Fraude au SMS Pumping : qu'est-ce que c'est et comment s'en protéger ?
Si votre application utilise la vérification par téléphone, vous serez très probablement ciblé par la fraude au SMS Pumping. Voici tout ce que vous devez savoir à ce sujet.
Rowan Haddad
Responsable Contenu et SEO
Résumé
La fraude par pompage de SMS exploite les parcours de vérification téléphonique pour router du trafic vers des numéros surtaxés contrôlés par les attaquants, l'entreprise expéditrice payant alors chaque message envoyé. L'analyse par Prelude de 205 millions de requêtes d'authentification en 2025 a révélé que 11,83 % du trafic de vérification était frauduleux. Prelude Verify bloque ces requêtes avant même l'envoi du moindre message. Ce guide détaille le fonctionnement de cette attaque, les signaux qui la trahissent et les mécanismes pour l'interrompre.
Si votre application utilise la vérification par téléphone, vous serez très probablement la cible d'une fraude par SMS pumping à un moment donné. L'analyse par Prelude de 205 millions de demandes d'authentification en 2025 a révélé que 11,83 % de l'ensemble du trafic de vérification était frauduleux, avec 3,26 millions de dollars de coûts SMS évités sur l'ensemble des données (Rapport 2025 de Prelude sur la fraude par SMS pumping). À l'échelle du secteur, Juniper Research a estimé que les pertes des entreprises dues au trafic artificiellement gonflé — la catégorie à laquelle appartient le SMS pumping — ont culminé à 2,1 milliards de dollars en 2023.
Le SMS pumping est l'un des nombreux types de fraude aux OTP qui exploitent les parcours de vérification téléphonique. Les attaquants exploitent ces flux pour générer du trafic SMS vers des numéros surtaxés qu'ils contrôlent, obligeant les entreprises à absorber les coûts d'envoi. Pour avoir une vue d'ensemble, consultez notre Guide complet de la fraude aux OTP.
Dans ce guide, nous allons détailler ce qu'est la fraude par SMS pumping, comment elle fonctionne et, surtout, comment protéger votre entreprise contre cette menace grandissante.
Qu'est-ce que le SMS pumping ?
Le SMS pumping est un type de fraude dans lequel les attaquants déclenchent d'importants volumes de SMS vers des numéros de téléphone qu'ils contrôlent, puis récupèrent une part des frais générés par chaque message. La plupart des attaques ciblent les endpoints d'OTP et de vérification, car tout formulaire qui envoie un SMS lors de la saisie d'un numéro de téléphone peut être automatisé.
Les fraudeurs collaborent généralement avec des opérateurs mobiles complices ou des intermédiaires qui reversent une commission sur le trafic terminé. L'entreprise qui envoie les messages paie pour chacun d'entre eux : le préjudice financier repose donc entièrement sur la victime.
Également connu sous le nom d'artificially inflated traffic (AIT) ou de fraude aux numéros surtaxés par SMS, le SMS pumping est une variante de l'International Revenue Share Fraud (IRSF). Le mécanisme sous-jacent est le même (exploiter les accords de partage de revenus télécoms), mais le SMS pumping cible spécifiquement vos endpoints d'OTP et de vérification plutôt que l'infrastructure télécom traditionnelle.
Contrairement aux attaques de type usurpation de compte (ATO) ou de credential stuffing, le but de l'attaquant n'est pas d'accéder aux comptes des utilisateurs ni de dérober des données.
L'objectif est bien plus simple : générer du trafic SMS facturable à grande échelle. Prelude Verify est conçu pour stopper cela avant même l'envoi du premier message : la solution évalue le risque de fraude de chaque demande de vérification et bloque celles à haut risque, afin que les numéros ciblés ne reçoivent jamais de code.
Comment fonctionne le SMS pumping
Le SMS pumping repose sur deux éléments : l'accès à un endpoint d'OTP à fort volume et un partenariat avec une route télécom qui rémunère le trafic généré.
Étape 1 – L'attaquant met en place un partage de revenus. Les fraudeurs commencent par s'associer à des opérateurs peu scrupuleux ou par obtenir l'accès à des numéros surtaxés. Ils promettent à ces opérateurs des volumes élevés de SMS et des revenus accrus, en s'appuyant sur des numéros surtaxés internationaux (IPRN) pour drainer le trafic.
Étape 2 – Ils identifient une cible. Les formulaires d'inscription, les pages de connexion, les parcours de réinitialisation de mot de passe et les formulaires d'offres promotionnelles deviennent des cibles idéales — concrètement, tout endpoint qui déclenche un SMS lorsqu'un numéro de téléphone est soumis.
Étape 3 – Des bots inondent l'endpoint. Les fraudeurs submergent le système de trafic SMS en testant en boucle des formats de numéros d'apparence valide dans les plages ciblées. Votre système envoie des messages OTP à ces numéros. Le fraudeur récupère sa commission sur le coût de chaque message. Ces SMS sont acheminés vers des numéros surtaxés contrôlés par les fraudeurs, le plus souvent à l'étranger, gonflant ainsi la facture des entreprises qui paient au message.
Étape 4 – Les dégâts restent invisibles jusqu'à la facture. Chaque message qui aboutit sur les numéros de l'attaquant génère des frais de terminaison d'appel, que l'opérateur complice partage avec les fraudeurs. C'est précisément ce qui rend le SMS pumping si pernicieux. Ce trafic ne génère aucun échec de connexion, aucune tentative d'accès suspecte et aucune plainte d'utilisateur. Chaque message apparaît comme correctement distribué. Le premier signal d'alerte est généralement une anomalie sur la facture, souvent plusieurs jours ou semaines après l'attaque.
En résumé, les escrocs comme leurs partenaires complices tirent profit de ce faux trafic SMS, tandis que la victime se retrouve à en assumer l'intégralité des coûts.
Pourquoi les systèmes d'OTP sont particulièrement vulnérables
Le SMS pumping fonctionne car les systèmes d'OTP présentent une vulnérabilité structurelle dès leur conception : l'endpoint d'envoi doit être public, le coût est absorbé par la plateforme, et le succès de l'opération n'exige aucun utilisateur réel à l'autre bout du fil.
En pratique, cela signifie qu'un formulaire d'inscription ou un parcours de réinitialisation de mot de passe doit accepter les requêtes de n'importe qui. Contrairement aux endpoints d'API authentifiés qui nécessitent une session valide ou un jeton, les endpoints d'envoi d'OTP sont ouverts par nature. Il n'y a aucun identifiant à voler, aucune session à compromettre. N'importe quel bot peut les déclencher.
De plus, les parcours de vérification sont souvent prévisibles. Les formulaires d'inscription, les flux de réinitialisation de mot de passe et les pages de connexion suivent des schémas identiques : ils acceptent un numéro de téléphone, déclenchent un envoi et attendent la saisie d'un code. Les bots peuvent donc reproduire ce processus à grande échelle sans difficulté.
Les plateformes, quant à elles, absorbent les coûts quel que soit le résultat. Chaque message envoyé par votre système génère des frais, qu'un utilisateur réel l'ait demandé ou non, que le code soit saisi ou non, et même que le numéro de téléphone existe ou non. En d'autres termes, elles supportent l'intégralité du coût de chaque requête, frauduleuse ou légitime.
