orsque les opérateurs nous demandent d'évaluer la portée d'un pare-feu SMS, la conversation commence souvent par les revenus et se termine par la sécurité, car les deux sont indissociables. Les mêmes routes opaques qui entraînent des pertes de revenus A2P sont celles utilisées pour le smishing, l'interception de mots de passe à usage unique et la fraude par usurpation d'identité. Un pare-feu est à la fois un outil de garantie des revenus et un produit de protection des abonnés. Voici le modèle de menaces qu'il doit couvrir.
Menace 1 — Terminaison A2P par boîtier SIM
Un agrégateur achète des cartes SIM grand public, les installe dans une passerelle GSM et traite le trafic A2P comme s'il s'agissait de SMS ordinaires entre particuliers. L'opérateur constate le trafic P2P, facture au tarif P2P (souvent proche de zéro) et l'agrégateur empoche la marge A2P. La détection repose sur l'analyse comportementale : les abonnés réels n'envoient pas des milliers de messages quasi identiques par heure depuis un seul numéro MSISDN, n'envoient pas uniquement des messages sortants sans en recevoir, et ne présentent pas un intervalle entre les messages parfaitement régulier.
Menace 2 — Usurpation d'identité de l'expéditeur des SMS
Au niveau de la couche SS7 MAP, l'adresse d'origine d'un SMS peut être définie sur une chaîne de caractères arbitraire. C'est le mécanisme à l'origine des smishing se faisant passer pour votre banque, qui apparaissent dans la même conversation que les messages bancaires légitimes. La protection repose sur le contrôle de l'identité de l'expéditeur : un registre des identités d'expéditeur autorisées sur chaque route, tout message non enregistré ou arrivant sur une route non autorisée étant bloqué ou mis en quarantaine.
Menace 3 — Abus d'interconnexion SS7
- Requêtes SendRoutingInfoForSM (SRI-SM) non autorisées collectant les données IMSI et server-MSC de l'abonné — reconnaissance pour des attaques ciblées.
- Injection MT-ForwardSM par des partenaires d'interconnexion qui contourne entièrement le SMSC d'origine et tout accord A2P.
- Requêtes de suivi de localisation (anyTimeInterrogation, ProvideSubscriberInfo) qui n'ont aucun but légitime d'itinérance de la part du réseau demandeur.
Ces aspects sont pris en charge au niveau de la couche de signalisation par un pare-feu SS7 : filtrage des messages MAP par catégorie, limitation du débit par interconnexion et vérifications croisées (par exemple, rejet d’un MT-ForwardSM pour un abonné dont le réseau sait qu’il n’est pas en itinérance sur le réseau visité déclaré). Les normes GSMA FS.11 et FS.19 codifient les catégories recommandées ; un pare-feu SS7 performant les met en œuvre sans les redéfinir.
Pourquoi les règles seules ne suffisent plus
Les moteurs de règles purs sont inefficaces face aux adversaires qui s'adaptent : rotation des identifiants d'expéditeur, modification du contenu des messages, changement fréquent de partenaires d'interconnexion. Les pare-feu modernes associent des règles déterministes (registre, catégorie, réputation des routes) à un apprentissage automatique comportemental qui met en corrélation les modèles de débit, la similarité du contenu et les signaux de chevauchement des destinataires, en fonction des identifiants d'expéditeur et des routes. Les règles détectent les comportements connus ; l'apprentissage automatique détecte les comportements adaptatifs. Ces deux couches sont indispensables.
Le pare-feu de BroadNet est entraîné sur le trafic des opérateurs de la région MENA depuis 2003. Les données d'entraînement spécifiques à la région sont importantes : les schémas de fraude, les conventions d'identification de l'expéditeur et les topologies d'itinérance dans le Golfe diffèrent suffisamment des moyennes mondiales pour qu'un modèle générique soit moins performant.
À quoi ressemble un déploiement
Une mission type se déroule en mode surveillance seule pendant deux à quatre semaines afin d'établir une base de référence pour le trafic et d'ajuster les seuils sans bloquer aucun service, puis passe à une application active des règles. Les résultats de la première année suivent un schéma constant : le trafic A2P des routes grises ramené sur des routes facturées, une forte baisse des cas de smishing signalés par les abonnés et – un aspect que les opérateurs n'anticipent pas toujours – une visibilité bien plus claire sur les données relatives aux utilisateurs et aux types de données échangées sur le réseau.