Vous quittez le hall des arrivées d’un aéroport international ou traversez une zone commerciale très fréquentée, et l'affichage de votre smartphone réagit de manière anormale. L’icône 5G ou 4G LTE disparaît soudainement au profit d’un symbole « E » ou « 2G », tandis que la jauge de réception cellulaire indique paradoxalement un signal maximal. Quelques secondes plus tard, un SMS suspect vous alerte d'une prétendue suspension bancaire, ou vos applications d’arrière-plan échouent à établir leurs sessions chiffrées. Vous n'êtes pas entré dans une zone blanche naturelle : votre modem cellulaire vient d'être contraint de se connecter à une fausse antenne relais, couramment désignée sous le nom d'IMSI-catcher ou de simulateur de site cellulaire.

Les fausses stations de base ont quitté le domaine réservé des agences gouvernementales pour devenir des ensembles compacts de radio logicielle (SDR) dissimulables dans le coffre d'un véhicule ou un sac à dos. En exploitant des lacunes architecturales datant des débuts de la téléphonie sans fil, ces émetteurs illégitimes trompent les smartphones pour les détacher des relais officiels des opérateurs. Comprendre les fondements physiques et protocolaires de ces attaques est indispensable pour préserver la confidentialité de vos échanges et de vos déplacements.

Comment les fausses antennes relais forcent le rétrogradage en 2G

La faille majeure exploitée par ces fausses antennes provient des normes de deuxième génération (2G GSM) élaborées au début des années 1990. Alors que les réseaux contemporains 4G LTE et 5G imposent une authentification mutuelle rigoureuse — dans laquelle le mobile exige une preuve cryptographique de l'antenne avant de lui transmettre ses données d'abonné —, la norme 2G ne met en œuvre qu'une authentification unilatérale. L'antenne relais a le droit d'exiger l'identité du terminal, mais le téléphone ne dispose d'aucun moyen mathématique pour vérifier l'authenticité de l'émetteur.

Les attaquants exploitent ce compromis historique au moyen d'émetteurs radio émettant à forte puissance. Conformément aux critères de sélection cellulaire du 3GPP (algorithmes C1 et C2), le modem d'un téléphone mobile mesure en permanence les canaux environnants et bascule automatiquement vers le signal offrant la puissance la plus forte afin d'assurer la continuité du service. Dès lors que la fausse antenne émet avec un décalage de sélection avantageux, le modem du smartphone valide la transition et s'y connecte de lui-même.

Une fois la liaison initiale établie, l'antenne malveillante déclenche une attaque par rétrogradage (Downgrade Attack). Elle transmet un message de contrôle RRCConnectionReject avec des paramètres de redirection ou génère un brouillage ciblé sur les fréquences 4G et 5G locales. Privé d'accès aux porteuses modernes, le microprogramme du modem se replie sur le canal 2G contrôlé par l'assaillant. Ce dernier ordonne alors au terminal de désactiver tout chiffrement radio (mode A5/0) ou impose le chiffrement affaibli A5/1, déchiffrable en temps réel par tables arc-en-ciel.

Interception du trafic : quelles données circulent à découvert

Dès lors que le smartphone communique via la fausse antenne, l'attaquant accède à d'importantes capacités d'observation sur la liaison radio physique :

  1. Capture de l'identifiant permanent (IMSI Harvesting) : Sur un réseau 4G ou 5G régulier, l'identité de l'abonné est dissimulée derrière des identifiants temporaires (GUTI ou SUCI). La fausse antenne 2G transmet quant à elle un paquet Identity Request non chiffré. Le terminal répond en divulguant son IMSI permanent et son numéro IMEI, ce qui permet à l'assaillant d'enregistrer la présence physique de l'utilisateur et d'établir un historique de ses déplacements.

  2. Écoute des SMS et vol de codes de confirmation : La liaison radio 2G étant dépourvue de protection robuste, les SMS circulent en texte clair à travers les outils de capture de l'assaillant. Les fraudeurs exploitent cette brèche pour intercepter les mots de passe à usage unique (OTP) bancaires, les codes d'authentification à deux facteurs et injecter des messages d'hameçonnage directement dans la boîte de réception.

  3. Détournement des flux réseau et attaque de l'homme du milieu (MITM) : Si les données cellulaires sont actives en 2G, l'ensemble des paquets transite par la passerelle de l'attaquant. Celui-ci peut altérer les requêtes DNS non sécurisées, falsifier les passerelles par défaut et diriger le navigateur vers des répliques frauduleuses conçues pour dérober des identifiants.

Défense multicouche : désactiver le GSM hérité et chiffrer les flux

Contrer efficacement les risques posés par les IMSI-catchers requiert une stratégie combinant la neutralisation des bandes radio obsolètes et le confinement cryptographique des paquets de données :

Désactiver la connectivité 2G au niveau du système d'exploitation

Les opérateurs de télécommunications procédant progressivement à l'extinction des réseaux 2G, les systèmes d'exploitation mobiles proposent désormais des commandes directes :

  • Appareils Android (Android 12 et versions ultérieures) : Rendez-vous dans Paramètres > Réseau et Internet > Cartes SIM > [Votre opérateur], faites défiler vers le bas et désactivez Autoriser la 2G. Ce réglage intime au modem de refuser tout basculement vers les cellules GSM non authentifiées.
  • Appareils Apple iOS (iOS 17 et versions ultérieures) : L'activation du Mode Isolement (Lockdown Mode) dans Réglages > Confidentialité et sécurité bloque automatiquement les communications 2G dans les zones à haut risque.

Mettre en place un tunnel cryptographique de bout en bout

La désactivation de la 2G repousse les rétrogradages élémentaires, mais une antenne relais intermédiaire peut encore tenter de lire des métadonnées sur les fréquences 4G. Pour immuniser vos données, l'ensemble des flux applicatifs doit être scellé avant d'atteindre la couche radio.

L'application VPNRice permet de créer un tunnel virtuel renforcé reposant sur les chiffrements modernes ChaCha20-Poly1305 et AES-256-GCM. Même si un émetteur pirate capte vos signaux radioélectriques, il n'obtient qu'une succession de données cryptographiques opaques. Les protocoles d'offuscation RiceGuard et RiceGuardX suppriment les empreintes de négociation classiques et préviennent le filtrage des paquets ou l'empoisonnement DNS.

Lors de vos déplacements dans des espaces publics denses, examinez votre statut réseau via notre outil Mon adresse IP et vérifiez l'absence de fuites d'identifiants grâce au Test de fuite WebRTC. L'association du verrouillage matériel des fréquences GSM et d'un chiffrement par tunnel continu garantit l'intégrité de vos flux face aux fausses antennes environnantes.