Fraude par SMS pumping : détection et prévention

La fraude par SMS pumping est une cybercriminalité en pleine expansion qui peut coûter à votre entreprise des milliers, voire des millions de dollars en frais SMS imprévus. Il s’agit d’une attaque sophistiquée qui exploite les systèmes de messagerie texte connectés aux applications web et aux formulaires, transformant vos processus légitimes de vérification par SMS en sources de profit pour les criminels.

Comprendre comment fonctionne le SMS pumping et mettre en œuvre les bonnes mesures de protection peut permettre à votre organisation d’éviter des pertes financières importantes et des interruptions de service. Dans cet article, vous découvrirez ce qu’est la fraude par SMS pumping, comment les acteurs malveillants en tirent profit, quels secteurs sont les plus à risque, comment détecter les attaques à un stade précoce et comment protéger votre entreprise contre ces attaques coûteuses.

Points clés

• Le SMS pumping exploite tout système envoyant des messages texte automatisés, des codes de connexion aux offres promotionnelles, ce qui rend pratiquement toutes les entreprises vulnérables.
• Les fraudeurs utilisent des bots pour déclencher l’envoi de milliers de SMS vers des numéros surtaxés qu’ils contrôlent, tirant profit des frais de livraison élevés facturés à votre entreprise.
• Les schémas géographiques et les numéros de téléphone séquentiels sont les signaux d’alerte les plus fiables pour détecter les attaques avant que les coûts ne deviennent incontrôlables.
• Une protection multicouche combinant blocage géographique, limitation du débit et validation des formulaires offre une défense plus efficace que toute mesure de sécurité isolée.
• La protection avancée contre les bots constitue la défense la plus efficace en stoppant les attaques automatisées avant même que des requêtes SMS frauduleuses ne soient générées.

Qu’est-ce que la fraude par SMS pumping ?

Le SMS pumping, également appelé trafic artificiellement gonflé (AIT) ou fraude par SMS surtaxés, survient lorsque des cybercriminels utilisent des bots automatisés pour inonder vos systèmes SMS de requêtes frauduleuses. Ces attaques ciblent tout système envoyant automatiquement des messages texte, comme les vérifications par code à usage unique ou les liens de téléchargement d’applications.

Voici comment cela fonctionne : les fraudeurs insèrent des numéros surtaxés dans vos formulaires en ligne et déclenchent l’envoi de SMS vers ces numéros par votre système. L’opérateur de réseau mobile (MNO) facture des frais élevés pour la livraison de messages vers ces destinations surtaxées. Dans de nombreux cas, des MNO peu scrupuleux collaborent avec les fraudeurs et partagent les revenus générés par ces frais SMS gonflés.

L’ampleur du problème est considérable. Selon Mobile Europe, 20 milliards de faux messages SMS A2P ont été envoyés en 2023, représentant 5 % de l’ensemble du trafic SMS A2P. Les entreprises ont dépensé 1,16 milliard de dollars pour ces messages frauduleux rien qu’en 2023⁽¹⁾.

Comment fonctionne le SMS pumping ?

Les attaques par SMS pumping suivent un schéma prévisible qui les rend rentables pour les acteurs malveillants.

1. Identification des cibles : Les fraudeurs scannent Internet à la recherche de sites web et d’applications dotés de formulaires SMS, en particulier ceux proposant des promotions, des vérifications de compte ou des réinitialisations de mot de passe.
2. Déploiement de bots : Des bots automatisés remplissent ces formulaires en utilisant des numéros surtaxés qui appliquent des frais de connexion plus élevés.
3. Génération de revenus : Votre système envoie des SMS vers ces numéros frauduleux, générant des frais qui transitent par l’opérateur mobile jusqu’aux fraudeurs.
4. Partage des profits : Les fraudeurs reçoivent une part des revenus pour chaque SMS envoyé vers les numéros qu’ils contrôlent.

La clé de la rentabilité du SMS pumping réside dans le volume. Les attaquants doivent générer des milliers, voire des dizaines de milliers de requêtes SMS frauduleuses pour gagner de l’argent, ce qui explique leur forte dépendance à l’automatisation.

5 secteurs les plus exposés au SMS pumping

Bien que toute entreprise utilisant la vérification par SMS puisse être ciblée, certains secteurs sont plus à risque :

• Banque et services financiers : Les fraudeurs exploitent les systèmes de connexion par SMS en utilisant des identifiants volés issus de violations de données pour déclencher un volume massif de demandes de codes OTP.
• Plateformes e-commerce : Les boutiques en ligne proposant des codes promotionnels ou une vérification de compte par SMS sont des cibles courantes pour les attaques via formulaires web.
• Voyage et hôtellerie : Les plateformes de réservation et applications de voyage utilisant le SMS pour les confirmations de réservation et la vérification de compte subissent fréquemment des attaques de pumping.
• Fournisseurs de soins de santé : Les portails patients et systèmes de prise de rendez-vous qui envoient des confirmations par SMS peuvent être exploités, en particulier lors des périodes de forte activité.
• Entreprises technologiques : Les applications et plateformes nécessitant une vérification téléphonique lors de l’inscription de nouveaux utilisateurs sont des cibles attrayantes en raison de leur échelle.