De plus, la facturation télécom offre un modèle de revenus direct aux attaquants. Le système mondial de routage des SMS a été bâti sur des accords de compensation entre opérateurs. Les fraudeurs s'immiscent dans ce système en acquérant ou en s'associant à des plages de numéros qui génèrent une rétribution lors de la terminaison. Chaque OTP envoyé par votre système vers ces numéros rapporte de l'argent à l'attaquant. Il n'existe aucun mécanisme équivalent dans la plupart des autres types de fraude ; le SMS pumping est l'une des rares attaques où l'infrastructure même du fournisseur de la victime finance directement l'attaquant.
Ce type de fraude peut causer des dégâts considérables, car de nombreuses applications manquent de fonctionnalités avancées telles que l'analyse des appareils (device intelligence), l'analyse comportementale, le scoring de risque des opérateurs, le rate limiting adaptatif et des contrôles de vérification intégrant la détection de fraude. Cela crée un contexte où les attaquants peuvent générer un trafic massif d'OTP avec une résistance minime.
La seule défense capable de contrer efficacement le SMS pumping avant qu'il ne cause des dégâts consiste à évaluer le numéro de destination avant l'envoi, ce que beaucoup d'implémentations d'OTP ne font pas.
Exemples concrets de SMS pumping
L'application fintech : quand la campagne promo tourne mal
Une application fintech lance une campagne de parrainage : un utilisateur invite un ami, et les deux comptes reçoivent 80 $ de crédit. Pour obtenir la récompense, le filleul doit simplement s'inscrire et vérifier son numéro de téléphone.
Moins de 48 heures après le lancement, le volume d'envois d'OTP est 40 fois supérieur aux prévisions. Des bots bombardent l'endpoint d'inscription avec des milliers de numéros par heure, tous routés vers des plages surtaxées contrôlées par l'attaquant. La mécanique de parrainage n'a même pas d'importance : les attaquants ne cherchent pas à obtenir les 80 $ de crédit. Ce qui les intéresse, ce sont les messages OTP eux-mêmes. La plupart des « nouveaux comptes » créés pendant l'attaque affichent une activité nulle et ne seront plus jamais utilisés.
Comme les messages semblent distribués avec succès, l'attaque passe inaperçue jusqu'à ce que les alertes de facturation se déclenchent plusieurs jours plus tard. Le premier signal d'alerte a été la facture.
L'e-commerçant : des fausses inscriptions à la chaîne
Prenons l'exemple d'un site de vente par abonnement qui offre 15 % de réduction sur la première commande si le visiteur renseigne son numéro de téléphone sur le site.
Une fois le numéro saisi, l'entreprise envoie un SMS contenant un code promo. Une stratégie classique pour booster les inscriptions de clients intéressés.
Mais les fraudeurs y voient une opportunité. Ils utilisent des bots pour inonder le site de milliers de faux numéros. Chaque numéro déclenche l'envoi d'un SMS acheminé vers un numéro surtaxé sous leur contrôle.
L'entreprise se retrouve avec une facture exorbitante pour tous ces SMS, sans le moindre client réel à la clé. Chaque message envoyé a atterri sur un numéro frauduleux, rapportant de l'argent aux escrocs. Chaque message a ciblé un numéro qui n'avait aucune intention de convertir.
Le trafic transitant par plusieurs réseaux avant d'atteindre sa destination, les entreprises découvrent rarement qui se cache derrière l'attaque. C'est pourquoi la prévention doit impérativement intervenir avant l'envoi du message.
La plateforme : 60 M$ par an en faux trafic 2FA
Même les plus grandes plateformes disposant d'équipes d'ingénierie conséquentes ne sont pas épargnées. Elon Musk a publiquement indiqué en 2023 que Twitter se voyait facturer environ 60 millions de dollars par an pour des SMS de 2FA fictifs générés par des fraudes télécoms, ce qui prouve à quelle vitesse le SMS pumping peut exploser s'il n'est pas détecté à temps.
Quel est l'impact de la fraude par SMS pumping sur votre entreprise ?
La fraude par SMS est très répandue et peut toucher les entreprises à plusieurs niveaux :
Pertes financières directes
C'est l'impact le plus immédiat. Le trafic SMS frauduleux engendre des coûts vertigineux. Comme les entreprises paient pour chaque SMS envoyé, les fraudeurs en profitent pour faire grimper les coûts en routant les messages vers des numéros surtaxés sous leur contrôle.
Chaque envoi d'OTP frauduleux est une charge réelle. Votre plateforme paie au message, et les attaquants continueront d'en abuser aussi longtemps qu'ils le pourront. Les attaques se produisent souvent par vagues massives. En mai 2025, Prelude a bloqué 763 212 requêtes frauduleuses lors d'une seule attaque ciblant des numéros nigérians (Rapport 2025 de Prelude sur la fraude par SMS pumping).
Contrairement à la plupart des fraudes, les pertes liées au SMS pumping sont rarement récupérables. Lorsque la facture arrive, les messages ont déjà été délivrés et les frais débités.
C'est pourquoi il est essentiel de disposer d'outils solides pour prévenir l'abus des offres promotionnelles, avec une surveillance en temps réel et un blocage automatique, afin de protéger à la fois vos utilisateurs et votre budget.
Abus de plateforme et prolifération de faux comptes
Le SMS pumping survient rarement de manière isolée.
L'infrastructure utilisée pour générer du trafic d'OTP frauduleux sert bien souvent aussi à créer de faux comptes, à détourner les programmes de parrainage, à lancer des campagnes de spam, à réaliser des onboardings synthétiques ou à abuser des promotions.
À mesure que les faux comptes s'accumulent, les défis de modération, de conformité et de confiance s'amplifient sur l'ensemble de la plateforme.
Pollution des métriques et altération des données
Le SMS pumping génère de faux comptes à grande échelle. Vos statistiques d'inscriptions, vos DAU, vos MAU et vos analyses de cohortes se retrouvent pollués par des utilisateurs qui n'existent pas.
Votre base d'utilisateurs est gonflée artificiellement. Vos taux de conversion s'effondrent tandis que vos coûts par acquisition explosent, compliquant la justification de vos budgets marketing. Vos rapports et analyses perdent toute fiabilité, et des données erronées mènent à de mauvaises décisions.
En clair, le faux trafic fausse vos indicateurs de performance et empêche d'analyser le comportement réel de vos clients. Sans données fiables, vos stratégies marketing et commerciales en pâtissent, et vous gaspillez du temps, de l'argent et des ressources à poursuivre des fantômes.
Saturation des canaux d'envoi
Une attaque d'envergure par SMS pumping sature votre infrastructure de messagerie sous un flot de faux trafic. Votre fournisseur de SMS se retrouve débordé, ce qui entraîne des retards, voire des interruptions complètes de service.
Les utilisateurs légitimes qui attendent un code de connexion, une confirmation de paiement ou une réinitialisation de mot de passe voient leurs messages retardés ou bloqués. L'impact est particulièrement rude lors des pics d'activité : lancements promotionnels, périodes de soldes à fort trafic ou étapes critiques comme la récupération de compte.
