haque opérateur de réseau mobile achemine du trafic non facturé. La terminaison A2P via les fermes de cartes SIM, la réinjection par les partenaires, l'injection SS7 MT-ForwardSM et les services OTT détournent tous les messages push destinés aux abonnés, les empêchant de transiter par les accords A2P censés les régir. Les pertes sont considérables : pour un opérateur MENA de premier plan, 20 à 40 % des revenus A2P auxquels le réseau a droit sont détournés. La solution ? Un pare-feu SMS : un système de contrôle de périmètre réseau qui inspecte chaque SMS à sa réception, le classe selon des règles et des modèles comportementaux déterministes, vérifie l'identifiant de l'expéditeur et la politique de routage, puis autorise, bloque ou redirige le message vers un chemin facturable. C'est sur ce point que les opérateurs doivent impérativement se baser pour concevoir, déployer et exploiter un tel pare-feu.
Les deux fonctions d'un pare-feu SMS
Un pare-feu remplit deux fonctions simultanément, et lors des discussions relatives à l'achat, l'une tend à primer sur l'autre selon les personnes présentes. Pour le directeur financier, le pare-feu est un outil de garantie des revenus : il identifie le trafic autorisé par un accord A2P, le bloque sur les chemins non autorisés et le redirige vers la facturation de l'opérateur. Pour le responsable de la sécurité des systèmes d'information (RSSI), le pare-feu est un outil de protection des abonnés : il bloque le smishing, l'usurpation d'identité de l'expéditeur, les campagnes d'interception des mots de passe à usage unique et les catégories de contenu que l'opérateur est tenu de contrôler par l'autorité de régulation. Ces deux fonctions utilisent les mêmes mécanismes de contrôle ; elles sont indissociables.
Comment fonctionne un pare-feu moderne ?
Trois couches, chacune capturant des motifs différents.
Couche 1 — inspection approfondie des paquets et règles déterministes
Chaque requête submit_sm ou MT-ForwardSM est analysée afin d'en extraire l'adresse d'origine, la destination, le corps du message, l'encodage, la période de validité, le schéma de codage des données, l'en-tête des données utilisateur et l'identifiant de protocole. Des règles déterministes vérifient la conformité avec un registre d'identifiants d'expéditeur (cet identifiant est-il autorisé sur cette route ?), des règles de catégorie (s'agit-il d'un message transactionnel ou marketing ? La plage horaire le permet-elle ?), la conformité à la norme GSMA IR.71 et des classificateurs de contenu (listes d'URL autorisées, mots-clés interdits, politique de caractères). L'inspection approfondie des paquets (DPI) intercepte les flux connus et ceux soumis à des règles spécifiques ; elle constitue le minimum requis par tout pare-feu.
Couche 2 — apprentissage automatique comportemental
Les règles seules ne suffisent pas face à des adversaires adaptatifs. Une couche comportementale évalue chaque identifiant d'expéditeur, chaque adresse IP source, chaque partenaire d'interconnexion et chaque plage de destinations par rapport à des critères de référence propres à chaque réseau : débit, délai entre les messages, chevauchement des destinataires pour différents identifiants d'expéditeur, similarité de l'empreinte du contenu (MinHash, n-grammes), comportement de nouvelle tentative et variations horaires. Les anomalies sont détectées sous forme d'événements évalués, qui sont soit automatiquement bloqués au-delà d'un certain seuil, soit mis en quarantaine pour analyse. L'apprentissage automatique repère les identifiants d'expéditeur changeants, le contenu standardisé contenant du bruit aléatoire et les réseaux de messagerie dont les machines n'adoptent pas un rythme de communication humain.
Couche 3 — corrélation inter-protocoles
Un pare-feu SMS efficace ne se contente pas d'analyser les SMS isolément. Il établit une corrélation avec la signalisation SS7 MAP (ce MT-ForwardSM a-t-il été précédé d'un SRI-SM légitime ? le MSC visité déclaré correspond-il à l'état d'itinérance réel de l'abonné ?), Diameter S6a pour le trafic LTE/5G et l'historique de facturation. Cette corrélation inter-protocoles permet de détecter les routes grises qui ont appris à contourner la détection monocouche.
