Salt confirme une fuite : le risque du SIM swapping

Vendredi 11 septembre 2026, en début d’après-midi, Salt a écrit à une partie de ses abonnés mobiles. L’opérateur suisse, l’un des trois réseaux nationaux avec Swisscom et Sunrise, confirme un incident de sécurité : nom, prénom, adresse postale, numéro de mobile, date de naissance et adresse de courriel ont pu être consultés.

Pas de mot de passe, pas de coordonnées bancaires, pas d’historique client, dit l’entreprise.

Salt ne vend rien en France. L’affaire mérite quand même votre attention : le cadre juridique n’est pas celui qu’on croit, et le fichier décrit ce qui rend une arnaque crédible.

Ce que Salt confirme

Le point de départ n’est pas une détection interne : des allégations de fuite ont circulé en ligne, l’entreprise a vérifié, puis communiqué.

Ses conclusions, telles qu’elle les formule : aucune intrusion dans ses systèmes centraux, mais « l’utilisation abusive d’un accès existant à un système périphérique ». Le porte-parole cité par 20 Minuten insiste, il n’y a pas eu de piratage au sens habituel. Les accès concernés ont été sécurisés, les mesures de protection renforcées. Une adresse dédiée répond aux abonnés : data@salt.ch.

Ce que Salt ne dit pas

Quatre questions restent ouvertes, et aucune n’est secondaire.

Combien de personnes ? L’entreprise ne le dit pas. Un chiffre circule : environ 1,09 million d’enregistrements, que 20 Minuten attribue au portail Brinztech. Salt refuse de le confirmer comme de le démentir. Nous le citons pour ce qu’il est, non vérifié et sans méthode de comptage connue.

Depuis quand et pendant combien de temps cet accès a-t-il été détourné ? Qu’est-ce que ce « système périphérique » ? Aucune réponse.

Les données ont-elles réellement quitté l’entreprise, et ont-elles été publiées ? Salt parle de données « potentiellement » exposées et s’arrête là. Nous ne consultons pas les places de marché criminelles : nous ne pouvons donc ni confirmer ni écarter une mise en vente.

La nLPD, pas le RGPD

La Suisse n’est pas dans l’Union européenne. C’est la loi fédérale sur la protection des données qui s’applique, dans sa version révisée entrée en vigueur le 1er septembre 2023, et le Préposé fédéral à la protection des données et à la transparence (PFPDT) qui surveille.

Le seuil d’annonce. L’article 24, alinéa 1 LPD oblige à annoncer au PFPDT, « dans les meilleurs délais », les violations « entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée ». En dessous, aucune obligation. Le PFPDT a confirmé à la RTS que Salt l’avait saisi volontairement, l’entreprise estimant que ce risque élevé n’était pas atteint. Notez aussi l’absence de chiffre : là où le RGPD fixe 72 heures (article 33), la LPD s’en tient aux « meilleurs délais ».

L’information des personnes. L’article 24, alinéa 4 LPD la prévoit « lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige » : un critère de nécessité, là où le RGPD raisonne en risque élevé (article 34). Salt a écrit aux clients concernés ; le résultat pratique est le même.

Client de Salt tout en résidant en France ? Le RGPD ne reprend pas automatiquement la main : il atteint un responsable établi hors de l’Union seulement lorsque celui-ci vise des personnes qui s’y trouvent ou suit leur comportement (article 3, paragraphe 2). Un abonnement suisse pour un usage suisse ne remplit pas ce critère de plein droit. Votre interlocuteur est le PFPDT, pas la CNIL.

Pourquoi un fichier d’opérateur vaut plus que son contenu

Nom, adresse, date de naissance, numéro de mobile. Chaque élément est banal. Réunis, ils permettent d’écrire un message qui n’a plus l’air d’un faux.

