# Qu'est-ce que l'usurpation d'identité de l'expéditeur ?

> L'usurpation d'identité de l'expéditeur consiste à envoyer un SMS avec un expéditeur falsifié (par exemple, « BANQUE-DE-X », « DHL », « MaMarque ») alors que l'expéditeur n'est pas autorisé à utiliser ces noms de domaine. C'est l'équivalent, pour les SMS, du phishing par e-mail et le principal vecteur des attaques de smishing à l'échelle mondiale. La faiblesse du protocole : les SMS GSM ne disposent pas d'authentification de bout en bout de l'expéditeur ; le SMSC accepte donc l'identifiant d'expéditeur fourni par l'ESME d'origine.

- URL canonique: https://www.broadnet.me/fr/answers/what-is-sender-id-spoofing
- Langue: fr
- Dernière révision: 2026-09-26
- Éditeur: BroadNet (https://www.broadnet.me)

## Comment les attaquants usurpent l'identité

Trois schémas sont utilisés. Premièrement, les expéditeurs passent par un agrégateur peu contrôlé qui n'applique pas de liste blanche pour l'identification de l'expéditeur (ce qui ne devrait jamais arriver, mais arrive). Deuxièmement, ils utilisent un chemin SS7 externe qui contourne les contrôles d'identification de l'expéditeur locaux (généralement bloqués par les pare-feu conformes à la norme FS.07). Troisièmement, ils exploitent l'infrastructure des boîtiers SIM pour envoyer des messages depuis un véritable numéro MSISDN auquel ils superposent ensuite une chaîne alphanumérique fictive (certains agrégateurs le permettent).

## Comment les opérateurs se défendent

Enregistrement de l'identifiant de l'expéditeur (protection fondamentale). Application de l'identifiant de l'expéditeur sortant au niveau de l'agrégateur : la passerelle de soumission de BroadNet rejette toute requête submit_sm dont le champ alphanumérique de l'expéditeur ne figure pas sur la liste blanche des identifiants d'expéditeur approuvés par le client pour le pays de destination. Validation de l'identifiant de l'expéditeur entrant au niveau du pare-feu de l'opérateur : vérification croisée de l'expéditeur déclaré du trafic A2P entrant avec le propriétaire enregistré pour chaque pays.

## Ce que les acheteurs peuvent attendre de leur agrégateur

Liste blanche stricte. Si votre agrégateur vous permet de définir l'identifiant de l'expéditeur sur une chaîne arbitraire lors de l'appel API sans autorisation préalable, il représente un risque de smishing pour l'ensemble de l'écosystème. Les agrégateurs réputés exigent un pré-enregistrement de l'identifiant de l'expéditeur. Point final.

## État réglementaire

Les autorités de régulation de la région MENA (TDRA, CST, NTRA, TRC) se montrent de plus en plus strictes face à l'usurpation d'identité de l'expéditeur. Sur les marchés européens, les opérateurs déploient la validation de l'identité de l'expéditeur des SMS conformément au cadre NIS2 de l'UE. La messagerie RCS Business Messaging remplace progressivement les SMS, essentiels à la confiance, précisément parce que l'expéditeur est vérifié cryptographiquement.

## Voir aussi

- [Toutes les réponses](https://www.broadnet.me/fr/answers)
- [Glossaire](https://www.broadnet.me/fr/answers)
- [Enregistrement de l'identifiant de l'expéditeur aux Émirats arabes unis — la procédure TDRA](https://www.broadnet.me/fr/answers/sender-id-registration-uae-tdra)
- [Qu'est-ce que la messagerie d'entreprise RCS (RBM) ?](https://www.broadnet.me/fr/answers/what-is-rcs-business-messaging)
- [Qu'est-ce qu'un pare-feu SMS ?](https://www.broadnet.me/fr/answers/what-is-sms-firewall)
- [SMS Firewall (operators)](https://www.broadnet.me/fr/operators/sms-firewall)