e « sMS pumping », également appelé « gonflement artificiel du trafic » (AIT), est une fraude où des bots envoient massivement des SMS contenant un mot de passe à usage unique et un système de vérification vers des plages de numéros contrôlées par un complice, qui perçoit une part des frais d'acheminement. Les opérateurs et les entreprises s'en protègent grâce à la limitation du débit, la validation des numéros de téléphone et un pare-feu SMS basé sur l'apprentissage automatique.
Comment fonctionnent réellement le pompage de SMS et l'AIT
Chaque formulaire d'inscription public, chaque demande de code OTP ou chaque bouton « renvoyer le code » est un moyen de faire payer une entreprise pour l'envoi d'un SMS. Lors d'une attaque AIT, un fraudeur automatise cette action des milliers de fois, en redirigeant le trafic vers des plages de numéros de destination qu'il contrôle, ou qu'un opérateur complice contrôle. Personne ne lit le code. Le message de vérification constitue le produit vendu, et l'entreprise propriétaire du formulaire paie pour chaque envoi.
D'après une analyse du secteur de la messagerie publiée par le Mobile Ecosystem Forum, les mots de passe à usage unique (OTP) et les messages de vérification représentent environ 89 % du trafic A2P international. C'est précisément pourquoi les mots de passe à usage unique constituent la principale surface d'attaque pour le pumping. Le format est universel, l'envoi est facturable et le paiement est automatique.
Les aspects économiques : pourquoi le pompage existe
L'AIT est un système de partage de revenus déguisé en trafic. Un opérateur malveillant ou complice perçoit des frais de terminaison A2P pour les messages arrivant sur ses plages d'adresses ; le fraudeur qui génère le trafic en perçoit une part. Comme les frais sont facturés par message et que la fraude n'entraîne aucune compensation légitime des coûts de livraison, l'incitation repose uniquement sur le volume. Le tableau ci-dessous indique qui bénéficie de la fraude à chaque étape.
| Faire la fête | Rôle dans l'attaque | Incitation |
|---|---|---|
| Opérateur de bot/fraudeur | Automatise les déclencheurs OTP sur les formulaires d'une cible | Partage des revenus sur les frais de terminaison |
| Opérateur de collusion / voyou | Met fin au trafic artificiel sur ses lignes de tir | Revenus de terminaison A2P gonflés |
| Entreprise (la victime) | Le propriétaire du formulaire d'inscription ou de code OTP faisant l'objet d'abus | Aucun — paie pour chaque envoi frauduleux |
| Opérateurs de transit légitimes | Acheminent le trafic de bonne foi | Frais de transit ordinaires, risque d'atteinte à la réputation |
Les indicateurs macroéconomiques expliquent l'urgence. Juniper Research prévoit que les pertes mondiales liées à la fraude par SMS atteindront environ 71 milliards de dollars en 2026. La fraude par intrusion (AIT) en particulier aurait culminé à près de 2,1 milliards de dollars en 2023 et serait en baisse à mesure que les systèmes de détection se perfectionnent ; toutefois, cette « tendance à la baisse » est la conséquence du déploiement de mesures de contrôle, et non d'un désintérêt des attaquants.
Signaux de détection révélant un cycle de pompage
L'IA ne ressemble pas au comportement humain, et c'est là sa faiblesse. Un pare-feu ou un système anti-fraude qui détecte les bons signaux permet de distinguer rapidement une base d'utilisateurs légitimes d'une ferme de bots.
- Effondrement des conversions — une augmentation soudaine des envois de codes OTP avec un taux quasi nul de codes réellement saisis ou validés.
- Concentration de la destination — regroupement du trafic sur un petit ensemble de plages de numéros, de préfixes ou sur un seul opérateur étranger qui n'a aucune raison commerciale de voir votre volume de vérification.
- Rythme mécanique régulier — intervalles entre les requêtes trop uniformes, ou pics d'activité qui suivent le calendrier d'un robot plutôt que les rythmes circadiens humains.
- Apparition de nouvelles plages de prix — trafic de vérification atterrissant soudainement sur des plages de prix que votre produit n'a jamais légitimement atteintes auparavant.
- Dérive du coût par conversion — l'indicateur qui fait le lien : vos dépenses par vérification réussie augmentent alors que le nombre de vérifications réussies reste stable.
Comment l'arrêter : une défense à plusieurs niveaux
Aucun contrôle isolé n'est suffisant. Le pompage est stoppé en combinant des mesures d'hygiène côté entreprise avec des contrôles réseau côté opérateur.
