IMSI et IMEI : ce que le téléphone transmet aux réseaux et qui peut l'intercepter

Dans un article publié le 6 novembre 2026, le site américain Bleeping Computer rappelle qu'en avril 2026, les autorités canadiennes ont arrêté trois hommes accusés d'exploiter un « SMS blaster », un appareil qui se fait passer pour une antenne-relais afin d'envoyer des SMS d'hameçonnage aux téléphones situés à proximité. Le site le décrit comme un « proche cousin » de l'IMSI catcher, la fausse antenne utilisée pour la surveillance. Selon Bleeping Computer, les deux appareils fonctionnent de la même façon : ils poussent les téléphones à se connecter au signal le plus fort et à livrer des informations avant toute authentification. Parmi ces informations figure l'IMSI, l'identifiant lié à la carte SIM, mais le site précise que ce n'est « de loin pas la seule chose » que le téléphone laisse échapper¹.

Le site explique qu'un téléphone a plusieurs radios. Celles du Wi-Fi et du Bluetooth diffusent des adresses matérielles, que les téléphones récents rendent aléatoires ou changent régulièrement pour limiter le pistage. La radio cellulaire, elle, révèle deux identifiants qui, en général, ne changent jamais. L'IMSI (International Mobile Subscriber Identity) est un numéro unique attribué par l'opérateur à la souscription de l'abonnement ; il est stocké sur la carte SIM et sert au réseau à retrouver et authentifier l'abonné. L'IMEI (International Mobile Equipment Identity) est un numéro unique lié à l'appareil lui-même ; le réseau ne l'authentifie pas, si bien qu'il « nomme un appareil sans rien prouver », écrit Bleeping Computer¹.

Le niveau de protection de ces identifiants dépend de la génération de réseau utilisée, dont les normes sont rédigées par le 3GPP, l'organisme professionnel chargé des spécifications des réseaux mobiles. En 4G, l'IMSI est envoyé en clair lors de la première connexion, puis remplacé par un identifiant temporaire, le GUTI, pour limiter son exposition. En 5G, il est chiffré sous la forme d'un SUCI (Subscription Concealed Identifier). Les générations récentes protègent donc mieux les identifiants, mais les téléphones repassent aux anciennes, et c'est là qu'interviennent les fausses antennes. Bleeping Computer précise qu'en 4G, un téléphone envoie son IMSI en clair à une antenne qui n'a pas prouvé son identité, et que la couverture 5G n'étant pas universelle, un IMSI catcher peut forcer l'appareil à revenir en 4G ou en dessous. Ce qui signifie que le chiffrement prévu par la 5G ne protège l'utilisateur que tant que son téléphone n'est pas ramené vers une génération plus ancienne¹.

Les attaques par radiomessagerie, sans fausse antenne

Bleeping Computer décrit une deuxième technique, fondée sur la radiomessagerie (« paging »). Un téléphone en veille économise sa batterie en ne se réveillant qu'à des moments fixes, les « paging occasions », pour vérifier s'il reçoit un appel, un SMS ou une notification. En 4G, ce créneau est calculé à partir de l'IMSI selon une formule publique : l'IMSI ne changeant pas, le créneau ne change pas non plus. La 5G le calcule à partir d'un identifiant temporaire. D'après le site, des chercheurs ont montré dans un article de 2019 comment exploiter cette faille : un attaquant qui connaît le numéro de téléphone de sa cible déclenche des appels silencieux (coupés avant la sonnerie), des SMS ou des notifications, et observe avec un récepteur radio voisin quel créneau s'active. Après environ huit essais en moyenne, il peut confirmer que la personne se trouve dans la zone. La méthode a fonctionné contre tous les opérateurs américains testés, selon Bleeping Computer¹.

Le site présente cette attaque comme une étape vers une autre, plus grave, qui associe le numéro de téléphone à l'IMSI. Certains opérateurs, quand la radiomessagerie vers l'identifiant temporaire échoue, diffusent l'IMSI brut. Une fausse antenne qui détourne le canal de radiomessagerie bloque les messages du réseau, et un seul appel silencieux pousse alors l'opérateur à émettre l'IMSI, que l'attaquant capte. Les chercheurs ont validé cette méthode contre un grand opérateur américain, que l'article ne nomme pas. Une fois l'IMSI obtenu, l'attaquant peut localiser la personne ou intercepter ses appels et SMS par des attaques de signalisation. Pour l'IMEI, Bleeping Computer compare l'IMSI à une plaque d'immatriculation et l'IMEI au numéro de châssis : en 4G et en 5G, une fausse antenne simple ne récupère pas l'IMEI, que le téléphone n'envoie qu'après s'être authentifié. Il faut d'abord forcer un retour vers un réseau plus ancien, ou disposer de données d'authentification obtenues par des attaques SS7 ou Diameter, qui partent elles-mêmes d'un IMSI. Le site note toutefois que si l'opérateur est compromis, quiconque y a accès pourrait suivre l'abonné grâce à son IMEI. À ce stade, l'article ne dit pas si les opérateurs testés en 2019 ont depuis modifié ces pratiques de repli¹.

La rotation de l'IMSI, une réponse mise en avant par un opérateur

La suite de l'article de Bleeping Computer comporte un passage promotionnel en faveur de Cape, présenté comme un opérateur mobile américain axé sur la vie privée, avec une offre de réduction. Les affirmations qui suivent sont celles de l'entreprise et n'ont pas fait l'objet d'une vérification indépendante dans la matière disponible. Cape dit collecter le minimum d'informations nécessaires au service et supprimer les métadonnées des appels et SMS après 24 heures. Sa fonction de rotation des identifiants changerait l'IMSI toutes les 24 heures ou à la demande, en faisant défiler sept IMSI par semaine, tirés d'un stock commun réattribué en permanence entre les clients¹.

Toujours selon ce passage, un IMSI récupéré, qui reste utilisable pendant des années chez un opérateur classique, cesserait de désigner son titulaire en moins d'une journée. En 4G, un nouvel IMSI donnerait un nouveau créneau de radiomessagerie, ce qui rendrait caduc le schéma établi par un attaquant, et un IMSI catcher ne pourrait plus rapprocher l'IMSI du jour de celui de la veille. Le texte reconnaît qu'un attaquant peut encore demander l'IMSI en cours en temps réel, et que la rotation s'ajoute pour cette raison aux protections de signalisation de Cape. Associé au système GrapheneOS, le service proposerait un mode LTE seul qui bloque les retours vers les anciennes générations. Ce qui signifie que la rotation, telle que la décrit Cape, vise le pistage de long terme plutôt que l'interception ponctuelle. Reste à savoir si ces protections tiennent face aux attaques décrites plus haut, ce que la matière ne permet pas d'établir¹.

Par comparaison, le site singapourien e27 rapporte le même jour que l'opérateur malaisien U Mobile ouvre aux jeunes entreprises de Cradle Fund, l'agence publique de soutien aux start-up, un environnement de test 5G-Advanced. Selon e27, cette évolution des normes 5G promet une latence plus faible, un débit montant plus élevé et un positionnement des appareils plus précis. La localisation des téléphones serait donc à la fois un objectif affiché par les réseaux à venir et, d'après Bleeping Computer, une source d'exposition sur les réseaux actuels^3,1.