Origine et réalité technique des codes USSD sur nos réseaux mobiles
On appelle ça l'Unstructured Supplementary Service Data. Derrière cet acronyme barbare se cachent ces fameuses combinaisons commençant par une étoile et finissant par un carré que l'on tape fébrilement quand on doute de la sécurité de son appareil. Or, il faut comprendre que ces protocoles datent de l'ère du GSM, bien avant l'avènement des smartphones ultra-complexes que nous tenons en main aujourd'hui. À l'origine, ces codes permettaient aux ingénieurs et aux utilisateurs de communiquer directement avec les serveurs de l'opérateur sans passer par une interface graphique. Mais voilà, le grand public a fini par fantasmer sur ces commandes cachées, les transformant en outils de contre-espionnage dignes de James Bond. C'est absurde.
Le protocole USSD n'est pas un antivirus
Le truc c'est que le code \*\#21\# interroge la base de données du HLR (Home Location Register) de votre opérateur. Il vous indique si, par exemple, vos appels sont redirigés vers une autre ligne lorsque vous êtes déjà en ligne ou hors zone. Dans 99% des cas, si vous voyez un numéro s'afficher, il s'agit simplement de votre messagerie vocale. C'est là où ça coince : les internautes voient un numéro inconnu — souvent celui du centre de messagerie de l'opérateur comme le 06 08 08 08 08 chez Orange ou le +33 6 60 66 00 01 chez Bouygues — et paniquent instantanément. Ils croient avoir démasqué un espion alors qu'ils ont juste trouvé l'adresse de leur propre répondeur. On est loin du compte niveau cyber-surveillance.
Reste que l'amalgame est facile. Si l'on ne baigne pas dans l'architecture des réseaux télécoms depuis 15 ans, comment deviner que ce numéro bizarre est légitime ? On n'y pense pas assez, mais la technologie mobile repose sur des strates de vieux systèmes bricolés pour tenir le choc de la modernité. Résultat : une confusion généralisée que les charlatans du web exploitent sans vergogne pour générer des vues.
Pourquoi le transfert d'appel est devenu le bouc émissaire du piratage
Mais alors, d'où vient cette rumeur tenace ? Tout part d'une technique de fraude bien réelle, mais beaucoup plus terre-à-terre que l'écoute téléphonique globale : le détournement d'appels. Imaginez un escroc qui parvient, par ingénierie sociale, à convaincre votre opérateur de rediriger vos appels vers son propre téléphone. Il pourrait alors intercepter vos codes de double authentification reçus par SMS ou appel vocal pour vider votre compte bancaire. Cependant, si un tel pirate avait les compétences pour vous mettre "sur écoute", il ne s'amuserait pas à laisser une trace aussi visible qu'une redirection activée via un code USSD que n'importe qui peut consulter. C'est l'erreur de débutant qu'aucun professionnel ne commet.
Une nuance fondamentale entre redirection et interception
Intercepter n'est pas rediriger. Une écoute téléphonique, qu'elle soit légale (décidée par un juge dans le cadre d'une instruction) ou illégale, se passe en amont, au niveau du cœur de réseau de l'opérateur ou via des dispositifs physiques comme les IMSI-catchers. Un IMSI-catcher est une fausse antenne-relais qui aspire toutes les communications dans un rayon de 500 mètres. Pensez-vous vraiment qu'un matériel coûtant entre 15 000 et 100 000 euros se laisserait berner par un petit code tapé sur un iPhone ? Bien sûr que non. L'interception est invisible par définition. Elle se niche dans les failles du protocole SS7, un système de signalisation vieux de 40 ans qui régit les échanges entre les réseaux mondiaux. À ceci près que pour exploiter SS7, il faut des accès que seul un État ou un groupe de hackers extrêmement structuré possède.
Bref, croire que le \*\#21\# est un bouclier, c'est comme essayer d'arrêter un missile avec un parapluie. Je l'affirme sans détour : se fier à ces codes pour garantir sa vie privée est une forme de paresse intellectuelle dangereuse. Cela donne un faux sentiment de sécurité qui empêche de prendre les vraies mesures de protection, comme le chiffrement de bout en bout ou l'utilisation de VPN robustes.
Les différents types de "mises sur écoute" que le grand public ignore
On mélange souvent tout. Il existe en réalité trois grandes catégories de surveillance mobile, et aucune ne répond aux commandes USSD classiques. D'abord, l'écoute légale. En France, l'ARCEP et la CNIL encadrent ces pratiques, mais les opérateurs sont techniquement obligés de fournir des accès aux services de renseignement si un mandat est émis. Ici, tout se passe dans les datacenters de l'opérateur. Aucun signe sur votre terminal ne trahira jamais cette présence. Ensuite, il y a les logiciels espions, ou stalkerwares, souvent installés par un proche jaloux ou un employeur indélicat. Ces malwares comme mSpy ou FlexiSPY tournent en arrière-plan, enregistrent l'écran, capturent les frappes du clavier et envoient le tout vers un serveur distant. Enfin, le niveau "Pegasus", le logiciel de NSO Group, qui utilise des failles "zero-day" pour s'auto-installer sans la moindre action de votre part.