Topologie de déploiement — trois modèles
Les opérateurs déploient les pare-feu SMS selon trois modèles architecturaux, chacun ayant des conséquences opérationnelles différentes.
| Modèle | Où il se trouve | Ce qu'il peut faire | Compromis |
|---|---|---|---|
| En ligne | Sur le chemin des messages SMS ; chaque message traverse le pare-feu avant d’atteindre le SMSC ou le MSC | Bloquer, mettre en quarantaine, modifier, limiter le débit, rediriger en temps réel | Impact maximal ; nécessite une planification rigoureuse des capacités et une haute disponibilité ; la marge de latence est très limitée. |
| Miroir (hors chemin) | Reçoit une copie du trafic via le moniteur SS7 ou l'exportation SMSC ; observe mais ne bloque pas | Détection, signalement, évaluation, référence ; pas d'application en temps réel | Impact nul sur la latence ; idéal pour les premières semaines de mise en place des bases de référence ; ne peut pas stopper les attaques à lui seul |
| Hybride | Mise en miroir par défaut ; application en ligne sur des catégories spécifiques ou des partenaires d’interconnexion spécifiques | Blocage sélectif en temps réel avec une large visibilité | Complexe sur le plan opérationnel ; nécessite une politique claire définissant ce qui est appliqué et ce qui est simplement observé. |
La méthode classique consiste à déployer le système en mode miroir pendant deux à quatre semaines, à établir une base de référence pour le trafic, à optimiser les règles et les seuils d'apprentissage automatique en fonction des schémas spécifiques à l'opérateur, puis à passer progressivement à une application en temps réel, en commençant par les catégories les plus fiables (terminaison des fermes de cartes SIM, usurpation d'identité de l'expéditeur) et en étendant ensuite la couverture. Les opérateurs qui optent pour une application en temps réel dès le premier jour, sans analyse préalable du trafic, déploient un pare-feu qui génère de faux positifs sur le trafic légitime de l'entreprise et provoque un incident auprès du support client dans les 48 premières heures.
GSMA FS.11 et le paysage des normes
Les pare-feu des opérateurs doivent être conformes à la norme GSMA FS.11 (directives relatives aux pare-feu SMS) et au cadre FS.07 associé (pare-feu de signalisation SS7). La norme FS.11 codifie les catégories d'attaques SMS contre lesquelles les opérateurs doivent se protéger, recommande des catégories de contrôle et fournit une taxonomie de référence qui simplifie considérablement les échanges entre l'opérateur et l'autorité de régulation lors de ses audits. Un pare-feu qui implémente explicitement les catégories FS.11 est conforme aux exigences de l'autorité de régulation et de l'évaluation par les pairs de la GSMA ; en revanche, un pare-feu qui ne les implémente pas nécessite une justification de la part de l'équipe de conformité de l'opérateur. Exigez la conformité à la norme FS.11 lors du choix du fournisseur.
Monétisation A2P — comment les revenus reviennent réellement
Une fois le pare-feu opérationnel, le mécanisme de recouvrement des revenus est simple : le trafic empruntant auparavant des circuits de type « SIM-farm » ou des routes grises est identifié et bloqué à la frontière du réseau. Les expéditeurs sont informés du rejet de leur trafic et sont incités à le terminer via un agrégateur autorisé, lequel détient une liaison A2P payante avec l’opérateur. Ce dernier perçoit ainsi le tarif de gros par message auquel il a toujours eu droit. Les réseaux dépourvus de tout pare-feu sont ceux qui ont le plus à récupérer. La maturité du réseau est un facteur important : les réseaux utilisant des pare-feu traditionnels basés uniquement sur des règles récupèrent moins, car les catégories les plus faciles à gérer sont déjà couvertes.
Les faux positifs sont le mode de défaillance le plus important.
Tout pare-feu bloque soit trop, soit trop peu ; la classification parfaite n'existe pas. Parmi les deux modes de défaillance, les faux positifs (trafic d'entreprise légitime bloqué) sont ceux qui entraînent des remontées d'information auprès de l'équipe commerciale de l'opérateur et des pressions pour désactiver complètement le pare-feu. Pour les réduire, il est essentiel de mettre en place une discipline opérationnelle rigoureuse : un processus d'analyse clair pour les messages mis en quarantaine, une procédure d'exception pour les listes blanches d'identifiants d'expéditeur, une catégorisation publiée que les expéditeurs d'entreprise peuvent consulter, et un examen hebdomadaire des principales sources de faux positifs. Un pare-feu qui ne récupère que 25 % du chiffre d'affaires A2P et génère douze remontées d'information par semaine auprès des entreprises est un pare-feu que l'opérateur désactive ; celui qui en récupère 20 % sans aucune remontée d'information est celui qui reste actif.
L'application de l'identification de l'expéditeur est le contrôle le plus efficace.
