Le SMS pumping, aussi appelé trafic artificiellement gonflé (AIT, artificially inflated traffic), consiste pour des bots à déclencher un grand nombre de SMS depuis les formulaires d'inscription, de connexion ou d'OTP d'une entreprise vers des numéros dont le revenu de terminaison est partagé avec le fraudeur. L'entreprise paie des messages que personne n'a demandés. La défense : surveiller le taux de conversion des vérifications, limiter les envois par numéro, par pays et par IP, et n'ouvrir que les pays que vous servez.
Le fonctionnement, en bref
Tout formulaire qui envoie un SMS quand un utilisateur saisit un numéro peut être abusé. Des scripts automatisés soumettent des milliers de numéros, souvent dans des plages de quelques pays et souvent à la suite. Chaque message est réel et facturable. Quelque part dans la chaîne de livraison, un acteur qui contrôle ces numéros ou le dernier saut touche une part des frais de terminaison. Contrairement à un compte piraté, rien ne semble cassé : votre système fait simplement ce pour quoi il a été conçu, des milliers de fois. Les deux faces de la messagerie professionnelle sont expliquées dans SMS A2P et P2P.
Les signaux d'alerte
| Signal | Ce que vous observez |
|---|---|
| Conversion faible | Beaucoup d'OTP envoyés, peu de codes saisis : le signal le plus clair |
| Pays inattendus | Volume soudain vers des pays où vous avez peu ou pas d'utilisateurs |
| Numéros séquentiels | Demandes pour des numéros qui ne diffèrent que par les derniers chiffres |
| Pics à des heures inhabituelles | Rafales en dehors de l'activité normale de vos utilisateurs |
| Demandes répétées | Le même numéro ou la même IP demande de nombreux codes en quelques minutes |
| Statistiques de livraison anormales | Taux de livraison très élevés ou très bas sur de nouvelles destinations |
Le taux de conversion est l'indicateur clé : codes vérifiés divisés par codes envoyés, par pays et par heure. Si votre taux habituel pour un pays est de 70% et qu'il tombe à 10% alors que le volume augmente, arrêtez et analysez. Les statistiques de livraison aident aussi, voir taux de livraison et latence des SMS.
La prévention sur vos formulaires
- Liste de pays autorisés : envoyez des SMS uniquement vers les pays où vous avez des clients. Ajoutez-en d'autres au besoin.
- Limites de fréquence : par numéro, par IP, par appareil et par session, avec des délais croissants entre les renvois.
- Protection anti-bot : un test ou une détection invisible des bots sur les formulaires qui envoient des SMS, surtout l'inscription et la réinitialisation du mot de passe.
- Contrôle des numéros : validez le format, rejetez les plages surtaxées et non attribuées, et envisagez un HLR lookup pour les pays à risque.
- Envoi seulement après une étape : exigez un e-mail ou un autre signal avant l'envoi du SMS.
- Plafonds de dépense : limites quotidiennes ou horaires par pays, avec des alertes avant d'atteindre le plafond.
- Canaux alternatifs : pour certains utilisateurs, un autre canal de vérification supprime l'intérêt de la fraude, voir les options de repli pour l'OTP.
Plus de détails sur les flux OTP sécurisés dans bonnes pratiques pour les SMS OTP.
Ce qu'il faut demander à votre fournisseur SMS
- Le fournisseur propose-t-il sur votre compte des contrôles par pays, des limites de dépense et des alertes ?
- Surveille-t-il les schémas d'AIT sur l'ensemble de ses clients et bloque-t-il les plages connues pour être abusées ?
- Que deviennent les frais pour le trafic confirmé comme AIT ? Les conditions varient beaucoup : obtenez la réponse par écrit avant de signer.
- Quels types de routes sont utilisés pour chaque pays ? Le pumping exploite souvent des chaînes longues et opaques, voir les routes SMS grises.
Si l'attaque est déjà en cours
- Bloquez ou suspendez les SMS vers les pays ou les plages concernés.
- Resserrez les limites de fréquence et activez la protection anti-bot sur le formulaire abusé.
- Exportez les journaux (numéros, IP, horaires) et envoyez-les à votre fournisseur.
- Passez en revue tous les points d'entrée qui déclenchent des SMS, pas seulement celui attaqué en premier.
VoIPMatcher obtient auprès de ses carriers des routes SMS A2P pour les pays que vous indiquez, ce qui limite votre exposition aux seules destinations que vous utilisez. Demander une route SMS.
Questions fréquentes
Qui paie le SMS pumping ?
Dans la plupart des cas, c'est l'entreprise dont le formulaire a envoyé les messages qui paie, car chaque message a été demandé via son compte et livré comme du trafic normal. Certains fournisseurs proposent des protections ou des avoirs pour le trafic artificiellement gonflé confirmé, mais les conditions varient beaucoup. Posez la question avant de signer, et comptez sur vos propres limites plutôt que sur un remboursement.
Un CAPTCHA suffit-il à stopper le SMS pumping ?
Il aide, mais ne suffit pas seul. Les bots savent résoudre ou contourner certains tests, et les attaques passent aussi par des points d'entrée qui n'en ont pas, comme la réinitialisation du mot de passe ou le bouton de renvoi du code. Combinez la protection anti-bot avec des listes de pays autorisés, des limites par numéro, par IP et par appareil, des plafonds de dépense par pays et le suivi du taux de conversion des vérifications.
Quelle différence entre SMS pumping et fraude téléphonique (toll fraud) ?
Les deux génèrent du trafic facturable vers des plages dont les revenus sont partagés avec le fraudeur. La toll fraud exige en général un accès à un système téléphonique ou à un compte SIP, par piratage ou identifiants volés. Le SMS pumping ne demande aucune intrusion : les bots utilisent les formulaires publics d'inscription ou d'OTP de l'entreprise exactement comme prévu, ce qui le rend plus difficile à repérer sans suivi de la conversion.
L'OTP vocal peut-il être abusé comme le SMS pumping ?
Oui. Les appels OTP vocaux, comme tout autre canal de vérification qui envoie quelque chose de facturable vers un numéro saisi par l'utilisateur, peuvent être abusés de la même façon, avec des appels vers des plages coûteuses au lieu de messages. Appliquez les mêmes contrôles à chaque canal : listes de pays autorisés, limites de fréquence, contrôles anti-bot et plafonds de dépense, et suivez la conversion par canal.
Le SMS pumping est-il illégal ?
Les opérateurs et les plateformes de messagerie le traitent comme une fraude, et générer du faux trafic pour encaisser des revenus de terminaison peut enfreindre les lois sur la fraude dans de nombreux pays. En pratique, les auteurs sont difficiles à retrouver à travers plusieurs pays et carriers, et les entreprises ne peuvent pas compter sur des poursuites. La prévention sur vos propres formulaires et comptes reste la défense fiable.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.