Résultat : des utilisateurs frustrés, des abandons de panier et une perte de confiance envers votre marque.
Problèmes de conformité et atteinte à la réputation
Le SMS pumping va souvent de pair avec la création de faux comptes : des profils créés par des bots qui passent l'étape de vérification téléphonique avec succès et s'accumulent dans votre base. Au regard des exigences de KYC et de lutte contre le blanchiment d'argent (AML), un parcours de vérification que des comptes synthétiques peuvent franchir sans difficulté expose l'entreprise à des risques réglementaires.
L'atteinte à la réputation est plus difficile à chiffrer, mais elle s'aggrave avec le temps. Les utilisateurs confrontés à des retards ou des blocages perdent confiance dans la plateforme, et le fait d'être associé à une activité frauduleuse — même en tant que victime — érode la crédibilité de la marque.
La fraude ne nuit pas seulement à votre rentabilité : elle détruit la confiance. Qu'il s'agisse de vos clients ou de vos collaborateurs, une fois brisée, cette confiance est extrêmement difficile à regagner.
Hausse des coûts opérationnels
Gérer les conséquences d'une fraude par SMS pumping ne fait pas que grever vos finances. Cela pèse aussi lourdement sur la productivité de vos équipes, les spécialistes en cybersécurité devant passer un temps précieux à traiter chaque incident.
Ils doivent examiner chaque dépense frauduleuse, gérer les réclamations de clients légitimement mécontents, mettre en place des dispositifs de sécurité renforcés pour l'avenir et, lorsque c'est possible, engager des poursuites judiciaires contre les fraudeurs (s'ils parviennent à être identifiés).
Comment détecter la fraude par SMS pumping
Le trafic lié au SMS pumping est conçu pour ressembler à l'activité d'utilisateurs réels. Plusieurs signaux permettent toutefois de distinguer un trafic d'OTP frauduleux d'une utilisation légitime :
Pics inhabituels du volume d'OTP
Si vos demandes d'OTP ou vos envois de SMS augmentent sans hausse proportionnelle de l'activité réelle ou sans campagne marketing active, il y a de fortes chances que des fraudeurs soient à l'œuvre.
Trafic concentré sur des zones géographiques inhabituelles
Un volume important de SMS envoyés vers des pays où votre entreprise n'exerce aucune activité et ne compte pas de clients est souvent le signe d'une exploitation frauduleuse de vos services de messagerie.
Numéros de téléphone séquentiels ou répétitifs
Si les numéros sollicitant des OTP se ressemblent étrangement ou suivent des séries séquentielles (ex. : +1234567801, +1234567802, +1234567803), cela n'a rien d'un hasard.
Les bots utilisent fréquemment des listes automatisées pour demander des codes : repérer ces motifs est un indicateur clair de SMS pumping.
Requêtes acheminées via des proxys résidentiels
Les proxys résidentiels sont devenus l'infrastructure d'attaque de référence en 2025, utilisés pour répartir le trafic et contourner les blocages par adresse IP (Rapport 2025 de Prelude sur la fraude par SMS pumping).
Effondrement du ratio envoi/vérification
Un ratio entre l'envoi d'OTP et la saisie de codes supérieur à 2:1 constitue une alerte majeure : les fraudeurs n'ont pas besoin de valider le code, leur seul but est de déclencher l'envoi du message.
Ainsi, une baisse brutale du taux de conversion (globalement ou sur un pays précis) indique souvent qu'un faux trafic gonfle vos chiffres sans générer de valeur. Le tableau de bord de Prelude affiche les taux de conversion des vérifications à l'échelle mondiale et par pays, ce qui permet d'isoler immédiatement une anomalie sur un marché donné.
Plaintes de clients concernant des retards
En saturant votre système de messagerie, les fraudeurs peuvent retarder la réception des codes de vérification par vos véritables utilisateurs.
Si votre support client commence à recevoir des signalements relatifs à la lenteur de réception des OTP, votre infrastructure est peut-être submergée de requêtes fictives.
Cohortes de nouveaux comptes sans aucun engagement
Si vous observez des hausses d'inscriptions qui ne se traduisent par aucune activité ultérieure (connexions, achats, sessions), vous êtes très probablement la cible d'une attaque.
Budget SMS consommé bien plus vite que prévu
Le ratio dépenses/activité est l'indicateur rétrospectif par excellence : lorsqu'il s'affole, les dégâts financiers sont déjà là.
La plupart de ces signaux sont repérables en temps réel. Le dernier, lui, n'apparaît qu'une fois les fonds dépensés, d'où l'importance capitale d'une détection en temps réel.
Comment prévenir la fraude par SMS pumping
Une protection efficace contre le SMS pumping repose à la fois sur le renforcement de votre infrastructure et sur la détection des fraudes en temps réel avant l'envoi. Prelude Verify intègre plusieurs de ces mécanismes par défaut.
1. Mettre en place un rate limiting adaptatif
L'une des méthodes les plus courantes pour contrer le SMS pumping consiste à instaurer un rate limiting, en définissant un plafond journalier sur le volume de messages ou sur les dépenses autorisées.
Vous pouvez par exemple décider que vos dépenses SMS ne doivent pas dépasser 300 $ par jour pour les vérifications par OTP et les authentifications par SMS. Ce garde-fou évite les mauvaises surprises au moment de recevoir la facture à la fin du mois.
La prudence reste toutefois de mise. Si le rate limiting bloque l'activité frauduleuse, il peut aussi générer des faux positifs et empêcher de vrais utilisateurs de finaliser leur action, en particulier en cas de pic d'activité légitime. Surveiller et ajuster ces limites au rythme de votre croissance est indispensable pour préserver l'équilibre entre sécurité et expérience utilisateur.
Prelude Verify limite le nombre de requêtes de vérification par numéro de téléphone sur une période donnée, et vos équipes peuvent configurer ce seuil directement depuis le tableau de bord.
2. Classifier les numéros de téléphone avant l'envoi
Avant d'envoyer un code OTP, analysez le profil de risque du numéro de destination :
Type de numéro : les numéros VoIP, virtuels et jetables sont nettement plus susceptibles d'être exploités dans des campagnes de SMS pumping que des numéros mobiles classiques chez de grands opérateurs. Signalez ou bloquez les envois vers ces catégories de numéros.
Risque géographique : les numéros associés à des indicatifs ou préfixes à haut risque, connus pour être liés à des fraudes aux numéros surtaxés, doivent déclencher une vérification accrue ou un blocage automatique.
Numéros récemment activés : les numéros dont l'activation est très récente constituent un signal récurrent lors d'attaques automatisées par des bots.
3. Appliquer des restrictions géographiques
Si votre produit n'est pas présent sur un marché donné, il n'y a aucune raison d'y envoyer des OTP. Restreindre les envois à vos pays d'activité est l'une des mesures les plus rapides à mettre en place et les plus efficaces pour réduire l'exposition à la fraude aux numéros surtaxés internationaux.
Faites preuve de précision : bloquer des pays entiers de manière indifférenciée risque de pénaliser des utilisateurs légitimes. Fondez-vous sur les données géographiques réelles de votre base d'utilisateurs pour établir votre liste d'autorisation.
