Résumé

  • Le portage permet de garder le même numéro en passant chez un nouvel opérateur. Le fournisseur receveur, appelé opérateur gagnant, contrôle la décision préalable au transfert.
  • L’ACMA a constaté 131 occurrences de manquements entre septembre et décembre 2024 après l’exploitation de faiblesses dans les systèmes de Lycamobile. Ce nombre ne désigne ni 131 victimes, ni 131 numéros uniques, ni 131 pertes financières.
  • L’autorité a fait état de pertes déclarées d’au moins 175 000 A$. Elle n’a publié ni le nombre de consommateurs correspondant, ni une répartition des pertes.
  • Deux avis d’infraction payés totalisent 376 200 A$ : 356 400 A$ pour 18 contraventions présumées sélectionnées et 19 800 A$ pour une autre. Ces 19 éléments ne représentent pas l’ensemble des 131 cas de l’enquête et ne constituent pas un jugement judiciaire.
  • L’engagement exécutoire en justice dure 18 mois et impose des tests indépendants, des audits, des réponses approuvées par le conseil d’administration, des rapports, de la formation et la conservation de preuves. Il organise l’assurance future ; il ne certifie pas que tout est déjà corrigé.

Analyse

Un numéro stable, un service qui change de main

Le portage d’un numéro mobile dissocie deux choses que l’utilisateur voit habituellement comme un tout. Les chiffres restent les mêmes, mais le réseau qui fournit le service change. L’ancien opérateur est le fournisseur perdant ; le nouveau est le fournisseur gagnant. Des interfaces automatisées échangent les informations nécessaires afin que les communications soient dirigées vers le nouveau service.

Cette mécanique protège la liberté de choisir un opérateur. Sans elle, partir signifierait perdre un identifiant connu de sa famille, de son employeur et de nombreux services. Pourtant, si le demandeur n’est pas le titulaire légitime du droit d’usage, le même mécanisme déplace les appels et les messages vers un service contrôlé par un fraudeur.

Le numéro n’est donc pas un simple champ de profil. C’est une ressource de continuité. Une banque ou une plateforme peut continuer à envoyer un code aux mêmes chiffres sans savoir que le service sous-jacent a changé. Un proche peut appeler le même numéro et joindre une autre personne. Le risque vient précisément de cette apparence de stabilité.

Le dossier Lycamobile relève ainsi de l’infrastructure de réseau, et non d’un thème vague de cybersécurité. Sans la commande de transfert du numéro, la distribution des communications et l’obligation du fournisseur gagnant, la chaîne de responsabilité décrite par l’ACMA disparaît.

Ce que l’ACMA a établi

Selon le paquet d’enquête et d’exécution publié par l’ACMA, des escrocs ont exploité des faiblesses dans les systèmes de Lycamobile au cours de demandes de portage. Les étapes supplémentaires de vérification prévues par la norme n’ont pas été exécutées dans 131 cas entre septembre et décembre 2024. La présidente de l’autorité a indiqué que les lacunes avaient été exploitées pendant plus de trois mois sans être détectées.

Lycamobile a répondu que des défaillances de système non identifiées avaient permis de contourner les protocoles prescrits, malgré l’existence de systèmes et de procédures qu’elle estimait conformes. L’entreprise a attribué l’exploitation à un tiers extérieur. L’ACMA a rejeté l’idée que cette situation suffise à établir la conformité : des systèmes robustes devaient garantir le fonctionnement du processus, et les contrôles requis n’avaient pas eu lieu dans les 131 cas.

Cette présentation à deux voix est essentielle. Le point de vue de l’entreprise explique comment elle décrivait le problème ; la réponse du régulateur explique pourquoi une intention ou une configuration ne répondait pas à l’obligation opérationnelle. Aucune des sources publiques ne donne pour autant le détail technique de l’exploitation.

On ne connaît pas le composant, l’interface, la méthode d’authentification, la date d’introduction, le fournisseur éventuel ou la séquence suivie par les fraudeurs. Il serait donc trompeur de nommer une faille de site web, d’API, de jeton, d’employé ou de prestataire. Le fait solide est plus général et plus important : une transaction a pu atteindre l’état de portage sans la preuve prescrite.

La règle avant le transfert

La norme australienne de vérification supplémentaire avant portage reste en vigueur. Elle impose au fournisseur gagnant, avant de lancer le transfert, d’utiliser une procédure approuvée pour confirmer que le demandeur est le titulaire du droit d’usage du numéro — ou son représentant autorisé — et qu’il dispose de l’accès requis à l’appareil mobile associé.

Le terme « titulaire du droit d’usage » est volontairement précis. Le client n’est pas propriétaire du numéro comme d’un bien foncier. Il bénéficie du droit de l’utiliser dans un système de numérotation administré. La mission du contrôle est de préserver ce droit réel lorsque le service change d’opérateur.

La norme ne dit pas seulement qu’une vérification doit être disponible. Elle interdit d’avancer tant qu’une méthode prévue n’a pas été utilisée. Cela transforme la preuve en condition de changement d’état. Le service de portage doit refuser une demande lorsque le résultat manque, a expiré, correspond à un autre numéro ou ne peut pas être relié à la transaction.

