Pare-feu SMS et sécurité opérateur

Un pare-feu SMS est un élément réseau qui inspecte le trafic de messagerie A2P et P2P entrant afin de protéger les revenus d'un opérateur mobile et ses abonnés. Il se place dans le chemin de messagerie et applique à la fois une politique de sécurité et une politique commerciale sur les émetteurs professionnels.

L'argument commercial est direct : la messagerie A2P constitue un flux de revenus important pour l'opérateur, et le contournement par route grise le fait fuir. Le rôle du pare-feu est de détecter ce contournement, de le bloquer, et de forcer le trafic à revenir sur des canaux officiels et facturés.

L'argument de protection des abonnés est tout aussi important : filtrer le spam, le smishing et le spoofing de sender ID préserve la confiance dans le réseau de l'opérateur. Les recommandations de la GSMA (la famille IR.70/IR.71 et la série de sécurité FS) encadrent les contrôles qu'un pare-feu est censé mettre en œuvre.

Le contournement par route grise / MT-bypass est typiquement la plus grande fuite unique : du trafic A2P livré comme du P2P, ou injecté au niveau de la signalisation, pour éviter les frais de terminaison. Le détecter revient à reconnaître un trafic qui se comporte comme un émetteur professionnel mais arrive par un chemin de personne à personne.

Le spoofing de sender ID et l'usurpation de marque permettent à des fraudeurs d'envoyer des messages qui semblent provenir d'une banque ou d'un service connu. Le smishing — l'hameçonnage par SMS — s'appuie sur cela, en utilisant des sender ID convaincants et des URL malveillantes pour voler des identifiants.

L'abus par SIM-box et le spam ajoutent des menaces fondées sur le volume : fan-out élevé, contenu répété, et pics de vélocité qu'un pare-feu doit distinguer d'un P2P légitime à haut volume. Les anomalies au niveau de la signalisation — sondage SRI-SM, adresses MSC falsifiées — sont traitées en référence aux contrôles par catégorie de la GSMA FS.11.

Le mode inline (proxy MT du SMSC) place le pare-feu directement dans le chemin du message afin qu'il puisse bloquer en temps réel. Il offre l'application la plus forte, mais se trouve sur le chemin critique, si bien qu'une haute disponibilité et une faible latence sous charge ne sont pas négociables.

Le mode offline ou passif met en miroir le trafic pour l'analyser sans bloquer. Il est utile pour établir une référence et régler les règles de détection avant la mise en application, et pour produire des preuves, mais il ne peut pas arrêter un message par lui-même.

Le home-routing est le déploiement qui comble le plus nettement la faille de contournement, et il mérite sa propre leçon en raison de la façon dont il modifie le flux de signalisation.

Dans la livraison SS7 classique, un réseau émetteur interroge d'abord le réseau du destinataire avec un SRI-SM (Send Routing Info for Short Message) pour savoir où se trouve l'abonné, puis livre le message directement à cet emplacement. Le contournement exploite cela en injectant directement des messages MT, en contournant la facturation et les contrôles de l'opérateur.

Le home-routing intercepte le SRI-SM et renvoie l'adresse du pare-feu au lieu de la véritable localisation de l'abonné. Tout le trafic terminant en MT est alors forcé de passer par le pare-feu, qui l'inspecte, le facture, et le retransmet — fermant ainsi le chemin d'injection directe.

C'est pourquoi le home-routing est central dans l'assurance des revenus A2P : il fait du pare-feu un point de contrôle incontournable pour chaque message terminant, plutôt qu'un point qu'un contournement habile peut éviter.

Bloquer le contournement n'est que la moitié de la valeur ; l'autre moitié consiste à convertir le trafic récupéré en revenus. Une fois que le trafic en route grise est forcé sur les canaux officiels, il devient de l'A2P facturable — l'argument commercial central du déploiement d'un pare-feu.

Les programmes solides font d'abord tourner les nouvelles règles en mode shadow / simulation contre le trafic en direct, afin qu'un changement de politique ne provoque pas de faux positifs affectant les revenus au moment de la mise en production. Les changements de règles doivent être versionnés, auditables, et soumis à un contrôle d'accès.

La preuve boucle la démonstration : rapports exportables, réconciliation par route quantifiant les fuites récupérées, et traces de signalisation qui appuient les litiges avec les partenaires de gros. Les produits de pare-feu côté opérateur et de pare-feu SS7 de BroadNet mettent en œuvre ces contrôles, adossés aux certifications ISO 27001 et SOC 2 Type II.