Dans Prelude, chaque pays dispose d'un niveau de risque de fraude que les équipes peuvent ajuster depuis le tableau de bord, ce qui permet de durcir les contrôles sur un marché sensible sans pour autant le bloquer complètement.
4. Surveiller les ratios envoi/vérification
L'effondrement du taux de validation des OTP est l'un des signes les plus manifestes de fraude : le trafic malveillant génère des envois, pas des authentifications réussies.
Le suivi de ce ratio en temps réel permet de détecter les attaques dès leurs premiers signes.
5. Exploiter l'intelligence de routage de votre fournisseur
Choisissez un prestataire d'OTP qui surveille et bloque activement les routes à risque. Un fournisseur qui réalise sa marge sur chaque message n'a aucun intérêt financier à bloquer le trafic suspect. Privilégiez une tarification transparente sans surcoût au message, assortie d'un engagement clair sur la gestion de la fraude au niveau des routes.
Prelude facture les messages au coût opérateur sans aucune marge ajoutée : bloquer le trafic frauduleux ne réduit donc en rien ses revenus.
Pour comparer les différentes options du marché, consultez notre comparatif des solutions contre le SMS pumping.
6. Utiliser un scoring de fraude en temps réel
Les listes de blocage statiques deviennent vite obsolètes. Vos dispositifs de détection doivent donc évoluer au même rythme que les infrastructures des attaquants.
Une stratégie moderne de lutte contre la fraude requiert ainsi :
Des modèles de risque adaptatifs
Une analyse comportementale poussée
Des signaux actualisés en continu
Une prise de décision en temps réel
Comment Prelude détecte le SMS pumping avant l'envoi de l'OTP
L'approche de Prelude repose sur la détection avant l'envoi, plutôt que sur le constat des dégâts a posteriori.
Prelude Verify analyse automatiquement chaque demande de vérification. Avant même qu'un code ne parte, l'algorithme antifraude de Verify évalue la requête et la bloque si le niveau de risque est excessif, garantissant que le message ne sera jamais expédié. Lorsqu'une requête est bloquée, Verify détaille les facteurs de risque ayant motivé la décision, notamment :
Numéros temporaires : le numéro provient d'un service de téléphonie jetable ou éphémère.
Abus de plages de numéros : le numéro fait partie d'une série actuellement associée à des comportements suspects.
Historique de conversion faible : les profils de trafic similaires mènent très rarement à une vérification réussie.
Incohérence géographique : l'emplacement réseau ne correspond pas au pays du numéro de téléphone.
Signaux liés aux proxys et adresses IP : la requête provient d'un proxy, d'une IP à mauvaise réputation ou d'une adresse concentrant un volume anormal de vérifications.
Tentatives répétées : le numéro a dépassé la limite de tentatives autorisées sur un court intervalle.
Bases de données de fraude : le numéro est répertorié dans une ou plusieurs bases de données consultées par Prelude.
D'après les données 2025 de Prelude, la détection par machine learning a permis de bloquer près de 78 % de l'ensemble des requêtes frauduleuses. Des règles statiques ne peuvent tout simplement pas rivaliser avec des attaquants qui alternent les adresses IP, s'appuient sur des proxys résidentiels et imitent le comportement temporel d'utilisateurs réels.
Les équipes peuvent ajuster cette protection par pays depuis le tableau de bord Prelude. Elles ont la possibilité d'augmenter ou de diminuer le niveau de risque d'une région et d'activer des règles (comme la détection de VPN et de proxys), sans avoir à modifier leur code.
Prelude Watch évalue le risque des utilisateurs dès l'inscription, quel que soit votre fournisseur de SMS. Watch attribue un score légitime ou suspect au numéro ou à l'adresse e-mail renseignée. La solution s'appuie sur divers signaux : historique de portabilité, proxys résidentiels, numéros jetables ou incohérences d'appareil et d'IP. Les équipes qui envoient leurs OTP via un autre prestataire peuvent ainsi utiliser Watch pour écarter les inscriptions douteuses avant même de déclencher le moindre envoi.
Cas concret : une attaque stoppée net
Voici l'exemple d'une attaque récemment déjouée par Prelude pour le compte d'une foodtech européenne.
L'attaque utilisait des numéros enregistrés au Royaume-Uni, l'un des marchés habituels de ce client. Si l'emplacement n'était pas suspect au premier abord, l'algorithme de Prelude a identifié une anomalie : plusieurs dizaines de numéros d'une même plage affichaient des taux de conversion inhabituellement bas.
Grâce à cette détection précoce, Prelude a pu bloquer proactivement ces numéros avant que l'attaque ne prenne de l'ampleur. La tentative a persisté pendant plusieurs jours, mais constatant leur échec, les fraudeurs ont fini par abandonner.
Le volume de SMS frauduleux bloqués représentait presque l'équivalent du trafic mensuel standard de l'entreprise, lui évitant ainsi plusieurs milliers de dollars de pertes nettes.
Avec Prelude, vous bénéficiez d'une prévention proactive contre la fraude sans dégrader l'expérience de vos utilisateurs légitimes.
Prêt à protéger votre activité contre la fraude par SMS ? Inscrivez-vous gratuitement et commencez à tester l'API de Prelude dès aujourd'hui.
Qu'est-ce que la fraude par SMS pumping ?
La fraude par SMS pumping, aussi appelée artificially inflated traffic (AIT) ou fraude aux numéros surtaxés par SMS, se produit lorsque des attaquants inondent des endpoints d'OTP à l'aide de bots pour déclencher de gros volumes de messages vers des numéros surtaxés sous leur contrôle, empochant au passage une part des frais de terminaison que votre plateforme paie par SMS.
Quelle est la différence entre le SMS pumping et l'IRSF ?
Le SMS pumping est une variante de l'IRSF. L'IRSF est une catégorie plus large désignant tout stratagème qui exploite le partage de revenus télécoms pour tirer profit des frais de terminaison. Le SMS pumping cible plus spécifiquement les endpoints d'OTP et de vérification pour générer ce trafic. Consultez notre article Qu'est-ce que l'IRSF ? pour tout comprendre sur cette méthode d'attaque.
Comment savoir si je suis la cible d'une attaque par SMS pumping ?
Les signaux avant-coureurs les plus nets sont un effondrement du ratio envoi/vérification (beaucoup d'OTP envoyés, très peu de codes saisis), des pics de trafic concentrés sur des zones où vous n'avez pas d'utilisateurs, et des numéros séquentiels ou répétitifs dans vos logs d'OTP. Une flambée de la facture SMS sans hausse d'activité réelle est souvent le moyen par lequel les entreprises le découvrent, mais les pertes financières sont alors déjà consommées.
Comment Prelude détecte-t-il le SMS pumping ?
Prelude Verify évalue chaque demande de vérification avant l'envoi du code à l'aide du machine learning et d'indicateurs comme les numéros temporaires, les plages compromises, l'historique de conversion, les incohérences de localisation et le trafic par proxy. Les requêtes à haut risque sont bloquées, empêchant tout départ de SMS. Prelude Watch ajoute un contrôle du risque dès l'inscription, compatible avec n'importe quel fournisseur de SMS.
Peut-on simplement bloquer des pays entiers pour stopper le SMS pumping ?
