L'OTP par SMS vaut mieux qu'un simple mot de passe, mais ce n'est pas un second facteur robuste : les codes peuvent être volés par SIM swap, interception SS7, malware et, le plus souvent, par phishing. Plusieurs régulateurs bancaires se sont éloignés de l'OTP par SMS pour les opérations à risque, tandis que le SMS reste très utilisé pour la vérification de numéro et les connexions à faible risque.
L'OTP par SMS est-il sécurisé ?
L'OTP par SMS offre une sécurité moyenne. Il bloque les attaques qui reposent uniquement sur un mot de passe volé, et il est simple pour tous les utilisateurs. Mais il dépend du réseau téléphonique et du numéro de l'utilisateur, pas d'un appareil que l'utilisateur contrôle de façon cryptographique. Le guide d'identité numérique du NIST, SP 800-63B, classe les codes par SMS et par appel vocal comme authentificateurs "restreints" : les organisations peuvent les utiliser, mais doivent évaluer le risque et proposer une alternative plus forte. En décembre 2024, l'agence américaine CISA a conseillé aux personnes très ciblées de ne plus du tout utiliser le SMS comme second facteur.
Quels sont les risques de sécurité de la 2FA par SMS ?
- SIM swap. Un criminel convainc ou corrompt un opérateur mobile pour transférer le numéro de la victime sur une nouvelle SIM. Dès lors, tous les codes OTP arrivent chez l'attaquant. Les opérateurs limitent ce risque avec des contrôles d'identité renforcés et des codes de portabilité sortante, et certaines applications vérifient si la SIM a été changée récemment avant d'envoyer des codes sensibles.
- SS7 et attaques de signalisation. SS7 est le réseau de signalisation entre opérateurs, vieux de plusieurs décennies. Avec un accès illégitime, un attaquant peut rediriger des SMS vers un autre réseau. Les opérateurs déploient des pare-feu de signalisation, mais la protection varie d'un réseau à l'autre.
- Phishing et relais en temps réel. L'attaque la plus courante : un faux site ou un faux interlocuteur pousse l'utilisateur à saisir ou à lire le code, et l'attaquant l'utilise en quelques secondes. L'OTP par SMS ne protège pas ici, puisque l'utilisateur donne lui-même le code.
- Malware. Sur un téléphone compromis, des applications malveillantes ayant accès aux SMS ou aux notifications peuvent lire les codes.
- Recyclage des numéros. Les opérateurs réattribuent les numéros abandonnés : les codes peuvent donc arriver chez un nouveau titulaire si votre base d'utilisateurs n'est pas à jour.
- Routes grises. Les codes envoyés par des routes non autorisées passent par des intermédiaires que vous ne connaissez pas. Voir les risques des routes SMS grises.
Les régulateurs abandonnent-ils l'OTP par SMS dans la banque ?
Oui, sur plusieurs marchés, surtout pour la connexion à la banque en ligne et les transactions, et non pour tous les usages. Exemples confirmés en octobre 2026 :
| Pays | Ce qui a changé |
|---|---|
| Singapour | Suite aux mesures de la Monetary Authority of Singapore, les grandes banques de détail ont cessé d'utiliser l'OTP par SMS pour la connexion des clients disposant d'un token numérique, à partir de juillet 2024. |
| Malaisie | Bank Negara Malaysia a demandé aux banques en septembre 2022 de passer de l'OTP par SMS à une authentification plus sûre pour les opérations en ligne comme les virements et les modifications de compte. |
| Émirats arabes unis | La Banque centrale des Émirats a demandé aux institutions financières d'abandonner l'OTP par SMS et par e-mail pour l'authentification des transactions clients, avec une échéance au 31 mars 2026. |
| Inde | Les directives d'authentification de la Reserve Bank of India, en vigueur depuis le 1er avril 2026, maintiennent l'authentification à deux facteurs mais acceptent d'autres facteurs (tokens sur l'appareil, biométrie, phrases secrètes) en plus de l'OTP par SMS. Elles élargissent les options plutôt que d'interdire le SMS. |
Ces règles visent les banques et les prestataires de paiement. La plupart des autres entreprises utilisent encore l'OTP par SMS, mais la tendance est claire pour les opérations à forte valeur.
2FA par SMS ou application d'authentification : laquelle est la plus sûre ?