- Limitation du débit au niveau du formulaire et de l'API : par adresse IP, par appareil, par compte et par plage de destinations. Limite le nombre de renvois de mots de passe à usage unique et ajout d'un délai exponentiel afin d'empêcher un acteur unique d'effectuer des envois illimités.
- Validez le numéro avant l'envoi : utilisez une recherche de numéro en direct / une vérification HLR pour éliminer les plages invalides, non attribuées ou à haut risque avant même qu'elles ne deviennent un message facturable.
- Ajoutez un contrôle sur les inscriptions suspectes : une vérification légère par robot du formulaire supprime l’automatisation dont dépend AIT.
- Déployez un pare-feu SMS côté opérateur — voir le pare-feu SMS de BroadNet, qui évalue chaque soumission en fonction de la réputation de l'identifiant de l'expéditeur, de la réputation de la route et des bases de référence comportementales.
- Exécutez une détection de fraude ML continue — Les modèles anti-fraude SMS de BroadNet mettent en corrélation le débit, la similarité du contenu et le chevauchement des destinataires entre les expéditeurs et les routes pour détecter les attaques adaptatives que les règles statiques manquent.
Juniper Research prévoit que la part du trafic A2P domestique empruntant des routes légales passera de 80,6 % en 2024 à 86,5 % en 2029, conséquence directe de l'efficacité des pare-feu et des registres pour bloquer le trafic gris et frauduleux. Le trafic illicite diminue lorsque le réseau est surveillé.
Ce que les entreprises peuvent faire cette semaine
Il n'est pas nécessaire d'être opérateur pour se protéger. Commencez par modéliser votre exposition : utilisez l'estimateur de coût OTP pour évaluer le coût d'un pic de trafic important par rapport à vos volumes actuels, puis limitez les renvois et ajoutez une validation des numéros avant l'envoi. Lors de l'envoi de codes de vérification, acheminez-les via un fournisseur intégrant un pare-feu et une analyse anti-fraude en temps réel ; la solution OTP delivery de BroadNet applique ces deux mesures avant même que le message ne quitte la plateforme. Pour une explication synthétique, notre réponse à la question qu'est-ce que l'AIT constitue une excellente introduction à partager en interne.
Foire aux questions
Quelle est la différence entre le pompage SMS et l'AIT ?
Ils décrivent la même fraude. Le terme « injection de SMS » met l'accent sur l'action : l'automatisation de l'envoi de codes OTP ou de vérifications afin de gonfler artificiellement le volume facturable. Le trafic ainsi généré est appelé « trafic artificiellement gonflé ». En pratique, ces expressions sont utilisées indifféremment pour désigner les messages de vérification générés par des bots dans le seul but de générer des revenus liés à la terminaison d'appels.
Pourquoi les mots de passe à usage unique sont-ils la principale cible des AIT ?
Étant donné que les messages OTP et de vérification représentent environ 89 % du trafic A2P international (Mobile Ecosystem Forum), le formulaire OTP est le moyen de facturation le plus courant qu'un inconnu peut obtenir sans authentification. Un bouton public « Envoyer le code » permet à un attaquant de générer des messages payants à la demande, ce qui constitue précisément l'élément de base d'une arnaque au pumping.
La limitation du débit peut-elle à elle seule stopper l'envoi massif de SMS ?
Cela aide, mais ce n'est pas suffisant. La limitation du débit ralentit un acteur isolé, or les attaques distribuées répartissent les requêtes sur de nombreuses adresses IP, appareils et comptes afin de respecter les limites par source. Pour stopper efficacement les attaques AIT, il est nécessaire de combiner la limitation du débit, la validation des numéros, un pare-feu côté réseau et un système d'évaluation comportementale de la fraude permettant de corréler l'activité entre les différentes sources.
La fraude liée à AIT va-t-elle s'améliorer ou s'aggraver en 2026 ?
Les pertes liées à l'AIT sont en baisse par rapport au pic d'environ 2,1 milliards de dollars atteint en 2023 (Juniper Research), à mesure que les pare-feu et les registres se généralisent, mais les pertes totales dues à la fraude par SMS devraient encore avoisiner les 71 milliards de dollars en 2026. Ce type de fraude est contenu là où des contrôles sont déployés, mais reste coûteux là où ils ne le sont pas.
Références
- Juniper Research — Recherche sur la fraude et la sécurité dans le secteur des télécommunications : juniperresearch.com
- Forum de l'écosystème mobile — Messagerie A2P et signalements de fraude : mobileecosystemforum.com
- GSMA — Ressources sur la sécurité de la messagerie et la fraude A2P : gsma.com