits à environ 2,7 milliards de dollars par an. L’évaluation 2024 d’Europol sur la menace du crime organisé identifie la fraude aux terminaux mobiles comme un vecteur croissant pour les réseaux criminels opérant à travers les frontières de l’UE.

Le marché des terminaux contrefaits aggrave le problème. On estime qu’un terminal mobile sur cinq dans certains marchés africains et sud-asiatiques porte un IMEI dupliqué ou falsifié (source : rapports GSMA Device Registry). Ces terminaux échappent non seulement à la taxation et aux droits de douane, mais compromettent également l’intégrité du réseau : les chipsets bande de base contrefaits ne respectent souvent pas les standards radio 3GPP, provoquant des interférences, des coupures d’appels et une dégradation des performances pour les abonnés légitimes.

Le SIM swapping ajoute une autre dimension. Le FBI (IC3) a reçu plus de 2 000 plaintes pour SIM swap en 2023, avec des pertes déclarées dépassant 48 millions de dollars aux États-Unis. En Europe, la fraude par SIM swap a été liée au vol de cryptomonnaies, à l’espionnage industriel et à des attaques ciblées contre des dirigeants et personnalités publiques.

Anatomie de l’IMEI et son importance pour la sécurité

Comprendre la structure de l’IMEI est essentiel pour détecter la fraude au niveau réseau. L’International Mobile Equipment Identity est un numéro à 15 chiffres attribué à chaque terminal mobile, défini dans la spécification 3GPP TS 23.003.

TAC : la première ligne d’identification

Le Type Allocation Code (8 premiers chiffres) est attribué par la GSMA aux fabricants de terminaux. Chaque TAC correspond à un fabricant et un modèle spécifiques. La GSMA maintient une base mondiale avec plus de 220 000 TAC attribués couvrant chaque terminal mobile certifié.

Lorsqu’un terminal s’enregistre sur un réseau, l’EIR (Equipment Identity Register) extrait le TAC et le confronte à la base GSMA. Un TAC inexistant dans la base, ou correspondant à un modèle incohérent avec les capacités déclarées, constitue un signal d’alerte immédiat.

Utilisez l’outil vérification TAC pour vérifier n’importe quel TAC contre la base mondiale.

Validation du chiffre de contrôle Luhn

Le 15e chiffre est calculé via l’algorithme de Luhn. Bien que simple, cette vérification détecte les erreurs de manipulation basiques. Un IMEI cloné avec un seul chiffre modifié échouera à la validation Luhn. Cependant, les opérations de clonage sophistiquées calculent le chiffre de contrôle correct. Luhn seul ne suffit donc pas.

Le calculateur IMEI implémente la validation Luhn pour la vérification terrain.

CEIR : l’infrastructure mondiale de liste noire

Le Central Equipment Identity Register (CEIR) est une base de données gérée par la GSMA qui agrège les signalements de terminaux volés, perdus et contrefaits provenant des pays participants. Quand un terminal est déclaré volé en France, son IMEI est transmis au CEIR. Tout opérateur dans un pays participant peut ensuite interroger le CEIR et bloquer le terminal.

En 2025, plus de 150 pays participent à l’écosystème CEIR, avec des niveaux d’application variables. Le système traite des millions de requêtes de statut IMEI quotidiennement.

Vérifiez un terminal contre les bases de données de liste noire avec le vérificateur blacklist IMEI.

SIM Swapping : l’attaque par ingénierie sociale qui contourne la 2FA

Le SIM swapping est fondamentalement différent de la fraude IMEI. Tandis que le clonage IMEI cible l’identité du terminal, le SIM swapping cible l’identité de l’abonné. L’objectif de l’attaquant : prendre le contrôle du numéro de téléphone de la victime pour intercepter les codes d’authentification à deux facteurs par SMS, accéder aux comptes bancaires, portefeuilles de cryptomonnaies et comptes email.

La chaîne d’attaque

Empreinte de signalisation NAS d’un SIM swap

Du point de vue réseau, un SIM swap produit un schéma de signalisation distinctif que les ingénieurs terrain peuvent identifier dans les traces NAS :

1. Changement abrupt d’IMSI sur le même MSISDN : le HLR/HSS met à jour l’association IMSI. Le terminal de la victime reçoit un detach implicite. Le terminal de l’attaquant effectue une nouvelle Attach Request avec l’IMSI de la nouvelle SIM mais un IMEI différent.

2. Attach Request avec historique de localisation incohérent : le terminal de l’attaquant s’enregistre depuis une localisation sans corrélation avec l’historique récent de tracking area de la victime. Le MME/AMF voit un abonné sauter de Paris à Lagos en quelques minutes.

3. Réinitialisation des vecteurs d’authentification : la nouvelle SIM déclenche de nouveaux vecteurs AKA. Le réseau génère de nouveaux CK/IK (ou K_AMF en 5G). Si un monitoring est en place, cette rotation brutale de clés sur un abonné actif est détectable.

4. Schéma de restauration de service : l’attaquant tente immédiatement de recevoir des SMS (en attente des codes 2FA). Les journaux réseau montrent des tentatives rapides de livraison SMS-MT vers le nouvel IMSI dans les minutes suivant le swap.

