Fraude au SMS pumping : comprendre l'AIT et la bloquer

Ce guide s'adresse aux ingénieurs, aux responsables produit et aux équipes antifraude qui exploitent une fonction envoyant un SMS à un numéro saisi par l'utilisateur. Il va plus loin que notre guide des messages OTP : comment les attaques de pumping sont construites, quels signaux les révèlent tôt et comment concevoir des contrôles qui arrêtent la facture sans bloquer les vrais clients.

Qu'est-ce que le SMS pumping, et à qui profite-t-il ?

Le SMS pumping, aussi appelé trafic artificiellement gonflé (AIT), est une fraude dans laquelle un attaquant fait envoyer par votre application des SMS vers des numéros choisis pour que quelqu'un gagne de l'argent sur chaque message délivré. MITRE ATT&CK le recense sous la technique T1496.003 et décrit des adversaires qui obtiennent des numéros qu'ils contrôlent, puis déclenchent de gros volumes de messages vers ceux-ci.

L'économie du système explique le comportement. Chaque SMS A2P comporte des frais de terminaison reversés le long de la chaîne de livraison jusqu'au réseau de destination. Lorsqu'un acteur de cette chaîne, ou celui qui contrôle une plage de numéros, partage ces revenus avec l'attaquant, chaque faux OTP devient un revenu pour lui et un coût pour vous. L'attaquant n'a pas besoin que vos messages arrivent à une vraie personne, ni qu'ils soient lus.

Comment fonctionne une attaque de SMS pumping ?

Une attaque type suit cinq étapes, et l'attaquant s'adapte si l'une d'elles est bloquée.

1. Trouver un déclencheur de SMS qui fonctionne sans compte connecté : inscription, OTP de connexion, réinitialisation de mot de passe, vérification de téléphone, « envoyez-moi le lien de l'application », invitations de parrainage ou double consentement (double opt-in) marketing.
2. Obtenir des numéros de destination dans des plages qui rapportent, souvent dans des pays où les tarifs de terminaison sont élevés et où l'entreprise visée compte peu de vrais utilisateurs.
3. Automatiser les requêtes avec des scripts ou des bots, en changeant d'adresses IP, d'empreintes d'appareil et d'agents utilisateurs pour contourner les limites simples.
4. Répartir la charge : de nombreux numéros dans les mêmes préfixes, ou des numéros consécutifs, à un rythme juste sous le seuil d'une alerte évidente.
5. Monter en puissance ou changer de cible : si le trafic passe, augmenter le volume, souvent la nuit ou le week-end quand la surveillance est réduite ; en cas de blocage, passer à un autre pays ou à un autre point d'envoi de SMS.

Tout point d'envoi de SMS accessible avant l'authentification est une cible, pas seulement l'écran d'OTP.

Quels sont les signaux d'alerte ?

Le signal le plus fiable est un volume de SMS qui croît sans croissance équivalente des actions menées à terme. Suivez ces indicateurs par pays et par préfixe de numéro, pas seulement au total.

Définissez les seuils d'alerte comme des écarts par rapport à votre propre référence pour chaque pays et chaque point d'accès. Un taux de conversion normal pour un marché mature diffère de celui d'un marché récent : des seuils mondiaux fixes produisent donc de fausses alertes.

Comment prévenir le SMS pumping ?

Utilisez des contrôles en couches, pour que le contournement de l'un ne vous laisse pas exposé. L'objectif est qu'un attaquant qui réussit ne puisse générer qu'un coût limité et plafonné avant d'être arrêté.

Couche 1 : stopper les bots avant le déclenchement d'un SMS

• Défi anti-bot ou score de risque sur chaque formulaire qui envoie des SMS, comme le recommande MITRE avec la protection CAPTCHA.
• Contrôles d'intégrité de l'application pour les applications mobiles, comme Google Play Integrity et Apple App Attest, afin que les requêtes proviennent d'une installation authentique.
• Exiger un comportement préalable : le point d'envoi de SMS ne doit accepter que les requêtes d'une session ayant chargé la page ou l'écran de l'application, avec un jeton valide émis par le serveur.

Couche 2 : contrôler les destinations

• Liste de pays autorisés où vous avez de vrais utilisateurs. Tout nouveau pays exige une demande métier explicite.
• Bloquer ou challenger les préfixes à risque dans les pays autorisés lorsqu'ils présentent des schémas d'attaque.
• Valider les numéros avant l'envoi : longueur et format corrects pour le pays et, pour les flux à fort volume, vérification du type de ligne ou de son statut par une vérification de numéro.

