Fraude par SMS: comment fonctionne l’AIT et comment les entreprises peuvent s’en prémunir

Dans un processus OTP classique, un utilisateur saisit son numéro de téléphone, demande un code de vérification, reçoit le SMS et saisit ce code pour continuer. Le « sMS pumping » utilise le même mécanisme à des fins différentes.

Des bots ou des scripts automatisés déclenchent de manière répétée l'envoi de SMS. Au lieu de provenir d'utilisateurs légitimes, ces SMS sont envoyés à des numéros de téléphone sélectionnés ou contrôlés spécifiquement pour cette fraude. Ces numéros peuvent apparaître par plages, groupes ou autres schémas qui ne correspondent probablement pas à une acquisition de clients classique.

L'élément essentiel est l'intention: l'attaquant ne cherche pas principalement à obtenir un code de vérification utile. Son objectif est de générer du trafic SMS facturable.

C’est pourquoi l’envoi massif de SMS est généralement classé dans la catégorie « trafic artificiellement gonflé ». Du point de vue du système de messagerie, le trafic est réel: une application a demandé des messages et le réseau les a traités. Cependant, la demande sous-jacente des utilisateurs est artificielle.

Les points d'entrée les plus exposés sont les flux automatisés qui permettent à un numéro de téléphone de déclencher l'envoi d'un SMS avec une grande facilité, notamment:

- Vérification du code OTP et du compte

- formulaires d'inscription et d'enregistrement

- Réinitialisation du mot de passe et récupération du compte

- Flux de code promotionnel ou de téléchargement d'application

- déclencheurs de notification et autres points de terminaison de messagerie automatisés

L'AIT est fortement associée au trafic de vérification, mais les entreprises ne doivent pas supposer que les mots de passe à usage unique (OTP) constituent la seule cible possible. Tout processus exposé au public et capable de générer automatiquement du trafic SMS payant peut intéresser un attaquant.

Comprendre les aspects économiques de l'attaque facilite l'interprétation des signes avant-coureurs.

Le propriétaire de l'application paie pour le trafic SMS qu'elle génère. Dans une attaque par injection de SMS, l'attaquant dirige ce trafic vers des destinations où les revenus générés peuvent profiter à des parties connectées à la même plage de numéros ou au même réseau de télécommunications.

En pratique, les accords de partage des revenus peuvent impliquer les propriétaires de plages de numéros, les agrégateurs de SMS, les opérateurs de réseau mobile virtuel (MVNO) ou d'autres acteurs de la chaîne de distribution. Tous les fournisseurs ou opérateurs d'un itinéraire ne sont pas impliqués sciemment; certains peuvent être victimes de fraude à leur insu. Une entreprise doit donc éviter de présumer qu'un opérateur, un agrégateur ou une destination utilisé régulièrement est automatiquement complice.

Du point de vue de l'application, le résultat est toutefois le même: elle rémunère des messages qui ne représentent ni de véritables utilisateurs ni une demande légitime.

Cela explique également pourquoi une attaque par pompage peut privilégier certaines destinations ou plages de numéros au lieu d'envoyer des requêtes aléatoirement à l'ensemble de la clientèle. Une plage de numéros concentrée peut s'avérer économiquement avantageuse pour le fraudeur, même si cela paraît anormal du point de vue du propriétaire de l'application.

L'envoi massif de SMS peut se manifester par une augmentation soudaine, mais les technologies AIT modernes peuvent également être diffusées suffisamment lentement pour se fondre dans le trafic ordinaire. La surveillance doit donc se concentrer sur des combinaisons de signaux plutôt que sur un seuil fixe.

1. Plages de numéros groupées ou séquentielles. Un groupe de requêtes adressées à des numéros de téléphone adjacents ou très proches est un signe d'alerte important. Les utilisateurs légitimes présentent généralement une variation plus naturelle. Une concentration sur un même préfixe, une même plage, un même opérateur ou un même pays de destination mérite d'être examinée. Cependant, les équipes ne doivent pas se fier uniquement aux numéros séquentiels, car des attaquants plus sophistiqués peuvent répartir aléatoirement les destinations entre différentes familles de numéros.

2. Requêtes régulières ou automatisées. La demande humaine est généralement irrégulière. Les bots peuvent présenter un comportement anormalement constant: demandes de vérification arrivant à intervalles réguliers, volumes similaires répétés sur des périodes définies, ou même flux de travail déclenché avec peu de variations. L’automatisation à faible volume peut être particulièrement difficile à détecter car elle ne génère jamais de pic significatif.