L'arnaque des codes de désactivation miraculeux
Le web pullule d'autres codes comme le \#\#002\# qui est censé "effacer tous les piratages". Autant le dire clairement : c'est une vaste blague. Ce code ne fait que réinitialiser vos renvois d'appels à zéro. Certes, si un plaisantin avait activé une redirection, elle disparaîtra. Mais si un cheval de Troie est logé dans la partition système de votre Android, vous pouvez taper des codes jusqu'à demain matin, cela ne changera strictement rien à l'intégrité de vos données. (D'ailleurs, s'il suffisait de quatre touches pour virer un malware gouvernemental, les ingénieurs en cybersécurité seraient tous au chômage technique depuis longtemps).
Pourquoi cette obsession pour le clavier numérique ? Parce que c'est tactile, c'est immédiat et cela donne l'impression d'accéder aux entrailles de la machine. Mais la réalité est plus terne : la sécurité d'un smartphone de 2026 se joue dans les couches logicielles du noyau (kernel) et dans la gestion des permissions des applications, pas dans des reliques de la téléphonie des années 90. Les chiffres parlent d'eux-mêmes : on estime à plus de 30% l'augmentation des tentatives d'hameçonnage par SMS (smishing) en un an, tandis que les "écoutes" via transfert USSD représentent moins de 0,1% des incidents signalés aux autorités de cybersécurité.
Comparatif des méthodes de vérification : Mythes vs Réalité
Pour y voir plus clair, il faut comparer ce que ces codes font réellement face aux menaces qu'ils prétendent combattre. Le décalage est flagrant. Si l'on dresse un inventaire des commandes les plus citées sur les forums, on se rend compte qu'elles ont toutes une fonction administrative légitime totalement détournée de son sens initial par la paranoïa collective. Car oui, la paranoïa est un moteur puissant pour le partage de fausses informations.
Tableau des codes USSD et de leur fonction réelle
Le code \*\#62\# est souvent présenté comme le moyen de savoir "où vont vos données quand vous n'êtes pas joignable". En réalité, il affiche le numéro de redirection par défaut. Dans 100% des tests effectués sur des réseaux européens, le numéro affiché appartient à l'infrastructure technique de l'opérateur local. Pourtant, des milliers de personnes appellent ces numéros chaque jour, tombant sur des serveurs vocaux automatisés, ce qui renforce leur peur d'être surveillées par une entité mystérieuse. Le code \*\#06\#, lui, affiche votre IMEI. C'est utile pour bloquer un téléphone volé, mais cela ne vous dira jamais si votre micro est ouvert à votre insu.
Là où le bât blesse, c'est que même des médias généralistes ont parfois relayé ces astuces sans vérifier la base technique. On se retrouve avec une population qui pense être protégée parce qu'elle a tapé une suite de chiffres, alors qu'elle laisse son Bluetooth ouvert dans des lieux publics ou qu'elle installe des applications de lampe torche qui demandent l'accès au répertoire et à la géolocalisation. Le vrai danger, ce n'est pas le code que vous tapez, c'est celui que vous ne voyez pas s'exécuter dans l'ombre de vos applications préférées.
L'imposture des codes USSD : les erreurs qui vous font croire au piratage
Le monde de la cybersécurité mobile pullule de légendes urbaines tenaces, alimentées par une paranoïa numérique grandissante. Le fait de composer le \*\#21\# renvoie souvent des informations mal interprétées par l'utilisateur lambda, créant un vent de panique inutile sur les réseaux sociaux. Sauf que la réalité technique est bien plus aride qu'un scénario de film d'espionnage.
La confusion entre transfert d'appel et interception malveillante
Lorsque vous validez ce code, votre écran affiche une liste de services suivis de la mention "Non transféré" ou, parfois, d'un numéro inconnu. C'est là que le bât blesse. Beaucoup d'utilisateurs s'imaginent qu'un numéro affiché dans la section "Voix" ou "Données" appartient à un hacker tapi dans l'ombre. Fausse alerte. Dans 99% des cas, ce numéro correspond simplement au serveur de messagerie vocale de votre opérateur, comme le 660 chez Bouygues ou le 888 chez Orange. Croire que cela prouve une surveillance, c'est comme accuser votre facteur de vol parce qu'il touche à votre boîte aux lettres. Le transfert est une fonction native du réseau GSM, pas une brèche de sécurité.
Le mythe du code universel de désactivation
On lit partout que le code \#\#002\# est le remède miracle, la gomme magique qui efface les oreilles indiscrètes. Autant le dire : c'est une simplification grossière. Ce code désactive certes les transferts d'appels, mais il n'a aucun impact sur les logiciels espions de type Pegasus ou les IMSI-catchers utilisés par les autorités. Or, les gens pensent être protégés par une simple manipulation de clavier. C'est une erreur de diagnostic totale. Un téléphone peut être parfaitement "propre" selon l'USSD et pourtant transmettre l'intégralité de vos messages Signal à un serveur distant. La sécurité ne tient pas à trois caractères spéciaux.