Une page qui demande des informations n’est pas, à elle seule, un contrôle. Une procédure écrite non plus. Le système qui déclenche le portage doit recevoir et valider un résultat fiable pour cette demande précise.

Trois ensembles de chiffres à ne pas mélanger

Le chiffre 131 vient de l’enquête. Il compte des occurrences ou des cas de manquement. Il ne permet pas de déduire le nombre de personnes, de numéros ou de ports frauduleux achevés. Les sources ne disent pas non plus que chaque occurrence a causé une perte bancaire.

Le montant de 175 000 A$ est présenté comme un minimum de pertes déclarées par des consommateurs. Il faut conserver les mots « déclarées » et « au moins ». Le public ne connaît ni le nombre de déclarants, ni le total final, ni les remboursements, recouvrements ou indemnisations.

Le montant de 376 200 A$ appartient encore à une autre population juridique. Un avis daté du 20 octobre 2025 fixe 356 400 A$ pour 18 contraventions présumées sélectionnées entre le 13 novembre et le 6 décembre 2024. Un second avis, daté du 13 novembre 2025, fixe 19 800 A$ pour une contravention présumée sélectionnée le 13 novembre 2024. La somme donne 376 200 A$ et les avis contiennent 19 éléments sélectionnés.

Les 19 éléments des avis ne sont pas les 131 cas de l’enquête. Il serait faux de diviser le montant payé par 131 ou d’écrire que chaque cas a fait l’objet d’une sanction distincte. Les avis reflètent la conviction raisonnable d’un agent autorisé au sujet de contraventions présumées ; le rapport d’enquête présente séparément les constatations de l’ACMA.

Le paiement d’un avis d’infraction éteint la responsabilité pour les faits présumés sans procès, selon la politique de l’ACMA. Il ne s’agit ni d’une condamnation pénale, ni d’un jugement au fond. L’engagement est « exécutoire en justice » parce qu’une promesse statutaire peut être mise en œuvre devant un tribunal, pas parce qu’un tribunal a jugé les événements de 2024.

Prouver l’exécution, pas seulement la configuration

Un dispositif peut sembler complet dans un schéma : création de la demande, contrôle d’identité, autorisation, envoi du portage. La réalité comporte souvent plusieurs canaux, des reprises après erreur, des exceptions manuelles, des services anciens et nouveaux, ainsi que des identifiants différents entre composants.

Le point fragile apparaît lorsqu’un service suppose qu’un autre a fait le contrôle. Si la fonction finale ne valide pas elle-même une preuve liée à la transaction, un chemin inattendu peut passer autour de l’étape prévue.

Une chaîne probante commence avant la vérification. Elle attribue un identifiant unique à la demande, puis lie ce dernier au numéro, au demandeur, au canal et au fournisseur gagnant. La méthode supplémentaire utilisée, le résultat, l’heure et les données nécessaires sur l’appareil doivent rester associés au même objet. Le résultat doit expirer et ne pas pouvoir autoriser une autre demande.

Au moment critique, le service de portage n’accepte qu’un état complet et cohérent. Une preuve absente, périmée, réutilisée ou rattachée au mauvais numéro arrête le transfert. Les échecs, abandons, annulations et inversions restent eux aussi dans l’historique.

Cette description est un modèle de contrôle, pas une reconstitution de la faille Lycamobile. Les documents publics ne montrent pas l’architecture réelle. Ils montrent pourquoi le résultat d’exécution doit être vérifiable.

Détecter un écart avant la plainte

Plus de trois mois d’exploitation sans détection révèlent une seconde faiblesse : un contrôle préventif doit être surveillé par une preuve indépendante. Si la prévention et la surveillance reposent sur la même hypothèse, un contournement peut vaincre les deux.

Le rapprochement le plus utile part des ports réussis. Pour chacun, l’opérateur retrouve-t-il une vérification valide et liée ? Un transfert sans preuve correspondante doit déclencher une enquête, même en l’absence de plainte.

Les demandes d’inversion, la perte soudaine de service, les échecs répétés, les séquences inhabituelles et les tentatives de réutilisation sont des signaux. Aucun ne suffit seul à établir une fraude. Leur réunion dans un même dossier peut révéler un motif que des équipes séparées ne voient pas.

La plainte client reste nécessaire mais tardive. Lorsque l’utilisateur constate qu’il ne reçoit plus ses messages, le déplacement a déjà eu lieu. La bonne surveillance cherche la rupture de preuve avant que la victime potentielle ait à la signaler.

L’engagement de 18 mois

Lycamobile et l’ACMA ont signé l’engagement le 23 décembre 2025. Sa durée annoncée est de 18 mois. Il prévoit des tests indépendants de sécurité et d’intrusion aux mois 3, 9 et 15. Un test d’intrusion est un exercice contrôlé qui cherche des chemins permettant de franchir les défenses.

Les rapports doivent traiter des constatations, des causes profondes des problèmes détectés, de l’efficacité des politiques, de la portée et des limites des travaux, ainsi que de l’efficacité des réponses apportées. Lycamobile doit préparer une réponse de mise en œuvre approuvée par son conseil d’administration dans les deux mois suivant un rapport.

