Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Comment fonctionne une attaque par pompage
AIT exploite abusivement tout formulaire web ou application envoyant un SMS à la demande (inscription, connexion, vérification téléphonique, « code de rappel »). Un fraudeur utilise des bots pour envoyer ces SMS des milliers, voire des millions de fois, ciblant des numéros de téléphone appartenant à des plages qu'il contrôle ou transitant par un complice (un agrégateur ou un opérateur de terminaison percevant une commission). Chaque message envoyé par le fournisseur de la marque génère des frais de terminaison facturables, dont une partie est reversée au fraudeur.
- Point d'entrée : tout point de terminaison non authentifié « envoyez-moi un SMS » (OTP, vérification, renvoi).
- Les bots génèrent des requêtes massives vers des plages de numéros contrôlées par des fraudeurs ou utilisées en collusion.
- La collusion basée sur le partage des revenus dans la chaîne de distribution transforme le volume en paiement.
- La marque paie ; aucun utilisateur réel n'en retire jamais rien.
L'économie de la fraude — pourquoi AIT est une entreprise
L'AIT est une fraude au partage de revenus. Elle ne fonctionne que lorsqu'un maillon de la chaîne de terminaison — un agrégateur malhonnête ou un opérateur complaisant — partage les frais de terminaison majorés avec l'émetteur du trafic. Les plages de numéros internationaux à coût élevé sont particulièrement attractives, car chaque message acheminé génère des frais plus importants à partager. Les routes grises constituent le canal naturel, puisque les routes directes autorisées par les opérateurs sont surveillées et conformes.
- Nécessite une collusion dans la chaîne terminale pour être monétisée.
- Les zones de destination coûteuses maximisent la part du fraudeur par message.
- Les routes grises sont la voie de passage privilégiée, bien que plus difficile à concilier.
- À l'échelle industrielle — Juniper Research a estimé que l'AIT connue représenterait environ 18 % des SMS A2P internationaux en 2023.
Ce que cela coûte à l'industrie
Les estimations varient selon l'étendue des risques, il convient donc de citer ses sources avec prudence. Juniper Research (étude publiée en mars 2024, en collaboration avec VOX Solutions) a évalué le coût mondial des fraudes informatiques et du spam SMS pour les entreprises à environ 8,5 milliards de dollars en 2023, et prévoit qu'il atteindra encore environ 23,4 milliards de dollars d'ici 2027. À titre de comparaison, l'étude CFCA Global Fraud Loss Survey 2023 estimait le coût total de la fraude dans le secteur des télécommunications à environ 38,95 milliards de dollars.
- Juniper Research : Coût pour les entreprises d'environ 8,5 milliards de dollars en 2023 ; d'environ 23,4 milliards de dollars d'ici 2027.
- CFCA 2023 : fraude totale aux télécommunications ~ 38,95 milliards de dollars.
- Attribuez chaque nombre à sa source et à son année — les portées diffèrent.
Signaux de détection — comment savoir si vous êtes pompé
L'utilisation frauduleuse d'AIT laisse une empreinte distinctive, car le trafic est conçu pour générer des frais, et non pour attirer les utilisateurs. Le signe le plus révélateur est un pic de demandes de code OTP/vérification qui ne se traduit ni par une inscription, ni par une connexion, ni par aucune autre activité : un volume d'envoi élevé, mais une interaction quasi nulle. Les numéros générés artificiellement sont souvent inexistants sur le réseau, ce qui explique que les accusés de réception soient retournés comme non distribués, avec des codes d'abonné absent. Le taux de conversion des envois par destination est souvent l'indicateur le plus révélateur.
- Forte augmentation des demandes de code OTP sans conversion d'inscription/connexion.
- Le trafic s'est soudainement concentré dans des pays ou des plages de nombres inhabituels.
- Modèles d'automatisation basés sur l'heure de la journée et les pics d'activité.
- Faible taux de réussite DLR (codes d'abonné absent) sur les plages pompées.
Défenses côté expéditeur — ce que la marque contrôle
L'authentification AIT débutant au niveau du terminal de la marque, la première ligne de défense s'y trouve. Limitez le débit et ajoutez un CAPTCHA ou une détection de bots aux terminaux OTP. Appliquez des contrôles géographiques et de vitesse : bloquez ou contestez les demandes de vérification vers des destinations que vous ne desservez pas. Validez le numéro du destinataire avec HLR Lookup avant l'envoi ; les numéros usurpés échouent souvent. Dans la mesure du possible, transférez les flux à haut risque vers des applications d'authentification ou une vérification réseau silencieuse, ce qui élimine complètement le risque d'usurpation d'identité par SMS.
- Limitation du débit et détection CAPTCHA/bot sur les points de terminaison OTP.
- Limites géographiques/de vitesse ; bloquez les destinations que vous ne desservez pas.
- Prévalidation HLR et listes de blocage des plages de numéros.
- Migrer les flux à haut risque vers une vérification réseau par appel flash ou silencieuse.
Défenses côté réseau — ce que l'opérateur et le pare-feu contrôlent
Côté réseau, un pare-feu SMS et une surveillance des routes permettent de détecter les anomalies non identifiées par la marque. Le pare-feu repère les concentrations anormales de demandes de code OTP et les anomalies de destination, et peut limiter ou bloquer les flux suspects. La réconciliation des routes, quant à elle, met en évidence les routes non sécurisées et les zones à coût élevé dont dépend AIT. L'utilisation de routes directes autorisées par l'opérateur, plutôt que de routes non sécurisées, supprime le canal privilégié des fraudeurs et garantit des accusés de réception précis, confirmés par le terminal, facilitant ainsi la détection des fraudes.
- Détection des anomalies au niveau du pare-feu sur les modèles OTP et de destination.
- Réconciliation des routes avec les routes grises de surface et les zones à coûts élevés.
- Le routage direct par l'opérateur supprime le conduit de routage indirect sur lequel AIT s'appuie.
- Les DLR précis rendent visible le trafic saturé, jamais lu.
Comment BroadNet vous aide
Le produit OTP de BroadNet (/products/myotp) intègre par défaut une protection contre les attaques AIT : limitation du débit par MSISDN, par adresse IP et par appareil ; prévalidation HLR ; blocage automatique des plages MCC/MNC sans historique de livraison réussie sur votre compte ; et un modèle de détection des attaques AIT entraîné sur les schémas d'attaques inter-clients. Combiné au routage direct de l'opérateur, il réduit considérablement les possibilités de dissimulation et de monétisation du trafic piraté.
- Limitation du débit par MSISDN, IP et périphérique par défaut.
- Prévalidation HLR + blocage automatique des plages de non-livraison.
- Modèle de détection AIT basé sur les schémas inter-clients.
- Routage direct par l'opérateur + DLR honnêtes pour exposer le trafic pompé.
Défenses AIT : côté émetteur vs côté réseau
| Côté expéditeur (la marque) | Côté réseau (opérateur / pare-feu) | |
|---|---|---|
| Limitation du débit + CAPTCHA sur les points de terminaison OTP | — | |
| Listes de blocage géo/vélocité + plages de numéros | ||
| Prévalidation HLR avant envoi | — | |
| Détection des anomalies du pare-feu + limitation du débit | — | |
| Routage direct opérateur + DLR honnêtes | — | |
| Sortir le parcours du SMS (authentificateur / vérification silencieuse) | — |