Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Comment les attaquants usurpent l'identité
Trois schémas sont utilisés. Premièrement, les expéditeurs passent par un agrégateur peu contrôlé qui n'applique pas de liste blanche pour l'identification de l'expéditeur (ce qui ne devrait jamais arriver, mais arrive). Deuxièmement, ils utilisent un chemin SS7 externe qui contourne les contrôles d'identification de l'expéditeur locaux (généralement bloqués par les pare-feu conformes à la norme FS.07). Troisièmement, ils exploitent l'infrastructure des boîtiers SIM pour envoyer des messages depuis un véritable numéro MSISDN auquel ils superposent ensuite une chaîne alphanumérique fictive (certains agrégateurs le permettent).
Comment les opérateurs se défendent
Enregistrement de l'identifiant de l'expéditeur (protection fondamentale). Application de l'identifiant de l'expéditeur sortant au niveau de l'agrégateur : la passerelle de soumission de BroadNet rejette toute requête submit_sm dont le champ alphanumérique de l'expéditeur ne figure pas sur la liste blanche des identifiants d'expéditeur approuvés par le client pour le pays de destination. Validation de l'identifiant de l'expéditeur entrant au niveau du pare-feu de l'opérateur : vérification croisée de l'expéditeur déclaré du trafic A2P entrant avec le propriétaire enregistré pour chaque pays.
Ce que les acheteurs peuvent attendre de leur agrégateur
Liste blanche stricte. Si votre agrégateur vous permet de définir l'identifiant de l'expéditeur sur une chaîne arbitraire lors de l'appel API sans autorisation préalable, il représente un risque de smishing pour l'ensemble de l'écosystème. Les agrégateurs réputés exigent un pré-enregistrement de l'identifiant de l'expéditeur. Point final.
État réglementaire
Les autorités de régulation de la région MENA (TDRA, CST, NTRA, TRC) se montrent de plus en plus strictes face à l'usurpation d'identité de l'expéditeur. Sur les marchés européens, les opérateurs déploient la validation de l'identité de l'expéditeur des SMS conformément au cadre NIS2 de l'UE. La messagerie RCS Business Messaging remplace progressivement les SMS, essentiels à la confiance, précisément parce que l'expéditeur est vérifié cryptographiquement.