Le blocage géographique constitue un levier utile, mais il se doit d'être précis. Bloquer des pays entiers risque d'exclure des utilisateurs légitimes et de freiner la croissance de votre activité.
La stratégie la plus efficace consiste à limiter les envois à vos marchés réels selon les données de vos utilisateurs, tout en associant cette mesure à la qualification préventive des numéros et à l'analyse de vélocité pour une protection en couches.
Si votre application utilise la vérification par téléphone, vous serez très probablement la cible d'une fraude par SMS pumping à un moment donné. L'analyse par Prelude de 205 millions de demandes d'authentification en 2025 a révélé que 11,83 % de l'ensemble du trafic de vérification était frauduleux, avec 3,26 millions de dollars de coûts SMS évités sur l'ensemble des données (Rapport 2025 de Prelude sur la fraude par SMS pumping). À l'échelle du secteur, Juniper Research a estimé que les pertes des entreprises dues au trafic artificiellement gonflé — la catégorie à laquelle appartient le SMS pumping — ont culminé à 2,1 milliards de dollars en 2023.
Le SMS pumping est l'un des nombreux types de fraude aux OTP qui exploitent les parcours de vérification téléphonique. Les attaquants exploitent ces flux pour générer du trafic SMS vers des numéros surtaxés qu'ils contrôlent, obligeant les entreprises à absorber les coûts d'envoi. Pour avoir une vue d'ensemble, consultez notre Guide complet de la fraude aux OTP.
Dans ce guide, nous allons détailler ce qu'est la fraude par SMS pumping, comment elle fonctionne et, surtout, comment protéger votre entreprise contre cette menace grandissante.
Qu'est-ce que le SMS pumping ?
Le SMS pumping est un type de fraude dans lequel les attaquants déclenchent d'importants volumes de SMS vers des numéros de téléphone qu'ils contrôlent, puis récupèrent une part des frais générés par chaque message. La plupart des attaques ciblent les endpoints d'OTP et de vérification, car tout formulaire qui envoie un SMS lors de la saisie d'un numéro de téléphone peut être automatisé.
Les fraudeurs collaborent généralement avec des opérateurs mobiles complices ou des intermédiaires qui reversent une commission sur le trafic terminé. L'entreprise qui envoie les messages paie pour chacun d'entre eux : le préjudice financier repose donc entièrement sur la victime.
Également connu sous le nom d'artificially inflated traffic (AIT) ou de fraude aux numéros surtaxés par SMS, le SMS pumping est une variante de l'International Revenue Share Fraud (IRSF). Le mécanisme sous-jacent est le même (exploiter les accords de partage de revenus télécoms), mais le SMS pumping cible spécifiquement vos endpoints d'OTP et de vérification plutôt que l'infrastructure télécom traditionnelle.
Contrairement aux attaques de type usurpation de compte (ATO) ou de credential stuffing, le but de l'attaquant n'est pas d'accéder aux comptes des utilisateurs ni de dérober des données.
L'objectif est bien plus simple : générer du trafic SMS facturable à grande échelle. Prelude Verify est conçu pour stopper cela avant même l'envoi du premier message : la solution évalue le risque de fraude de chaque demande de vérification et bloque celles à haut risque, afin que les numéros ciblés ne reçoivent jamais de code.
Comment fonctionne le SMS pumping
Le SMS pumping repose sur deux éléments : l'accès à un endpoint d'OTP à fort volume et un partenariat avec une route télécom qui rémunère le trafic généré.
Étape 1 – L'attaquant met en place un partage de revenus. Les fraudeurs commencent par s'associer à des opérateurs peu scrupuleux ou par obtenir l'accès à des numéros surtaxés. Ils promettent à ces opérateurs des volumes élevés de SMS et des revenus accrus, en s'appuyant sur des numéros surtaxés internationaux (IPRN) pour drainer le trafic.
Étape 2 – Ils identifient une cible. Les formulaires d'inscription, les pages de connexion, les parcours de réinitialisation de mot de passe et les formulaires d'offres promotionnelles deviennent des cibles idéales — concrètement, tout endpoint qui déclenche un SMS lorsqu'un numéro de téléphone est soumis.
Étape 3 – Des bots inondent l'endpoint. Les fraudeurs submergent le système de trafic SMS en testant en boucle des formats de numéros d'apparence valide dans les plages ciblées. Votre système envoie des messages OTP à ces numéros. Le fraudeur récupère sa commission sur le coût de chaque message. Ces SMS sont acheminés vers des numéros surtaxés contrôlés par les fraudeurs, le plus souvent à l'étranger, gonflant ainsi la facture des entreprises qui paient au message.
Étape 4 – Les dégâts restent invisibles jusqu'à la facture. Chaque message qui aboutit sur les numéros de l'attaquant génère des frais de terminaison d'appel, que l'opérateur complice partage avec les fraudeurs. C'est précisément ce qui rend le SMS pumping si pernicieux. Ce trafic ne génère aucun échec de connexion, aucune tentative d'accès suspecte et aucune plainte d'utilisateur. Chaque message apparaît comme correctement distribué. Le premier signal d'alerte est généralement une anomalie sur la facture, souvent plusieurs jours ou semaines après l'attaque.
En résumé, les escrocs comme leurs partenaires complices tirent profit de ce faux trafic SMS, tandis que la victime se retrouve à en assumer l'intégralité des coûts.
Pourquoi les systèmes d'OTP sont particulièrement vulnérables
Le SMS pumping fonctionne car les systèmes d'OTP présentent une vulnérabilité structurelle dès leur conception : l'endpoint d'envoi doit être public, le coût est absorbé par la plateforme, et le succès de l'opération n'exige aucun utilisateur réel à l'autre bout du fil.
En pratique, cela signifie qu'un formulaire d'inscription ou un parcours de réinitialisation de mot de passe doit accepter les requêtes de n'importe qui. Contrairement aux endpoints d'API authentifiés qui nécessitent une session valide ou un jeton, les endpoints d'envoi d'OTP sont ouverts par nature. Il n'y a aucun identifiant à voler, aucune session à compromettre. N'importe quel bot peut les déclencher.
De plus, les parcours de vérification sont souvent prévisibles. Les formulaires d'inscription, les flux de réinitialisation de mot de passe et les pages de connexion suivent des schémas identiques : ils acceptent un numéro de téléphone, déclenchent un envoi et attendent la saisie d'un code. Les bots peuvent donc reproduire ce processus à grande échelle sans difficulté.
Les plateformes, quant à elles, absorbent les coûts quel que soit le résultat. Chaque message envoyé par votre système génère des frais, qu'un utilisateur réel l'ait demandé ou non, que le code soit saisi ou non, et même que le numéro de téléphone existe ou non. En d'autres termes, elles supportent l'intégralité du coût de chaque requête, frauduleuse ou légitime.
De plus, la facturation télécom offre un modèle de revenus direct aux attaquants. Le système mondial de routage des SMS a été bâti sur des accords de compensation entre opérateurs. Les fraudeurs s'immiscent dans ce système en acquérant ou en s'associant à des plages de numéros qui génèrent une rétribution lors de la terminaison. Chaque OTP envoyé par votre système vers ces numéros rapporte de l'argent à l'attaquant. Il n'existe aucun mécanisme équivalent dans la plupart des autres types de fraude ; le SMS pumping est l'une des rares attaques où l'infrastructure même du fournisseur de la victime finance directement l'attaquant.
