Augmentation artificielle du trafic : détection et défense.

L'augmentation artificielle du trafic est la fraude qui a transformé l'approvisionnement en messagerie d'entreprise en un marché conflictuel. Le mécanisme est simple : un script demande des vérifications par code OTP (mot de passe à usage unique) via le formulaire d'inscription public d'une entreprise, ciblant des plages de numéros mobiles où un maillon de la chaîne de distribution (un agrégateur, un revendeur malhonnête, voire un employé d'un petit opérateur) perçoit une part des frais de terminaison. L'entreprise paie ainsi pour des messages réels, délivrés, mais totalement inutiles. L'ampleur du problème est loin d'être négligeable : une plateforme sociale mondiale a publiquement estimé ses pertes annuelles liées à l'AIT (Integrated Traffic Assignment) à environ 60 millions de dollars lorsqu'elle a décidé de bloquer ce trafic en 2023, et les organismes du secteur ont depuis classé l'AIT parmi les principales menaces pour le chiffre d'affaires de la messagerie A2P. Tous les expéditeurs de volumes importants de codes OTP s'y préparent désormais ; chaque opérateur et fournisseur de la chaîne est censé être en mesure de répondre.

Fonctionnement de la pompe

1. 1L'attaquant repère une surface non authentifiée qui déclenche un SMS (un formulaire d'inscription, un flux de connexion par téléphone, un point de terminaison de renvoi de code) et automatise les requêtes à son encontre.
2. 2Les nombres cibles sont choisis parmi les plages que l'attaquant monétise : une partie complice en aval perçoit des revenus de terminaison par message, partagés avec celui qui génère le volume.
3. 3Les codes ne sont jamais saisis. La conversion sur les plages concernées est pratiquement nulle, mais chaque message est facturable et la plupart sont effectivement délivrés.
4. 4Le volume est façonné pour paraître plausible — réparti sur plusieurs heures, mélangé à du trafic organique, alterné sur différentes plages horaires — précisément pour contrer les alertes de pics naïves.

L'économie explique la persistance de ce phénomène. La terminaison des requêtes A2P internationales dans les corridors concernés engendre des frais si élevés qu'une simple commission occulte suffit largement à financer le réseau de bots, et les longues chaînes d'agrégateurs permettent à chaque intermédiaire de nier l'origine des requêtes.

Les signaux de détection qui fonctionnent

• Effondrement du taux de conversion par plage de destinations : signature déterminante. Le taux de conversion OTP organique varie de 70 à 95 % selon le flux ; les plages AIT sont proches de zéro. Le taux de conversion doit être mesuré par préfixe, par opérateur et par corridor, et non comme une moyenne globale qui dilue le signal.
• Regroupement par plage de numéros — pics concentrés dans des préfixes MSISDN étroits, souvent des plages avec peu ou pas d'historique organique antérieur par rapport à la base d'utilisateurs de l'entreprise.
• Empreintes digitales côté requête — tentatives d'inscription avec des adresses IP de centres de données, signatures de navigateurs sans interface graphique, géographie impossible (requêtes provenant d'un pays, numéros d'un autre sans chevauchement d'utilisateurs) et vélocité par adresse IP ou appareil non produite par un humain.
• Absence de suivi : aucune création de session, aucune installation d’application, aucune activité ultérieure du numéro « vérifié ». Un utilisateur vérifié qui n’existe jamais constitue une fraude, visible dans les analyses du produit.
• Anomalies HLR — numéros qui échouent à la recherche HLR, restent injoignables en permanence ou appartiennent à des plages réattribuées à des services plutôt qu'à des abonnés.

La détection nécessite les deux côtés du fil

L'entreprise visualise les conversions et les données télémétriques côté requête ; le fournisseur et l'opérateur, quant à eux, observent le routage, le comportement des plages d'adresses et les tendances inter-clients : une plage d'adresses AIT utilisée par une entreprise peut réapparaître chez une autre en quelques jours. Aucune de ces visions n'est suffisante à elle seule, c'est pourquoi les déploiements efficaces les combinent : l'entreprise transmet les résultats de conversion par message ou par plage, et les modèles du fournisseur les corrélent avec les signaux au niveau du routage afin d'évaluer les destinations avant l'envoi de la campagne suivante. Il s'agit d'un problème d'apprentissage automatique au sens strict et concret du terme – une évaluation supervisée des résultats de conversion étiquetés – et non d'un simple effet de mode : le modèle classe les plages de destinations par probabilité de fraude et la couche de routage limite ou bloque les adresses les plus rares.

Les défenses commerciales qui détiennent

• Limitez le débit et contrôlez d'abord la surface de requêtes : imposez des limites de vitesse par adresse IP, par appareil et par numéro, et ajoutez une étape CAPTCHA ou de preuve de travail pour les flux de renvoi. Les millions de messages les moins chers sont ceux qui ne sont jamais envoyés.
• Le contrat prévoit des plafonds de destination par préfixe et par pays, avec coupure automatique, de sorte qu'une plage de diffusion s'autolimite au lieu de fonctionner pendant un cycle de facturation complet.
• Conditions commerciales liées à la conversion — clauses de récupération pour le trafic vers des segments dont le taux de conversion est inférieur à un seuil convenu, ou tarification au paiement par conversion pour le trafic de vérification lorsque le fournisseur le propose.
• Transparence des routes et droits d'audit — le droit contractuel de savoir quels partenaires en aval ont acheminé le trafic vers une zone contestée, ce qui transforme le déni en responsabilité.
• Retenue sur les corridors anormaux — conditions de règlement qui retardent le paiement du volume signalé par les modèles de l'une ou l'autre partie jusqu'à ce que les données de conversion soient disponibles.

Pourquoi les opérateurs devraient s'en soucier autant que les entreprises

Il est tentant pour un opérateur de considérer l'AIT comme un problème qui le concerne, car le trafic est facturable et les revenus de terminaison sont bien réels. Pourtant, à moyen terme, les résultats sont tout autres. L'AIT est la cause directe de la migration des principaux expéditeurs de mots de passe à usage unique (OTP) vers les appels flash, l'authentification réseau silencieuse et le courrier électronique ; elle engendre des litiges de facturation qui détériorent les relations avec les grossistes ; et les autorités de régulation perçoivent de plus en plus l'AIT tolérée comme un manquement à la protection des consommateurs. Un opérateur dont les routes entrantes sont des canaux connus pour l'AIT sacrifie son activité A2P au profit d'un volume d'appels artificiellement gonflé pendant quelques trimestres. La solution réside au même niveau que le reste du dispositif antifraude : des modèles comportementaux en périphérie du réseau qui attribuent un score aux appels A2P entrants par plage et par expéditeur, et une vérification rigoureuse des partenaires sur les interconnexions par lesquelles transite le trafic.

Lectures complémentaires

• Monétisation des SMS A2P en 2026 : où les revenus s’échappent
• Pourquoi les messages OTP échouent et comment résoudre les problèmes de livraison
• Routes directes versus routes grises dans les SMS A2P
• Glossaire — qu'est-ce que l'OTP, qu'est-ce que la monétisation A2P
• Pages produits — SMS anti-fraude pour opérateurs et recherche HLR