L’impact financier de la fraude SMS sur les entreprises

La fraude par SMS pumping engendre plusieurs sources de coûts qui peuvent rapidement devenir incontrôlables :

• Coûts directs liés aux SMS : Vous payez des tarifs gonflés pour des messages envoyés vers des numéros surtaxés, souvent sans savoir qu’il s’agit de trafic frauduleux.
• Coûts liés aux interruptions de service : Des attaques à grande échelle peuvent vous contraindre à désactiver temporairement les services SMS, empêchant ainsi vos clients légitimes d’accéder à votre plateforme.
• Frais d’enquête et de remédiation : La détection et l’arrêt des attaques nécessitent des ressources techniques et potentiellement le recours à des consultants en sécurité externes.
• Charge du support client : Les utilisateurs légitimes peuvent rencontrer des retards ou des échecs de livraison de SMS pendant les attaques, augmentant le volume de tickets de support.
• Atteinte à la réputation : Si les clients associent votre marque à du spam ou à un service peu fiable, cela peut nuire à vos relations commerciales sur le long terme.

L’impact financier varie selon les secteurs et l’ampleur de l’attaque, mais même les petites entreprises peuvent se retrouver avec des factures de plusieurs dizaines de milliers de dollars après une seule attaque coordonnée.

Comment détecter les attaques de SMS pumping

Détecter le SMS pumping à un stade précoce permet de limiter les dommages et les coûts. Surveillez les signes d’alerte suivants :

• Pics de trafic inhabituels : Hausse soudaine du volume de SMS, notamment en dehors des heures ouvrées ou des périodes saisonnières habituelles.
• Anomalies géographiques : Grand nombre de demandes de SMS en provenance de pays où votre entreprise n’a ni clients ni activité.
• Numéros de téléphone séquentiels : Requêtes provenant de numéros suivant des schémas évidents, comme +1234567890, +1234567891, +1234567892.
• Soumissions de formulaires incomplètes : Formulaires web partiellement remplis mais déclenchant tout de même l’envoi de SMS.
• Baisse des taux de conversion : Diminution du pourcentage d’utilisateurs qui finalisent la vérification après réception du SMS.
• Épuisement du budget : Consommation rapide de votre budget SMS mensuel sans croissance commerciale correspondante.
• Modèles d’attaques en rafales : Périodes brèves et intenses d’activité SMS suivies de retours à la normale, répétées à intervalles réguliers.

Comment prévenir le SMS pumping

Protéger votre entreprise contre le SMS pumping nécessite une approche multicouche :

Ajouter un CAPTCHA

Ajouter des défis CAPTCHA aux formulaires déclenchant des envois de SMS peut considérablement réduire les attaques automatisées. Commencez par des CAPTCHA invisibles qui analysent le comportement de l’utilisateur sans ajouter de friction, puis passez à des défis visuels uniquement pour les requêtes suspectes.

Envisagez des systèmes CAPTCHA progressifs qui augmentent la difficulté en fonction de signaux de risque comme la réputation IP, les empreintes device ou les schémas de requête. Cette approche maintient une bonne expérience utilisateur tout en bloquant efficacement le trafic automatisé.

Cela dit, les CAPTCHA traditionnels ont un fort impact sur l’expérience utilisateur et ne sont pas des solutions suffisantes contre les attaques sophistiquées.

Limitation du débit

Mettez en place plusieurs niveaux de limitation pour contrôler efficacement le volume de SMS. Définissez des seuils par numéro de téléphone (ex. : 3 demandes SMS par heure), par adresse IP (pour détecter les attaquants utilisant plusieurs numéros) et par session utilisateur.

Envisagez une stratégie de temporisation exponentielle, où le délai entre les requêtes augmente progressivement. Par exemple, autorisez un SMS immédiat pour la première requête, puis imposez 5 minutes d’attente pour la deuxième, 15 pour la troisième, etc.

Surveillez et ajustez ces limites en fonction des usages légitimes. Les sites e-commerce peuvent nécessiter des seuils plus élevés lors d’événements commerciaux, tandis que les applications bancaires peuvent appliquer des règles plus strictes.

Restrictions géographiques

Bloquez la livraison de SMS vers les pays où vous n’opérez pas. Commencez par analyser votre base client légitime pour identifier les pays réellement desservis, puis créez une liste d’autorisation (allowlist) des destinations approuvées.