Une application d'authentification (TOTP) est plus sûre face au SIM swap et au SS7, car le code est généré sur l'appareil et ne passe jamais par le réseau téléphonique. Elle reste vulnérable au phishing, puisque l'utilisateur peut saisir le code sur un faux site. Les passkeys et les clés de sécurité matérielles (FIDO2/WebAuthn) résistent au phishing, car le navigateur ne se connecte qu'au vrai domaine.
| Méthode | SIM swap | Interception réseau | Phishing | Simplicité pour l'utilisateur |
|---|---|---|---|---|
| OTP par SMS | Vulnérable | Vulnérable | Vulnérable | Très simple |
| Application d'authentification (TOTP) | Résistante | Résistante | Vulnérable | Configuration nécessaire |
| Validation push dans l'application bancaire | Résistante | Résistante | En partie (avec correspondance de nombre) | Simple |
| Passkey ou clé de sécurité | Résistante | Résistante | Résistante | Simple une fois configurée |
Comment rendre l'OTP par SMS plus sûr
Si l'OTP par SMS reste dans votre parcours, ce qui est courant pour l'inscription et la vérification de numéro, réduisez le risque :
- Indiquez l'objet du code et votre marque dans le message, et demandez aux utilisateurs de ne jamais le communiquer. Voir les bonnes pratiques pour les SMS OTP.
- Gardez des codes à durée de vie courte (quelques minutes) et à usage unique, avec un nombre limité de tentatives.
- Utilisez des routes directes ou bien gérées et un sender ID enregistré, pour que les codes ne transitent pas par des intermédiaires inconnus. Voir les routes SMS directes.
- Vérifiez s'il y a eu un SIM swap ou une portabilité récente avant les opérations à risque, si votre fournisseur le propose. Voir la portabilité des numéros.
- Limitez le nombre de demandes pour bloquer le SMS pumping, une attaque sur les coûts plutôt que sur les comptes, mais qui vise souvent le même formulaire.
- Proposez des facteurs plus forts (passkeys, validation dans l'application) et orientez les utilisateurs vers eux pour les paiements et les modifications de compte.
Quelles sont les alternatives à l'OTP par SMS ?
Les passkeys, les applications d'authentification, la validation push dans l'application, les messages d'authentification WhatsApp et l'OTP vocal sont les principales alternatives. Les alternatives par messagerie partagent certaines faiblesses du SMS, car elles sont liées au numéro de téléphone. Voir WhatsApp ou SMS pour l'OTP et l'OTP vocal.
Pour les parcours d'inscription et de vérification qui conservent le SMS, VoIPMatcher trouve des routes SMS A2P auprès de ses carriers et les gère. Demander une route SMS OTP sécurisée.
Questions fréquentes
L'OTP par SMS est-il en voie de disparition ?
Pour la banque en ligne dans plusieurs pays, oui, au moins pour les opérations à risque. Singapour, la Malaisie et les Émirats arabes unis ont poussé les banques vers l'authentification par application et d'autres méthodes plus fortes, et l'Inde accepte désormais d'autres facteurs que l'OTP par SMS. Pour la vérification de numéro et les connexions courantes, l'OTP par SMS reste très utilisé en 2026.
Peut-on intercepter mon SMS OTP ?
C'est possible mais rare pour un utilisateur ordinaire. Les principales méthodes sont le SIM swap, où un criminel prend le contrôle du numéro, l'abus du réseau de signalisation SS7 et un malware sur le téléphone. Bien plus souvent, l'attaquant pousse simplement l'utilisateur à donner le code par un appel, un message ou un faux site de phishing.
Pourquoi les banques disent-elles de ne jamais communiquer un OTP ?
Parce que la façon la plus courante de contourner l'OTP par SMS est l'ingénierie sociale : le criminel se fait passer pour la banque, un transporteur ou un support, demande le code, puis l'utilise en quelques secondes pour se connecter ou valider un paiement. Une vraie banque n'a jamais besoin que vous lui lisiez un code.
Quelle est l'alternative la plus sûre à l'OTP par SMS ?
Les passkeys et les clés de sécurité matérielles basées sur FIDO2 et WebAuthn sont les options courantes les plus sûres, car elles résistent au phishing et ne dépendent pas du réseau téléphonique. Dans la banque, la validation dans l'application avec liaison à l'appareil et biométrie est très répandue. Les applications d'authentification résistent mieux au SIM swap que le SMS, mais restent sensibles au phishing.
Le SIM swap touche-t-il aussi WhatsApp et l'OTP vocal ?
Oui. Toute méthode qui envoie un code à un numéro de téléphone est exposée quand le numéro est détourné, y compris l'OTP vocal et, dans de nombreux cas, la réinscription WhatsApp sur un nouvel appareil. Les méthodes liées à un appareil ou à une clé cryptographique, comme les passkeys et les applications d'authentification, ne sont pas touchées par le SIM swap.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.