Si un opérateur ne déploie qu'un seul contrôle de pare-feu, il doit s'agir du contrôle d'identité de l'expéditeur au niveau du réseau. Un registre des identités d'expéditeur autorisées, avec les routes sur lesquelles elles sont autorisées, bloque la principale catégorie de trafic gris (identités d'expéditeur non autorisées entrant via l'interconnexion de partenaires) et empêche la principale source de préjudice pour les abonnés (usurpation d'identité de l'expéditeur dans le cadre du smishing). Tout autre contrôle vient s'ajouter à celui-ci.
Le pare-feu SMS opérateur de BroadNet est entraîné sur le trafic MENA depuis 2003. Les schémas de fraude régionaux, les conventions d'identification de l'expéditeur et les topologies d'itinérance diffèrent suffisamment des moyennes mondiales pour qu'un modèle générique soit moins performant. Le modèle de déploiement est basé sur une architecture miroir prioritaire, conforme à la norme FS.11, et inclut une correction documentée des faux positifs.
Quels changements cela peut-il apporter à l'opérateur après le déploiement ?
Trois éléments surprennent généralement les opérateurs durant les 90 premiers jours de mise en service d'un pare-feu SMS. Premièrement, la visibilité du trafic : nombre d'opérateurs découvrent pour la première fois la composition réelle de leur réseau A2P (qui envoie quoi, par quelle route et dans quelles catégories). Deuxièmement, le dialogue avec les autorités de régulation est facilité : la fourniture à la demande de statistiques de blocage conformes à la norme FS.11 transforme ces dernières d'un rôle d'auditeur en celui de collaborateur. Troisièmement, les échanges commerciaux avec les agrégateurs deviennent plus directs : l'opérateur dispose désormais des données nécessaires pour négocier et du pouvoir de négociation pour faire respecter des clauses contractuelles auparavant purement théoriques.
Deuxième année et suivantes — la courbe de maturité
Le déploiement d'un pare-feu SMS la première année permet de corriger les fuites évidentes et de stopper les abus manifestes. Au cours des deuxième et troisième années, le déploiement atteint sa pleine maturité ou stagne. Trois facteurs distinguent les opérateurs dont les pare-feu gagnent constamment en efficacité de ceux dont les pare-feu plafonnent.
- Un réentraînement comportemental continu est nécessaire : les schémas de fraude évoluent, les identifiants d’expéditeur changent et un modèle entraîné sur le trafic de 2024 est moins performant sur celui de 2026. Un réentraînement sur les données des 90 derniers jours spécifiques à l’opérateur, mensuel ou trimestriel, permet de maintenir le taux de détection à la hausse plutôt qu’à la baisse.
- Le partage de renseignements entre opérateurs permet de détecter les schémas de fraude observés chez un opérateur, qui se manifestent généralement chez les autres en quelques semaines. Les opérateurs participant au partage de renseignements régional ou coordonné par la GSMA sont avertis plus tôt des nouvelles attaques ; ceux qui n’y participent pas sont toujours à la traîne.
- Audits trimestriels des faux positifs : le processus d’analyse, qui gérait correctement les exceptions la première année, a tendance à se dégrader s’il n’est pas supervisé. Un examen trimestriel des journaux de faux positifs, avec ajout de règles à la liste blanche et suppression de règles, permet d’assurer le bon fonctionnement du système dans le temps.
erreurs courantes en matière d'approvisionnement
Lors du choix d'un fournisseur de pare-feu SMS, les opérateurs commettent quelques erreurs récurrentes, désormais bien connues du secteur. La principale : privilégier la démonstration à l'évaluation opérationnelle. Si tous les fournisseurs proposent une démonstration convaincante, rares sont ceux qui peuvent se targuer de clients satisfaits deux ans après le déploiement. La deuxième : sous-estimer les ressources d'analyse nécessaires à l'exploitation du système. La technologie est indispensable, mais insuffisante ; un pare-feu complet, exploité sans analyste dédié, est moins performant qu'un pare-feu plus simple, géré par un analyste. La troisième : privilégier les taxonomies de détection propriétaires aux catégories conformes à la norme FS.11, ce qui complique inutilement les échanges ultérieurs avec les autorités de réglementation et les pairs.
Lectures complémentaires
- Qu'est-ce qu'un pare-feu SS7 et comment protège-t-il les réseaux mobiles ?
- Routes directes versus routes grises dans les SMS A2P
- Comment la vérification flash des appels affecte les revenus A2P des opérateurs
- Glossaire — qu'est-ce qu'un pare-feu SMS, GSMA FS.07 / FS.11, qu'est-ce que la monétisation A2P
- Pages produits — pare-feu SMS opérateur et aperçu des solutions opérateur
- Couverture — Routage A2P des Émirats arabes unis et application de la TDRA