L'illusion de la vérification matérielle par les chiffres
Une autre croyance suggère que si le menu qui s'affiche est incomplet, le système d'exploitation est compromis. Mais saviez-vous que la réponse dépend exclusivement de la compatibilité de votre carte SIM avec les normes locales ? Certains anciens protocoles ne renvoient que deux lignes, tandis que les réseaux modernes en affichent dix. Résultat : vous flippez pour une simple mise à jour de firmware non effectuée par l'opérateur historique.
La face cachée du sniffing : ce que les réglages ne disent jamais
Le problème avec le fait de composer le \*\#21\# pour savoir si votre téléphone est sur écoute, c'est qu'il occulte les vecteurs d'attaque contemporains. Le vrai danger ne se situe plus sur le commutateur de l'opérateur, mais dans l'espace applicatif.
Le sniffing de paquets et les certificats frauduleux
Si un attaquant souhaite réellement obtenir vos données, il ne va pas s'embêter à détourner vos appels vocaux, une pratique devenue obsolète et facilement traçable. Il installera plutôt un profil de configuration MDM (Mobile Device Management) ou un certificat racine corrompu. Mais comment le détecter ? Ce n'est pas votre numéroteur qui vous le dira. (Il faut fouiller dans les entrailles des réglages système, section gestion des appareils). Là, un pirate peut intercepter tout le trafic HTTPS sans que le moindre transfert d'appel ne soit activé. C'est une technique silencieuse qui contourne totalement les vérifications basiques de l'utilisateur.
Reste que les outils de diagnostic officiels des constructeurs sont souvent plus loquaces que les codes secrets hérités des années 90. Les systèmes Android récents intègrent désormais des voyants de confidentialité. Si un point vert apparaît en haut de votre écran alors que vous n'utilisez pas l'appareil, votre micro est actif. C'est un indicateur mille fois plus fiable qu'une requête USSD. Car, à ceci près que la technologie évolue, les méthodes de surveillance migrent vers le kernel et non plus vers la couche de transport du réseau mobile.
Questions fréquentes sur la surveillance mobile
Existe-t-il un code spécifique pour voir si la police m'écoute ?
Il n'existe absolument aucun code court permettant de détecter une interception légale ordonnée par la justice. Les opérateurs de télécommunications effectuent ces branchements directement sur leurs infrastructures de coeur de réseau, sans que le terminal de l'abonné n'en soit informé techniquement. En France, plus de 9500 interceptions de sécurité ont été pratiquées en moyenne annuelle sur la dernière période documentée par la CNALH. Le téléphone cible se comporte de manière totalement normale, sans aucun délai de tonalité ni écho suspect, invalidant les vieux conseils de détective privé de pacotille.
Le code \*\#62\# est-il plus performant que le \*\#21\# ?
Le code \*\#62\# sert spécifiquement à vérifier vers quel numéro vos appels sont redirigés quand vous êtes "inaccessible", par exemple en mode avion ou hors zone de couverture. Il complète le précédent mais ne révèle en rien une activité de piratage sophistiquée. Dans environ 85% des tests effectués par des consultants en cybersécurité, ce code ne renvoie que le numéro du centre de messagerie de l'opérateur. Utiliser cette commande en pensant démasquer un espion revient à chercher une fuite d'eau avec une loupe au lieu d'inspecter les tuyaux.
Pourquoi certains codes ne fonctionnent pas sur mon iPhone ou Android ?
L'exécution des protocoles USSD dépend de la norme SS7 utilisée par votre fournisseur d'accès, et non de la marque de votre smartphone. Dans les zones couvertes uniquement par la 4G ou la 5G (VoLTE), ces vieux codes peuvent renvoyer un message d'erreur "Problème de connexion ou code IHM non valide". Ce n'est pas le signe d'un blocage par un logiciel malveillant, mais une simple obsolescence technique du protocole. On estime que 12% des réseaux mondiaux ont déjà commencé à restreindre ces accès pour limiter les vulnérabilités liées au protocole de signalisation historique.
Verdict : l'obsession du code secret est une impasse sécuritaire
Arrêtons de sacraliser des séquences de touches qui datent de l'époque du Nokia 3310 pour répondre à des enjeux de 2026. Le fait de composer le \*\#21\# est une perte de temps monumentale pour quiconque cherche une véritable protection de sa vie privée. On se donne l'illusion d'agir alors qu'on ne fait qu'interroger une base de données de routage téléphonique insignifiante. La vraie sécurité réside dans le chiffrement de bout en bout et la méfiance envers les autorisations applicatives excessives. Mais qui a encore envie de lire les conditions générales quand on peut rêver d'un code magique ? La paresse numérique est le meilleur allié des voyeurs. Prenez vos responsabilités, auditez vos applications, et laissez ces codes USSD au musée des curiosités technologiques.