Un SMS qui vous nomme et cite votre rue franchit le premier filtre mental : « il me connaît, donc c’est mon opérateur ». Rédiger dix mille variantes personnalisées demandait du temps et un français impeccable. Un modèle de langage fournit les deux en quelques minutes, mécanisme détaillé à propos des données fiscales volées à la DGFiP. Le clonage de voix ajoute l’appel du faux conseiller.

Un second usage existe, plus rare et bien plus coûteux pour la victime : l’échange frauduleux de carte SIM, ou SIM swapping. L’attaquant se fait passer pour vous auprès de l’opérateur, obtient le transfert de votre numéro vers une carte ou une eSIM qu’il contrôle, et reçoit à votre place les codes envoyés par SMS. Votre ligne cesse de fonctionner ; votre banque continue d’accepter les codes, livrés chez lui. Cybermalveillance.gouv.fr classe ce risque parmi les conséquences attendues d’une fuite chez un opérateur, avec l’hameçonnage et l’usurpation d’identité.

Aucune source ne dit qu’un échange de carte SIM a eu lieu chez Salt. Nous décrivons un risque de catégorie, pas un fait constaté.

Les réflexes, client de Salt ou non

Une perte de réseau qui dure sans raison : appelez votre opérateur depuis un autre téléphone, immédiatement. C’est le signe le plus net d’un échange de SIM, et Cybermalveillance recommande de faire réattribuer la ligne sans délai.
Quittez l’authentification par SMS là où c’est possible : banque, messagerie, comptes sensibles. Une application d’authentification ou une clé physique ne se détourne pas avec une carte SIM.
Verrouillez votre espace client opérateur avec un mot de passe unique et la double authentification si elle est proposée. C’est de là que partent les demandes de changement de carte.
Un appel du « service client » qui réclame un code ou une manipulation : raccrochez, puis composez vous-même le numéro officiel. Qui connaît votre date de naissance n’a rien prouvé.
Aucun lien reçu par SMS ou courriel. Tapez l’adresse.

Une date de naissance et une adresse postale ne se changent pas. Un mot de passe compromis s’annule en dix minutes ; ce fichier-là restera exploitable dans deux ans. Nous développons ce raisonnement dans ce qu’une alerte de fuite ne dit pas.

Reconnaître un faux message avant qu’il ne coûte est l’objet de notre formation Cybersécurité pour tous, et nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si Salt publie un volume. Une question reste ouverte : les abonnés restés sans courriel sont-ils hors du périmètre, ou ce périmètre n’est-il pas encore délimité ?

Sources

Salt Mobile SA, information aux clients concernés du 11 septembre 2026, reprise par la presse suisse : catégories de données, accès détourné, contact data@salt.ch.
RTS Info, « Des hackers dérobent des données de clients de Salt », 11 septembre 2026, mis à jour le 12 septembre : annonce volontaire au PFPDT, confirmée par celui-ci.
20 Minuten, « Salt-Datenleck: Kundendaten könnten durch missbrauchten Zugang betroffen sein », 11 septembre 2026 : 1,09 million d’enregistrements attribué au portail Brinztech, ni confirmé ni démenti.
Watson, « Salt alerte sur le vol de données de ses clients », 11 septembre 2026 ; Télésatellite, 11 septembre 2026 ; Xavier Studer, 12 septembre 2026.
Loi fédérale sur la protection des données (LPD, RS 235.1), article 24 ; version révisée en vigueur depuis le 1er septembre 2023. PFPDT, guide sur l’annonce des violations selon l’art. 24 LPD, 6 février 2025.
Règlement (UE) 2016/679 (RGPD), articles 3, 33 et 34.
Cybermalveillance.gouv.fr, « Violation de données personnelles de l’opérateur Bouygues Telecom », 13 août 2025, mise à jour du 10 août 2026 : échange frauduleux de carte SIM parmi les risques.
FrenchBreaches, fiche « Salt Mobile », 11 septembre 2026 : statut « Confirmée », impact chiffré non communiqué.
Le 12 septembre 2026, aucun avis de sécurité trouvé sur salt.ch ni communiqué du PFPDT sur cet incident.