La fraude AIT expliquée : comment les attaquants vident votre budget OTP

Quelque part dans votre tunnel d'inscription se trouve un endpoint qui envoie un SMS à quiconque en fait la demande — sans connexion requise, et c'est voulu, car tout l'intérêt est de vérifier quelqu'un avant qu'il ait un compte. C'est aussi exactement ce qui rend son attaque rentable. Ce stratagème s'appelle la fraude par trafic artificiellement gonflé (AIT), parfois appelée SMS pumping, et les estimations du secteur situent les dégâts à environ 1,6 milliard de dollars par an. La plupart des équipes n'en ont jamais entendu parler avant que leur facture SMS ne s'envole sans raison apparente.

Voici comment cela fonctionne réellement, pourquoi c'est si difficile à repérer, et ce qui l'arrête vraiment.

Ce qu'est la fraude AIT

La fraude AIT ne cible pas vos utilisateurs — elle cible directement votre endpoint OTP. Un fraudeur contrôle, ou a un accord de partage des revenus avec, une route de terminaison à tarif majoré : une plage de numéros de téléphone où l'opérateur local (ou un revendeur de « route grise » situé entre votre fournisseur SMS et l'opérateur) perçoit des frais de terminaison pour chaque message qui lui est livré. Le fraudeur utilise ensuite des bots ou des scripts pour déclencher votre endpoint « envoyer le code de vérification » des milliers de fois contre des numéros de cette route.

Votre fournisseur SMS livre les messages — ou déclare l'avoir fait — et vous facture par message. Une part de ce que vous avez payé revient à celui qui contrôle la route de destination. Personne ne saisit jamais le code. Personne n'en avait besoin. La fraude est accomplie dès l'instant où le message est envoyé.

Pourquoi c'est si difficile à repérer

Une seule demande d'OTP frauduleuse est identique à une vraie : un numéro de téléphone, un appel API, aucun mot de passe, aucun compte à signaler comme compromis. Multipliée par des milliers de numéros et répartie sur de nombreuses IP, elle se fond presque parfaitement dans le trafic d'inscription normal. Les défenses basiques n'aident pas beaucoup non plus — un CAPTCHA ralentit les scripts naïfs mais pas une opération financée s'appuyant sur des proxies résidentiels, et la limitation de débit par IP seule est facile à contourner.

L'indice se trouve généralement dans les chiffres qu'on ne remarque qu'après coup : le volume d'envois de vérification qui grimpe alors que les inscriptions réelles restent stables, les coûts de livraison qui se concentrent sur une poignée d'indicatifs de pays inhabituels, et les taux de complétion (codes réellement saisis) qui s'effondrent pour une partie du trafic. Le temps que cela apparaisse dans une facture mensuelle, le dommage est déjà fait.

Schémas d'attaque courants

Abus d'inscription par bots — des scripts martèlent un formulaire public d'inscription ou de réinitialisation de mot de passe dans le seul but de déclencher des envois d'OTP, sans jamais terminer le flux.
Ciblage de routes — le trafic est dirigé de manière disproportionnée vers des destinations à tarif majoré ou inhabituelles, car c'est là que le gain de terminaison est le plus élevé.
Exploitation de routes grises — la fraude est plus facile là où un SMS transite par plusieurs revendeurs avant d'atteindre un opérateur ; plus il y a de sauts, plus il y a d'occasions pour quelqu'un dans la chaîne de profiter du volume gonflé.
Campagnes lentes et discrètes — certaines opérations restent délibérément sous les seuils de limitation de débit évidents, en répartissant les requêtes dans le temps et sur des plages d'IP pour échapper totalement à la détection.

Ce qui l'arrête vraiment

Rien de tout cela n'est exotique — ce sont les mêmes bonnes pratiques que la plupart des équipes sous-investissent jusqu'à ce que ça leur coûte cher :

Limitation de débit par numéro de téléphone et par appareil, pas seulement par IP — un utilisateur réel ne demande pas cinq codes en dix secondes.
CAPTCHA ou preuve de travail avant l'envoi de l'OTP, en particulier sur les endpoints non authentifiés comme l'inscription et la réinitialisation de mot de passe.
Validation du numéro de téléphone avant l'envoi — une recherche opérateur/HLR détecte les plages de numéros invalides, injoignables ou connues pour abus avant que vous ne payiez pour les contacter.
Surveillance de la livraison et des coûts avec alertes d'anomalie — signalez les pics de volume soudains vers des pays inhabituels, pas seulement les totaux mensuels une fois la facture arrivée.
Moins de revendeurs dans le chemin de livraison — chaque saut par route grise entre votre fournisseur et l'opérateur de destination est un participant potentiel à la chaîne de profit de la fraude.

Ce dernier point est la correction structurelle, pas seulement une atténuation. C'est aussi là que le choix du canal compte plus que la plupart des équipes ne le réalisent.

Pourquoi Verify Call évite entièrement le problème

La fraude AIT est fondamentalement une exploitation des frais de terminaison SMS — elle dépend d'un message facturable et routable à travers une chaîne où quelqu'un en aval profite du volume. Verify Call n'a pas cette économie. Il n'y a pas de SMS à router via des routes grises revendables, ni de frais de terminaison par message qu'un fraudeur pourrait détourner ; le « code » est un identifiant d'appelant sur un appel vocal direct via l'infrastructure opérateur, pas une charge utile facturable transitant par des intermédiaires. C'est pourquoi cela ne rend pas seulement l'AIT plus difficile — cela élimine entièrement la surface d'attaque.

Pour le trafic SMS que vous envoyez encore — via des corridors de repli WhatsApp ou Telegram, par exemple — router avec moins d'intermédiaires reste important. Novauth se connecte directement aux réseaux opérateurs de niveau 1 via des connexions SS7 et SIP sécurisées plutôt que de revendre via des agrégateurs à route grise, et chaque envoi est journalisé avec l'opérateur, la durée et le résultat, afin qu'un volume anormal soit visible dans votre tableau de bord, et non enfoui dans la facture du mois suivant.

À retenir

La fraude AIT prospère sur deux éléments : un endpoint non authentifié qui envoie quelque chose de facturable, et suffisamment de sauts dans le chemin de livraison pour que quelqu'un profite du volume gonflé. Vous ne pouvez pas supprimer le premier sans casser votre produit — la vérification doit fonctionner avant même que la connexion existe. Mais vous pouvez supprimer le second, soit en renforçant le chemin SMS que vous avez déjà, soit en déplaçant votre canal de vérification principal vers un canal où l'exploitation ne s'applique tout simplement pas.

Comparez les canaux sur la page tarifs, en savoir plus sur la sécurité, ou découvrez comment fonctionne Verify Call de bout en bout.