Ce type de fraude peut causer des dégâts considérables, car de nombreuses applications manquent de fonctionnalités avancées telles que l'analyse des appareils (device intelligence), l'analyse comportementale, le scoring de risque des opérateurs, le rate limiting adaptatif et des contrôles de vérification intégrant la détection de fraude. Cela crée un contexte où les attaquants peuvent générer un trafic massif d'OTP avec une résistance minime.
La seule défense capable de contrer efficacement le SMS pumping avant qu'il ne cause des dégâts consiste à évaluer le numéro de destination avant l'envoi, ce que beaucoup d'implémentations d'OTP ne font pas.
Exemples concrets de SMS pumping
L'application fintech : quand la campagne promo tourne mal
Une application fintech lance une campagne de parrainage : un utilisateur invite un ami, et les deux comptes reçoivent 80 $ de crédit. Pour obtenir la récompense, le filleul doit simplement s'inscrire et vérifier son numéro de téléphone.
Moins de 48 heures après le lancement, le volume d'envois d'OTP est 40 fois supérieur aux prévisions. Des bots bombardent l'endpoint d'inscription avec des milliers de numéros par heure, tous routés vers des plages surtaxées contrôlées par l'attaquant. La mécanique de parrainage n'a même pas d'importance : les attaquants ne cherchent pas à obtenir les 80 $ de crédit. Ce qui les intéresse, ce sont les messages OTP eux-mêmes. La plupart des « nouveaux comptes » créés pendant l'attaque affichent une activité nulle et ne seront plus jamais utilisés.
Comme les messages semblent distribués avec succès, l'attaque passe inaperçue jusqu'à ce que les alertes de facturation se déclenchent plusieurs jours plus tard. Le premier signal d'alerte a été la facture.
L'e-commerçant : des fausses inscriptions à la chaîne
Prenons l'exemple d'un site de vente par abonnement qui offre 15 % de réduction sur la première commande si le visiteur renseigne son numéro de téléphone sur le site.
Une fois le numéro saisi, l'entreprise envoie un SMS contenant un code promo. Une stratégie classique pour booster les inscriptions de clients intéressés.
Mais les fraudeurs y voient une opportunité. Ils utilisent des bots pour inonder le site de milliers de faux numéros. Chaque numéro déclenche l'envoi d'un SMS acheminé vers un numéro surtaxé sous leur contrôle.
L'entreprise se retrouve avec une facture exorbitante pour tous ces SMS, sans le moindre client réel à la clé. Chaque message envoyé a atterri sur un numéro frauduleux, rapportant de l'argent aux escrocs. Chaque message a ciblé un numéro qui n'avait aucune intention de convertir.
Le trafic transitant par plusieurs réseaux avant d'atteindre sa destination, les entreprises découvrent rarement qui se cache derrière l'attaque. C'est pourquoi la prévention doit impérativement intervenir avant l'envoi du message.
La plateforme : 60 M$ par an en faux trafic 2FA
Même les plus grandes plateformes disposant d'équipes d'ingénierie conséquentes ne sont pas épargnées. Elon Musk a publiquement indiqué en 2023 que Twitter se voyait facturer environ 60 millions de dollars par an pour des SMS de 2FA fictifs générés par des fraudes télécoms, ce qui prouve à quelle vitesse le SMS pumping peut exploser s'il n'est pas détecté à temps.
Quel est l'impact de la fraude par SMS pumping sur votre entreprise ?
La fraude par SMS est très répandue et peut toucher les entreprises à plusieurs niveaux :
Pertes financières directes
C'est l'impact le plus immédiat. Le trafic SMS frauduleux engendre des coûts vertigineux. Comme les entreprises paient pour chaque SMS envoyé, les fraudeurs en profitent pour faire grimper les coûts en routant les messages vers des numéros surtaxés sous leur contrôle.
Chaque envoi d'OTP frauduleux est une charge réelle. Votre plateforme paie au message, et les attaquants continueront d'en abuser aussi longtemps qu'ils le pourront. Les attaques se produisent souvent par vagues massives. En mai 2025, Prelude a bloqué 763 212 requêtes frauduleuses lors d'une seule attaque ciblant des numéros nigérians (Rapport 2025 de Prelude sur la fraude par SMS pumping).
Contrairement à la plupart des fraudes, les pertes liées au SMS pumping sont rarement récupérables. Lorsque la facture arrive, les messages ont déjà été délivrés et les frais débités.
C'est pourquoi il est essentiel de disposer d'outils solides pour prévenir l'abus des offres promotionnelles, avec une surveillance en temps réel et un blocage automatique, afin de protéger à la fois vos utilisateurs et votre budget.
Abus de plateforme et prolifération de faux comptes
Le SMS pumping survient rarement de manière isolée.
L'infrastructure utilisée pour générer du trafic d'OTP frauduleux sert bien souvent aussi à créer de faux comptes, à détourner les programmes de parrainage, à lancer des campagnes de spam, à réaliser des onboardings synthétiques ou à abuser des promotions.
À mesure que les faux comptes s'accumulent, les défis de modération, de conformité et de confiance s'amplifient sur l'ensemble de la plateforme.
Pollution des métriques et altération des données
Le SMS pumping génère de faux comptes à grande échelle. Vos statistiques d'inscriptions, vos DAU, vos MAU et vos analyses de cohortes se retrouvent pollués par des utilisateurs qui n'existent pas.
Votre base d'utilisateurs est gonflée artificiellement. Vos taux de conversion s'effondrent tandis que vos coûts par acquisition explosent, compliquant la justification de vos budgets marketing. Vos rapports et analyses perdent toute fiabilité, et des données erronées mènent à de mauvaises décisions.
En clair, le faux trafic fausse vos indicateurs de performance et empêche d'analyser le comportement réel de vos clients. Sans données fiables, vos stratégies marketing et commerciales en pâtissent, et vous gaspillez du temps, de l'argent et des ressources à poursuivre des fantômes.
Saturation des canaux d'envoi
Une attaque d'envergure par SMS pumping sature votre infrastructure de messagerie sous un flot de faux trafic. Votre fournisseur de SMS se retrouve débordé, ce qui entraîne des retards, voire des interruptions complètes de service.
Les utilisateurs légitimes qui attendent un code de connexion, une confirmation de paiement ou une réinitialisation de mot de passe voient leurs messages retardés ou bloqués. L'impact est particulièrement rude lors des pics d'activité : lancements promotionnels, périodes de soldes à fort trafic ou étapes critiques comme la récupération de compte.
Résultat : des utilisateurs frustrés, des abandons de panier et une perte de confiance envers votre marque.
Problèmes de conformité et atteinte à la réputation
Le SMS pumping va souvent de pair avec la création de faux comptes : des profils créés par des bots qui passent l'étape de vérification téléphonique avec succès et s'accumulent dans votre base. Au regard des exigences de KYC et de lutte contre le blanchiment d'argent (AML), un parcours de vérification que des comptes synthétiques peuvent franchir sans difficulté expose l'entreprise à des risques réglementaires.