3. Activité durant les périodes de faible surveillance. Les tentatives de fraude peuvent être planifiées pendant les périodes où moins de personnes consultent activement les tableaux de bord opérationnels, notamment la nuit ou durant les heures creuses. Le trafic nocturne n'est pas suspect en soi, mais ce schéma explique pourquoi les contrôles antifraude doivent être continus et ne pas dépendre de la simple observation d'un tableau de bord par une personne.

4. Trafic sans vérification ni résultats commerciaux. Si le volume de SMS augmente sans que le nombre de vérifications, d'inscriptions, de connexions, d'achats ou autres actions utilisateur attendues n'augmente en conséquence, ce trafic mérite une attention particulière. Un écart croissant entre les messages envoyés et les actions utilisateur réussies est souvent plus révélateur que le simple volume d'envois.

5. Zones géographiques, opérateurs ou itinéraires inhabituels. Une augmentation soudaine des demandes provenant de pays, de préfixes ou d'itinéraires qui ne correspondent pas à la clientèle habituelle de l'entreprise peut indiquer une utilisation abusive. Les anomalies géographiques sont d'autant plus significatives lorsqu'elles s'accompagnent d'un faible taux de conversion, de chiffres regroupés ou d'un horaire inhabituel pour les demandes.

Ces signaux doivent être considérés comme des indices à examiner, et non comme des preuves à eux seuls. Les nouveaux modèles AIT peuvent également couvrir une plus grande partie du flux utilisateur normal ou répartir le trafic sur plusieurs familles de numéros, ce qui rend la détection par une règle unique moins fiable.

Le préjudice le plus évident concerne le coût des SMS. Chaque demande frauduleuse peut générer un SMS facturable sans pour autant aboutir à un client réel.

Mais l'impact opérationnel va plus loin.

L'AIT peut fausser les indicateurs d'acquisition et de vérification en ajoutant de fausses requêtes au processus. Les taux de conversion peuvent chuter même si le comportement légitime des clients reste inchangé. Le coût par utilisateur vérifié peut augmenter. Les rapports de messagerie deviennent plus confus, ce qui complique la tâche des équipes produit et opérations pour comprendre la situation réelle.

Les attaques de grande ampleur peuvent également mettre à rude épreuve l'infrastructure de vérification et le service client. Si une entreprise réagit par des règles de blocage trop générales, des utilisateurs légitimes risquent d'être pris au piège et de subir des rejets de requêtes, des retards dans la réception des codes OTP ou des difficultés à récupérer leur compte.

Cela crée le principal compromis en matière de prévention de la fraude: les contrôles doivent être suffisamment robustes pour réduire le trafic artificiel sans pour autant transformer la vérification normale en un processus frustrant.

Il n'existe aucun moyen de contrôle unique permettant d'arrêter systématiquement tous les schémas d'attaque AIT. Une défense efficace combine des restrictions au niveau de la couche application avec la surveillance du trafic et l'analyse des données de messagerie.

1. Limitez le nombre d'actions déclenchant l'envoi de SMS. Ces limites doivent être mises en place avant qu'un attaquant puisse générer du trafic payant de manière répétée. Ne vous contentez pas d'examiner le numéro de téléphone. Selon l'application, les limites peuvent également prendre en compte le compte, la session, l'appareil, l'adresse IP, le préfixe de destination ou d'autres attributs de la requête. La mise en place de plusieurs contrôles complique la tâche d'un bot qui tenterait de contourner une règle en changeant simplement les numéros.

Les limites doivent également tenir compte du parcours utilisateur réel. Un client légitime peut avoir besoin d'une nouvelle tentative, mais des dizaines de requêtes de code en peu de temps ne correspondent que rarement à une expérience de vérification normale.

2. Instaurer des mesures de restriction lorsque le comportement devient risqué. Le trafic normal peut suivre le flux standard, tandis qu'un comportement suspect peut déclencher une vérification supplémentaire, un délai de latence ou une limite de requêtes plus stricte. Cela évite d'appliquer des contrôles d'urgence à chaque client légitime.

3. Surveillez le comportement des envois de SMS de vérification. Un SMS de vérification doit normalement mener à une action concrète. Suivez la relation entre les demandes de code OTP, la vérification réussie du code, les inscriptions finalisées et les autres actions en aval.

Un pic de trafic accompagné d'un fort taux de conversion peut refléter une campagne ou un événement produit réel. Un pic similaire, mais sans presque aucune vérification effectuée, indique une tout autre réalité.

Pour les flux basés sur OTP, le API de vérification TopMessage peut gérer la génération, la distribution, la validation du code OTP, les nouvelles tentatives contrôlées et le rapport de vérification au sein d'un seul processus de vérification.