Méthodes de détection en bordure de réseau

Détecter la fraude IMEI et le SIM swapping nécessite une approche multicouche combinant surveillance passive et vérification active. Les ingénieurs terrain opèrent en bordure de réseau, là où ces menaces se matérialisent en premier.

Vérification TAC contre la base GSMA

La vérification la plus fondamentale : le TAC dans l’IMEI correspond-il à un terminal réel ? Quand un terminal présente le TAC 35258010 (un Samsung Galaxy S24), le réseau peut vérifier que les capacités radio déclarées correspondent aux spécifications du S24. Si le terminal prétend être un Galaxy S24 mais ne supporte que le LTE Cat 4 (alors que le S24 supporte le 5G NR avec FR1+FR2), l’IMEI est probablement usurpé.

Empreinte RF

Chaque émetteur-récepteur radio possède des caractéristiques analogiques uniques : précision de la puissance d’émission, décalage fréquentiel, déséquilibre I/Q, profil de bruit de phase. Quand le même IMEI apparaît sur deux sites cellulaires simultanément, ou quand le même IMEI présente des signatures RF distinctement différentes sur des enregistrements consécutifs, le clonage est confirmé.

Cette technique nécessite l’accès aux mesures au niveau bande de base. Le décodeur protocole peut aider à corréler les enregistrements IMEI avec les événements de signalisation.

Analyse NAS pour la détection de SIM swap

Les ingénieurs terrain analysant les traces NAS peuvent identifier les indicateurs de SIM swap :

• Registration Request où l’IMEI reste inchangé mais l’IMSI change (remplacement SIM légitime, mais justifie un suivi)
• Registration Request où IMEI et IMSI changent pour le même MSISDN dans une fenêtre courte (indicateur SIM swap haute confiance)
• Authentication Failure sur la SIM originale de la victime immédiatement après le swap
• Basculement de livraison SMS-MT vers un nouveau TMSI/GUTI dans les minutes suivant le changement d’IMSI

Cadres réglementaires et adoption du CEIR

Le paysage réglementaire de la vérification IMEI varie considérablement selon les régions. Certains pays imposent l’application du CEIR en temps réel ; d’autres n’ont aucune exigence d’enregistrement IMEI.

Inde : le plus grand déploiement CEIR

Le Département des Télécommunications indien a lancé son CEIR national en 2023, couvrant plus de 1,2 milliard de connexions mobiles. Le système bloque les terminaux avec des IMEI dupliqués, non conformes ou sur liste noire. Dès la première année, le CEIR indien a identifié plus de 4,5 millions de terminaux avec des IMEI clonés ou invalides.

Turquie : enregistrement IMEI obligatoire

La Turquie exige l’enregistrement IMEI pour chaque terminal activé sur ses réseaux. Les terminaux importés de l’étranger doivent être enregistrés sous 120 jours sous peine de blocage réseau. Cette politique a significativement réduit le marché gris des terminaux importés et freiné les opérations de clonage IMEI.

Union européenne : vers l’harmonisation

L’UE n’impose pas encore de CEIR unifié, mais le Code européen des communications électroniques (CECE) encourage les États membres à mettre en place des bases de données d’identité d’équipement. Plusieurs États membres (France, Allemagne) exploitent des bases EIR nationales alimentant le CEIR mondial de la GSMA.

La pression pour l’adoption obligatoire du CEIR s’intensifie. La révision 2025 du CECE par la Commission européenne inclut des propositions pour une vérification IMEI harmonisée dans tous les États membres.

Implications pour l’ingénierie terrain

Pour les ingénieurs télécom sur le terrain, la fraude IMEI et le SIM swapping ne sont pas des menaces abstraites. Elles se manifestent sous forme d’anomalies réseau inexpliquées qui peuvent être confondues avec des erreurs de configuration ou des problèmes RF.

Indicateurs clés à surveiller lors des drive tests et recettes de sites :

• IMEI identiques multiples s’enregistrant sur différentes cellules simultanément
• Incohérences TAC : un terminal prétendant être un smartphone 5G mais s’enregistrant avec des capacités LTE uniquement
• Fréquence d’Attach/Registration anormale : un même IMEI effectuant des dizaines d’Attach Requests par heure
• Rotation d’IMSI : le même IMEI cyclant à travers plusieurs IMSI en succession rapide
• Incohérences de localisation : un IMEI apparaissant dans des cellules géographiquement distantes dans des délais défiant tout déplacement physique

Ces anomalies sont visibles dans les traces NAS capturées lors des opérations terrain. Un monitoring systématique transforme les ingénieurs terrain d’observateurs passifs en première ligne de détection de la fraude.

La vérification IMEI n’est pas un simple exercice de conformité. C’est la couche fondamentale de sécurité réseau qui relie l’identité du terminal à la confiance de l’abonné. À mesure que l’adoption du CEIR s’étend et que la surveillance NAS se généralise, l’écart entre exécution de la fraude et détection se réduit. La question pour les régulateurs n’est plus de savoir s’il faut imposer la participation au CEIR, mais à quelle vitesse ils peuvent l’appliquer. Où en est votre réseau ?