Des audits d’assurance qualité sont prévus tous les trois mois, avec des rapports à l’ACMA aux mois 7, 13 et 18. Formation et tenue des dossiers complètent le dispositif.

Ce calendrier ne prouve pas que chaque étape est déjà terminée ni que chaque recommandation a réussi un nouveau test. Les sources publiques utilisées ici ne contiennent pas les rapports techniques du consultant ou le détail de toutes les corrections. Il faut distinguer une obligation, une activité exécutée, une mesure mise en place et un résultat retesté.

Les personnes concernées et les inconnues

Le titulaire légitime peut perdre l’accès aux appels et aux messages sans que son numéro visible change. Des codes de connexion ou de réinitialisation peuvent suivre le nouveau service. Les documents généraux de l’ACCC et d’IDCARE expliquent ce mécanisme, mais ils ne prouvent pas le parcours exact d’un client Lycamobile précis.

Les sources ne donnent pas le nombre de consommateurs correspondant aux pertes déclarées. Elles ne ventilent pas les 131 cas entre tentatives, réussites, blocages et inversions. Elles ne publient pas les résultats de récupération ou d’indemnisation.

La cause technique complète, le signal de détection, les responsabilités internes et les rôles de fournisseurs restent inconnus. Ces lacunes ne diminuent pas la constatation réglementaire ; elles limitent ce qu’un article peut affirmer.

Un cadre opérationnel simple

Un fournisseur peut tester la solidité de son dispositif avec quelques questions concrètes :

  1. Chaque port réussi possède-t-il une demande unique ?
  2. La preuve d’identité correspond-elle au même numéro, au même demandeur et à la même période ?
  3. Le service final refuse-t-il une preuve absente, expirée ou réutilisée ?
  4. Tous les canaux atteignent-ils la même décision de sécurité ?
  5. Une exception manuelle a-t-elle un responsable, un motif, une durée et un contrôle secondaire ?
  6. Les ports réussis sont-ils rapprochés quotidiennement des événements de vérification ?
  7. Les inversions et plaintes alimentent-elles les tests de contrôle ?
  8. Chaque correction reste-t-elle couverte par un test de régression ?

Les essais négatifs sont particulièrement révélateurs. Ils soumettent une preuve manquante, périmée, incohérente ou présentée dans le mauvais ordre et vérifient que le transfert s’arrête. Ils doivent couvrir le web, le mobile, l’assistance et les chemins de service à service après chaque changement important.

Les indicateurs doivent mesurer le résultat : proportion de ports réussis accompagnés d’une chaîne complète, âge du plus ancien écart, délai entre signal et confinement, recommandations retestées indépendamment. Compter les formations ou les tests terminés mesure une activité, pas l’état réel du contrôle.

Préserver une portabilité légitime

Le remède n’est pas de rendre tout changement d’opérateur arbitrairement difficile. La portabilité protège la continuité et la concurrence. Une personne disposant d’un appareil endommagé ou d’un besoin d’accessibilité peut nécessiter une procédure adaptée.

L’exception doit toutefois produire une preuve équivalente : autorité explicite, motif, expiration, validation secondaire et examen ultérieur. Ajouter des formulaires sans lier leur résultat au transfert ne ferait qu’augmenter la friction. Un contrôle compte par l’état qu’il interdit et par la trace qu’il laisse.

Ce qu’il faut suivre

Le premier point est la couverture réelle des ports. L’opérateur peut-il rapprocher tous les transferts réussis d’une vérification valide, sans oublier un canal ?

Le deuxième est la portée des tests indépendants : chemins inattendus, répétition d’une preuve, ordre incorrect, interfaces internes et exceptions doivent être examinés, avec des limites clairement déclarées.

Le troisième est la vitesse de détection. Le système doit signaler un port réussi sans preuve avant qu’une plainte ou une perte ne devienne le premier indice fiable.

Le quatrième est la discipline de mise en œuvre. Chaque recommandation a besoin d’un responsable, d’une échéance, d’un critère d’acceptation et d’un résultat de retest.

Enfin, les communications publiques doivent conserver les bons dénominateurs : 131 occurrences d’enquête, 19 éléments sélectionnés dans les avis, au moins 175 000 A$ de pertes déclarées et 376 200 A$ pour deux avis payés.

La leçon durable

Un registre de portage peut enregistrer qu’un numéro a changé de service. Il ne rend pas ce changement légitime par le seul fait de l’avoir accepté. La légitimité vient du droit d’usage vérifié et du contrôle qui empêche un transfert contraire à cette réalité.

L’affaire Lycamobile rappelle qu’un protocole configuré n’est pas une preuve d’exécution. L’opérateur doit lier la vérification à chaque port, protéger la trace, tester les contournements, rapprocher les résultats et rendre les lacunes visibles aux dirigeants.

La portabilité doit rester simple pour l’utilisateur légitime et difficile pour un fraudeur. C’est la qualité du système en fonctionnement, et non l’épaisseur du manuel, qui permet de distinguer les deux.

Sources