L'atteinte à la réputation est plus difficile à chiffrer, mais elle s'aggrave avec le temps. Les utilisateurs confrontés à des retards ou des blocages perdent confiance dans la plateforme, et le fait d'être associé à une activité frauduleuse — même en tant que victime — érode la crédibilité de la marque.
La fraude ne nuit pas seulement à votre rentabilité : elle détruit la confiance. Qu'il s'agisse de vos clients ou de vos collaborateurs, une fois brisée, cette confiance est extrêmement difficile à regagner.
Hausse des coûts opérationnels
Gérer les conséquences d'une fraude par SMS pumping ne fait pas que grever vos finances. Cela pèse aussi lourdement sur la productivité de vos équipes, les spécialistes en cybersécurité devant passer un temps précieux à traiter chaque incident.
Ils doivent examiner chaque dépense frauduleuse, gérer les réclamations de clients légitimement mécontents, mettre en place des dispositifs de sécurité renforcés pour l'avenir et, lorsque c'est possible, engager des poursuites judiciaires contre les fraudeurs (s'ils parviennent à être identifiés).
Comment détecter la fraude par SMS pumping
Le trafic lié au SMS pumping est conçu pour ressembler à l'activité d'utilisateurs réels. Plusieurs signaux permettent toutefois de distinguer un trafic d'OTP frauduleux d'une utilisation légitime :
Pics inhabituels du volume d'OTP
Si vos demandes d'OTP ou vos envois de SMS augmentent sans hausse proportionnelle de l'activité réelle ou sans campagne marketing active, il y a de fortes chances que des fraudeurs soient à l'œuvre.
Trafic concentré sur des zones géographiques inhabituelles
Un volume important de SMS envoyés vers des pays où votre entreprise n'exerce aucune activité et ne compte pas de clients est souvent le signe d'une exploitation frauduleuse de vos services de messagerie.
Numéros de téléphone séquentiels ou répétitifs
Si les numéros sollicitant des OTP se ressemblent étrangement ou suivent des séries séquentielles (ex. : +1234567801, +1234567802, +1234567803), cela n'a rien d'un hasard.
Les bots utilisent fréquemment des listes automatisées pour demander des codes : repérer ces motifs est un indicateur clair de SMS pumping.
Requêtes acheminées via des proxys résidentiels
Les proxys résidentiels sont devenus l'infrastructure d'attaque de référence en 2025, utilisés pour répartir le trafic et contourner les blocages par adresse IP (Rapport 2025 de Prelude sur la fraude par SMS pumping).
Effondrement du ratio envoi/vérification
Un ratio entre l'envoi d'OTP et la saisie de codes supérieur à 2:1 constitue une alerte majeure : les fraudeurs n'ont pas besoin de valider le code, leur seul but est de déclencher l'envoi du message.
Ainsi, une baisse brutale du taux de conversion (globalement ou sur un pays précis) indique souvent qu'un faux trafic gonfle vos chiffres sans générer de valeur. Le tableau de bord de Prelude affiche les taux de conversion des vérifications à l'échelle mondiale et par pays, ce qui permet d'isoler immédiatement une anomalie sur un marché donné.
Plaintes de clients concernant des retards
En saturant votre système de messagerie, les fraudeurs peuvent retarder la réception des codes de vérification par vos véritables utilisateurs.
Si votre support client commence à recevoir des signalements relatifs à la lenteur de réception des OTP, votre infrastructure est peut-être submergée de requêtes fictives.
Cohortes de nouveaux comptes sans aucun engagement
Si vous observez des hausses d'inscriptions qui ne se traduisent par aucune activité ultérieure (connexions, achats, sessions), vous êtes très probablement la cible d'une attaque.
Budget SMS consommé bien plus vite que prévu
Le ratio dépenses/activité est l'indicateur rétrospectif par excellence : lorsqu'il s'affole, les dégâts financiers sont déjà là.
La plupart de ces signaux sont repérables en temps réel. Le dernier, lui, n'apparaît qu'une fois les fonds dépensés, d'où l'importance capitale d'une détection en temps réel.
Comment prévenir la fraude par SMS pumping
Une protection efficace contre le SMS pumping repose à la fois sur le renforcement de votre infrastructure et sur la détection des fraudes en temps réel avant l'envoi. Prelude Verify intègre plusieurs de ces mécanismes par défaut.
1. Mettre en place un rate limiting adaptatif
L'une des méthodes les plus courantes pour contrer le SMS pumping consiste à instaurer un rate limiting, en définissant un plafond journalier sur le volume de messages ou sur les dépenses autorisées.
Vous pouvez par exemple décider que vos dépenses SMS ne doivent pas dépasser 300 $ par jour pour les vérifications par OTP et les authentifications par SMS. Ce garde-fou évite les mauvaises surprises au moment de recevoir la facture à la fin du mois.
La prudence reste toutefois de mise. Si le rate limiting bloque l'activité frauduleuse, il peut aussi générer des faux positifs et empêcher de vrais utilisateurs de finaliser leur action, en particulier en cas de pic d'activité légitime. Surveiller et ajuster ces limites au rythme de votre croissance est indispensable pour préserver l'équilibre entre sécurité et expérience utilisateur.
Prelude Verify limite le nombre de requêtes de vérification par numéro de téléphone sur une période donnée, et vos équipes peuvent configurer ce seuil directement depuis le tableau de bord.
2. Classifier les numéros de téléphone avant l'envoi
Avant d'envoyer un code OTP, analysez le profil de risque du numéro de destination :
Type de numéro : les numéros VoIP, virtuels et jetables sont nettement plus susceptibles d'être exploités dans des campagnes de SMS pumping que des numéros mobiles classiques chez de grands opérateurs. Signalez ou bloquez les envois vers ces catégories de numéros.
Risque géographique : les numéros associés à des indicatifs ou préfixes à haut risque, connus pour être liés à des fraudes aux numéros surtaxés, doivent déclencher une vérification accrue ou un blocage automatique.
Numéros récemment activés : les numéros dont l'activation est très récente constituent un signal récurrent lors d'attaques automatisées par des bots.
3. Appliquer des restrictions géographiques
Si votre produit n'est pas présent sur un marché donné, il n'y a aucune raison d'y envoyer des OTP. Restreindre les envois à vos pays d'activité est l'une des mesures les plus rapides à mettre en place et les plus efficaces pour réduire l'exposition à la fraude aux numéros surtaxés internationaux.
Faites preuve de précision : bloquer des pays entiers de manière indifférenciée risque de pénaliser des utilisateurs légitimes. Fondez-vous sur les données géographiques réelles de votre base d'utilisateurs pour établir votre liste d'autorisation.
Dans Prelude, chaque pays dispose d'un niveau de risque de fraude que les équipes peuvent ajuster depuis le tableau de bord, ce qui permet de durcir les contrôles sur un marché sensible sans pour autant le bloquer complètement.
4. Surveiller les ratios envoi/vérification
L'effondrement du taux de validation des OTP est l'un des signes les plus manifestes de fraude : le trafic malveillant génère des envois, pas des authentifications réussies.
Le suivi de ce ratio en temps réel permet de détecter les attaques dès leurs premiers signes.