4. Utilisez les contrôles de numéros de manière sélective. La validation des numéros peut aider à identifier certaines destinations manifestement de mauvaise qualité ou inappropriées, mais elle ne doit pas être considérée comme une solution AIT complète.

La validation de format de base ne permet pas de déterminer si un numéro correctement formaté est utilisé dans le cadre d'une fraude. Des analyses plus poussées de la disponibilité, de l'opérateur ou du type de ligne peuvent fournir des indications utiles, mais ces vérifications ont un coût et les attaquants les plus sophistiqués peuvent s'y adapter.

La question pertinente est de savoir si le contrôle supplémentaire permet une réduction des risques suffisante pour le trafic protégé. Pour une analyse plus approfondie de ce compromis, voir Validation des numéros de téléphone pour les SMS: quand les vérifications avant envoi sont réellement pertinentes.

5. Limitez le trafic inutile. Si une entreprise n'a ni utilisateurs ni besoin opérationnel dans une destination donnée, autoriser un trafic de vérification illimité dans cette destination crée des risques inutiles.

Les restrictions géographiques, liées aux opérateurs, aux préfixes ou aux flux de travail, peuvent s'avérer utiles lorsqu'elles reposent sur des besoins métiers réels et sont régulièrement réexaminées. Évitez les blocages permanents et généralisés fondés sur un seul incident, sauf si l'analyse de rentabilité les justifie.

Lorsqu'un trafic suspect apparaît, la première tâche consiste à le contenir sans détruire les preuves utiles.

Commencez par identifier le flux de travail à l'origine des messages. Comparez la période concernée avec le trafic de référence récent, les taux de conversion, les pays de destination, les préfixes, les opérateurs et le moment des requêtes. Recherchez les regroupements de numéros, les schémas de requêtes réguliers et les attributs communs aux requêtes suspectes.

Réduisez ensuite l'exposition en utilisant le contrôle le plus ciblé et efficace. Cela peut impliquer de baisser temporairement les limites de requêtes, de restreindre un itinéraire ou une zone géographique, d'ajouter une vérification au formulaire concerné ou de suspendre un déclencheur automatique spécifique.

Conservez les journaux d'activité avant d'apporter des modifications importantes. Les équipes de sécurité, de produit, d'exploitation et de finance pourraient avoir besoin de ces mêmes données ultérieurement pour comprendre quand l'attaque a commencé, le volume de trafic généré et si les mesures d'atténuation ont fonctionné.

Après la résolution du problème, évitez de simplement rétablir l'ancienne configuration. Identifiez le contrôle défaillant et mettez en place une surveillance pour ce même mode de défaillance. L'objectif n'est pas seulement d'arrêter un incident, mais aussi de réduire le délai entre un comportement anormal et la réponse automatisée lors de la prochaine occurrence.

La prévention de la fraude par SMS repose sur une approche comportementale, et non sur un seul indicateur d'alerte. L'objectif est de créer un système de prévention de la fraude par SMS basé sur les comportements, et non sur un seul signal d'alerte. Ce système doit être fondé sur la détection des comportements et non sur un seul indicateur.

Les anciens schémas d'envoi massif de SMS étaient souvent faciles à repérer: des pics de trafic évidents et des séries de numéros similaires. Ces signaux restent utiles, mais ne suffisent plus à eux seuls.

L'IA peut s'étendre au fil du temps, des destinations, des opérateurs, des appareils et des sessions. Les attaquants peuvent également imiter certains comportements légitimes. Par conséquent, un programme anti-fraude efficace doit comparer plusieurs signaux: volume de trafic, vitesse des requêtes, modèles numériques, zone géographique, taux de conversion, données historiques et contexte du flux de travail exploité.

Les contrôles les plus efficaces sont également organisés en plusieurs niveaux. La limitation du débit réduit la vitesse à laquelle les abus peuvent se propager. L'application d'un système de friction basé sur les risques complexifie l'automatisation. Les rapports de vérification mettent en évidence l'écart entre les messages envoyés et les utilisateurs qui finalisent effectivement le processus. L'analyse de la destination et du numéro peut fournir un contexte supplémentaire lorsque cela est économiquement justifié.

La fraude par SMS est fondamentalement un problème de demande artificielle. L'entreprise paie pour des échanges de messages qui semblent suffisamment légitimes pour être intégrés au système, mais qui ne proviennent pas de clients réels.

La meilleure défense n'est donc pas une liste de blocage parfaite. Il s'agit d'un système de messagerie qui reconnaît le comportement normal des utilisateurs, détecte les écarts de trafic et peut réagir avant que des requêtes abusives n'entraînent une facture salée.