Portez une attention particulière aux destinations SMS coûteuses, notamment dans certaines régions d’Afrique, d’Asie-Pacifique et certaines îles où les numéros surtaxés sont couramment utilisés dans les fraudes. De nombreux fournisseurs SMS proposent des contrôles de blocage par pays configurables via leurs interfaces ou APIs.

Pour les entreprises ayant une clientèle internationale, vous pouvez mettre en place des étapes de vérification supplémentaires pour les requêtes provenant de pays à risque connu, plutôt que de les bloquer systématiquement.

Validation des numéros dans les formulaires

Renforcez vos formulaires au-delà des simples champs obligatoires. Utilisez une validation des formats de numéros de téléphone qui vérifie les indicatifs pays et les longueurs réalistes par région. Soyez attentif aux schémas suspects comme les numéros séquentiels, les envois rapides depuis une même plage ou les numéros incohérents avec d’autres données géographiques du formulaire.

Exigez que tous les champs obligatoires soient complétés avant d’autoriser l’envoi du SMS, et ajoutez une étape de confirmation affichant le numéro avant l’envoi du code de vérification. Cette friction minimale peut dissuader les soumissions automatisées tout en permettant aux utilisateurs légitimes de corriger une éventuelle erreur.

Méthodes d’authentification alternatives

Réduisez votre dépendance au SMS en mettant en place une authentification via application mobile (Google Authenticator, Authy ou application personnalisée). Ces méthodes éliminent les coûts SMS tout en offrant souvent une sécurité renforcée.

L’authentification via application est souvent plus sécurisée que l’authentification par SMS

Envisagez les notifications push via votre application mobile comme alternative aux codes SMS. Les utilisateurs reçoivent une alerte instantanée qu’ils peuvent approuver ou refuser directement dans l’application, ce qui améliore l’expérience tout en éliminant les risques de SMS pumping.

Pour les applications web, explorez la vérification par email, les clés de sécurité physiques ou l’authentification biométrique, selon les cas d’usage. Chaque méthode a un impact différent sur l’expérience utilisateur, il est donc essentiel de les tester avec votre audience avant un déploiement global.

Protection avancée contre les bots

Utilisez une solution complète de protection contre les bots capable d’analyser plusieurs signaux en temps réel pour identifier le trafic automatisé. Les solutions modernes examinent les empreintes device, les schémas comportementaux, les mouvements de souris, la frappe clavier et les caractéristiques réseau pour distinguer humains et bots.

Recherchez des solutions dont les modèles de détection sont continuellement mis à jour à mesure que les méthodes d’attaque évoluent. Les systèmes les plus efficaces s’appuient sur l’apprentissage automatique et l’intelligence des menaces à l’échelle mondiale pour identifier les nouveaux schémas d’attaque avant qu’ils ne deviennent répandus.

Assurez-vous que votre solution de protection contre les bots s’intègre parfaitement à votre infrastructure SMS existante et qu’elle peut prendre des décisions de blocage en quelques millisecondes, sans impacter l’expérience utilisateur légitime.

Qu’est-ce que la protection contre le SMS pumping ?

La protection contre le SMS pumping désigne des solutions de sécurité spécialisées conçues pour identifier et bloquer le trafic SMS frauduleux avant qu’il ne génère des coûts pour votre entreprise. Les systèmes modernes de protection SMS fonctionnent avec :

• Analyse en temps réel : Examiner chaque requête SMS au moment où elle se produit afin d’identifier les schémas caractéristiques des attaques de pumping.
• Scoring de risque : Attribuer des niveaux de risque aux numéros de téléphone, régions géographiques et schémas de requête à partir de données historiques de fraude.
• Blocage automatique : Empêcher l’envoi de SMS suspects tout en laissant passer le trafic légitime sans interruption.
• Apprentissage continu : S’adapter aux nouvelles méthodes d’attaque et améliorer la précision de détection dans le temps.
• Capacités d’intégration : Fonctionner de manière fluide avec l’infrastructure SMS existante et les processus métier.

Stoppez le SMS pumping avec DataDome

Les attaques de SMS pumping continuent de gagner en sophistication et en ampleur, rendant la protection proactive essentielle pour toute entreprise utilisant la vérification ou la communication par SMS.

La protection en temps réel contre les bots de DataDome s’intègre facilement à votre infrastructure existante, en identifiant et bloquant les tentatives de SMS pumping en quelques millisecondes. Notre solution basée sur l’apprentissage automatique a aidé des clients de tous secteurs à éliminer le trafic SMS frauduleux tout en préservant une expérience fluide pour les utilisateurs légitimes.

N’attendez pas qu’une attaque touche votre entreprise. Essayez DataDome gratuitement pour découvrir la détection des menaces en temps réel. Protégez vos systèmes SMS dès aujourd’hui.

Sources

1. https://www.mobileeurope.co.uk/5-of-application-to-person-smss-were-fraudulent-in-2023/