5. Exploiter l'intelligence de routage de votre fournisseur
Choisissez un prestataire d'OTP qui surveille et bloque activement les routes à risque. Un fournisseur qui réalise sa marge sur chaque message n'a aucun intérêt financier à bloquer le trafic suspect. Privilégiez une tarification transparente sans surcoût au message, assortie d'un engagement clair sur la gestion de la fraude au niveau des routes.
Prelude facture les messages au coût opérateur sans aucune marge ajoutée : bloquer le trafic frauduleux ne réduit donc en rien ses revenus.
Pour comparer les différentes options du marché, consultez notre comparatif des solutions contre le SMS pumping.
6. Utiliser un scoring de fraude en temps réel
Les listes de blocage statiques deviennent vite obsolètes. Vos dispositifs de détection doivent donc évoluer au même rythme que les infrastructures des attaquants.
Une stratégie moderne de lutte contre la fraude requiert ainsi :
Des modèles de risque adaptatifs
Une analyse comportementale poussée
Des signaux actualisés en continu
Une prise de décision en temps réel
Comment Prelude détecte le SMS pumping avant l'envoi de l'OTP
L'approche de Prelude repose sur la détection avant l'envoi, plutôt que sur le constat des dégâts a posteriori.
Prelude Verify analyse automatiquement chaque demande de vérification. Avant même qu'un code ne parte, l'algorithme antifraude de Verify évalue la requête et la bloque si le niveau de risque est excessif, garantissant que le message ne sera jamais expédié. Lorsqu'une requête est bloquée, Verify détaille les facteurs de risque ayant motivé la décision, notamment :
Numéros temporaires : le numéro provient d'un service de téléphonie jetable ou éphémère.
Abus de plages de numéros : le numéro fait partie d'une série actuellement associée à des comportements suspects.
Historique de conversion faible : les profils de trafic similaires mènent très rarement à une vérification réussie.
Incohérence géographique : l'emplacement réseau ne correspond pas au pays du numéro de téléphone.
Signaux liés aux proxys et adresses IP : la requête provient d'un proxy, d'une IP à mauvaise réputation ou d'une adresse concentrant un volume anormal de vérifications.
Tentatives répétées : le numéro a dépassé la limite de tentatives autorisées sur un court intervalle.
Bases de données de fraude : le numéro est répertorié dans une ou plusieurs bases de données consultées par Prelude.
D'après les données 2025 de Prelude, la détection par machine learning a permis de bloquer près de 78 % de l'ensemble des requêtes frauduleuses. Des règles statiques ne peuvent tout simplement pas rivaliser avec des attaquants qui alternent les adresses IP, s'appuient sur des proxys résidentiels et imitent le comportement temporel d'utilisateurs réels.
Les équipes peuvent ajuster cette protection par pays depuis le tableau de bord Prelude. Elles ont la possibilité d'augmenter ou de diminuer le niveau de risque d'une région et d'activer des règles (comme la détection de VPN et de proxys), sans avoir à modifier leur code.
Prelude Watch évalue le risque des utilisateurs dès l'inscription, quel que soit votre fournisseur de SMS. Watch attribue un score légitime ou suspect au numéro ou à l'adresse e-mail renseignée. La solution s'appuie sur divers signaux : historique de portabilité, proxys résidentiels, numéros jetables ou incohérences d'appareil et d'IP. Les équipes qui envoient leurs OTP via un autre prestataire peuvent ainsi utiliser Watch pour écarter les inscriptions douteuses avant même de déclencher le moindre envoi.
Cas concret : une attaque stoppée net
Voici l'exemple d'une attaque récemment déjouée par Prelude pour le compte d'une foodtech européenne.
L'attaque utilisait des numéros enregistrés au Royaume-Uni, l'un des marchés habituels de ce client. Si l'emplacement n'était pas suspect au premier abord, l'algorithme de Prelude a identifié une anomalie : plusieurs dizaines de numéros d'une même plage affichaient des taux de conversion inhabituellement bas.
Grâce à cette détection précoce, Prelude a pu bloquer proactivement ces numéros avant que l'attaque ne prenne de l'ampleur. La tentative a persisté pendant plusieurs jours, mais constatant leur échec, les fraudeurs ont fini par abandonner.
Le volume de SMS frauduleux bloqués représentait presque l'équivalent du trafic mensuel standard de l'entreprise, lui évitant ainsi plusieurs milliers de dollars de pertes nettes.
Avec Prelude, vous bénéficiez d'une prévention proactive contre la fraude sans dégrader l'expérience de vos utilisateurs légitimes.
Prêt à protéger votre activité contre la fraude par SMS ? Inscrivez-vous gratuitement et commencez à tester l'API de Prelude dès aujourd'hui.
Qu'est-ce que la fraude par SMS pumping ?
La fraude par SMS pumping, aussi appelée artificially inflated traffic (AIT) ou fraude aux numéros surtaxés par SMS, se produit lorsque des attaquants inondent des endpoints d'OTP à l'aide de bots pour déclencher de gros volumes de messages vers des numéros surtaxés sous leur contrôle, empochant au passage une part des frais de terminaison que votre plateforme paie par SMS.
Quelle est la différence entre le SMS pumping et l'IRSF ?
Le SMS pumping est une variante de l'IRSF. L'IRSF est une catégorie plus large désignant tout stratagème qui exploite le partage de revenus télécoms pour tirer profit des frais de terminaison. Le SMS pumping cible plus spécifiquement les endpoints d'OTP et de vérification pour générer ce trafic. Consultez notre article Qu'est-ce que l'IRSF ? pour tout comprendre sur cette méthode d'attaque.
Comment savoir si je suis la cible d'une attaque par SMS pumping ?
Les signaux avant-coureurs les plus nets sont un effondrement du ratio envoi/vérification (beaucoup d'OTP envoyés, très peu de codes saisis), des pics de trafic concentrés sur des zones où vous n'avez pas d'utilisateurs, et des numéros séquentiels ou répétitifs dans vos logs d'OTP. Une flambée de la facture SMS sans hausse d'activité réelle est souvent le moyen par lequel les entreprises le découvrent, mais les pertes financières sont alors déjà consommées.
Comment Prelude détecte-t-il le SMS pumping ?
Prelude Verify évalue chaque demande de vérification avant l'envoi du code à l'aide du machine learning et d'indicateurs comme les numéros temporaires, les plages compromises, l'historique de conversion, les incohérences de localisation et le trafic par proxy. Les requêtes à haut risque sont bloquées, empêchant tout départ de SMS. Prelude Watch ajoute un contrôle du risque dès l'inscription, compatible avec n'importe quel fournisseur de SMS.
Peut-on simplement bloquer des pays entiers pour stopper le SMS pumping ?
Le blocage géographique constitue un levier utile, mais il se doit d'être précis. Bloquer des pays entiers risque d'exclure des utilisateurs légitimes et de freiner la croissance de votre activité.
La stratégie la plus efficace consiste à limiter les envois à vos marchés réels selon les données de vos utilisateurs, tout en associant cette mesure à la qualification préventive des numéros et à l'analyse de vélocité pour une protection en couches.
Commencez à optimiser votre flux d'Auth
Envoyez des SMS de vérification partout dans le monde au meilleur tarif, avec la meilleure délivrabilité et sans aucun spam.