Couche 3 : limitations de débit sur plusieurs dimensions

Limitez par numéro de téléphone, par préfixe, par adresse IP et réseau, par appareil et par session, avec des fenêtres courtes et longues. Une limite par numéro seul échoue quand les attaquants changent de numéros ; une limite par IP seule échoue quand ils changent de proxys.

Couche 4 : coupe-circuits de dépenses

• Plafonds de dépenses quotidiens et horaires par pays et par point d'accès.
• Mise en pause automatique d'une destination lorsque le volume dépasse un multiple de son niveau normal, avec alerte d'une personne pour examen.

Couche 5 : conception de la vérification

• Un code par session, de courte durée de validité, à usage unique, comme le décrit le NIST SP 800-63B pour les authentifiants hors bande.
• Délais de renvoi progressifs et plafond strict de renvois.
• Proposer des alternatives comme des liens par e-mail ou des modèles d'authentification WhatsApp lorsque vos utilisateurs en disposent, pour que le SMS ne soit pas la seule voie.
• Ne pas envoyer de SMS pour les actions à faible risque qui n'exigent pas de vérification du téléphone.

Couche 6 : supervision et réponse

Des tableaux de bord de conversion de vérification, de volume et de dépenses par pays et par préfixe, consultés chaque jour, ainsi qu'une procédure qui indique qui peut bloquer un pays ou mettre un point d'accès en pause, et en combien de temps.

Exemple concret : une place de marché de Dubaï sous attaque

« Souq Rafiq » (nom fictif), une place de marché de petites annonces, envoie des OTP par SMS à l'inscription. Ses utilisateurs sont surtout aux Émirats arabes unis, en Arabie saoudite et en Égypte, mais le formulaire d'inscription accepte n'importe quel indicatif pays.

• Détection : un vendredi soir, le volume d'OTP vers un pays lointain triple. La conversion de vérification de ce pays tombe presque à zéro, tandis que celle des Émirats est inchangée. Les requêtes visent des numéros au préfixe commun.
• Réponse immédiate : l'ingénieur d'astreinte applique la procédure pour désactiver cette destination et ajoute un blocage temporaire du préfixe.
• Renforcement : l'équipe passe à une liste de pays autorisés, ajoute un défi anti-bot et un jeton de session au formulaire d'inscription, introduit des limites par numéro, IP et appareil, et fixe des plafonds de dépenses quotidiens par pays.
• Suite : une semaine plus tard, l'attaquant teste le formulaire de réinitialisation de mot de passe, qui n'avait toujours aucun défi. Le plafond de dépenses met le trafic en pause en quelques minutes ; l'équipe applique les mêmes contrôles à cet endroit et audite chaque point d'envoi de SMS.

Erreurs courantes et limites

• Protéger seulement l'écran d'OTP alors que la réinitialisation de mot de passe, les invitations et les formulaires de lien de téléchargement restent ouverts.
• Autoriser tous les pays par défaut parce que la bibliothèque de formulaire le fait.
• S'appuyer sur un seul contrôle, comme le CAPTCHA, sans plafonds.
• Ne regarder que le volume total. Les attaques se cachent dans les chiffres agrégés.
• Bloquer trop largement et exclure des utilisateurs légitimes en déplacement ou expatriés. Préférez des défis et des limites plus strictes à des interdictions générales sur les marchés que vous servez.
• Limites : aucun contrôle n'est complet ; les attaquants s'adaptent. Les estimations de pertes du secteur varient fortement et proviennent surtout d'éditeurs : mesurez votre propre exposition par le coût par utilisateur vérifié plutôt que de vous fier à des chiffres d'annonce.

Comment OmniChannels.ai vous aide

OmniChannels.ai prend en charge les OTP et notifications transactionnelles via des modèles d'authentification WhatsApp, avec OTP en un clic, sans action (zero-tap) et par copie du code, via des SMS acheminés par la connectivité opérateurs de BroadNet Technologies, et via la voix. Le HLR et la vérification de numéros (number lookup) vous permettent de contrôler les numéros avant l'envoi, et les rapports de livraison, avec vues synthétique et avancée, filtres et export CSV, vous aident à examiner le trafic par destination et par statut. La facturation fonctionne avec un portefeuille prépayé. L'envoi d'OTP et les webhooks de livraison sont documentés dans l'API REST publique.