Si vous construisez une application qui nécessite que les utilisateurs saisissent un numéro de téléphone et reçoivent un SMS, vous devriez vous inquiéter de la fraude IRSF en particulier.

Avec une augmentation de 12% des pertes dues à la fraude signalées en 2023 par rapport à 2021, équivalant à environ 38,95 milliards de dollars perdus, la fraude en télécommunications devient une menace majeure pour les revenus des entreprises.

Bien qu'il existe malheureusement trop de différents types de fraude, l'un qui affecte presque tous les acteurs de l'industrie des télécommunications est l'International Revenue Share Fraud (IRSF). Même si votre application n'offre pas directement un service de télécommunications, elle peut être affectée lors des tentatives de vérification et d'authentification des utilisateurs.

Dans cet article, nous allons aborder ce qu'est l'IRSF et comment elle affecte les entreprises et les clients utilisant des mécanismes de vérification par SMS et OTP.

Qu'est-ce que la fraude IRSF ?

L'IRSF, est une forme de fraude financière dans laquelle des criminels informatiques exploitent les structures tarifaires complexes des appels internationaux et des SMS pour générer et détourner des revenus vers leurs propres comptes. Ce type de fraude est également appelé fraude au SMS pumping.

La fraude au pompage de SMS se produit lorsque des fraudeurs gonflent artificiellement le volume de messages SMS internationaux envoyés vers des numéros à tarif premium. Ils le font généralement en dupant des applications pour qu'elles effectuent de fausses inscriptions ou de fausses demandes de vérification de numéro de téléphone sur ces numéros premium. Ces numéros entraînent des frais plus élevés, et l'application ciblée par les fraudeurs en assume le coût.

Et ces coûts peuvent atteindre des montants astronomiques. En 2023, Elon Musk a révélé que Twitter perdait 60 millions de dollars par an à cause de la fraude au pompage de SMS !

Comment fonctionne l'IRSF ?

Le fraudeur se procure une gamme de numéros de téléphone à tarif premium (IPRN) qu'il utilisera pour s'inscrire sur différentes applications avec des inscriptions de vérification par téléphone.

Ils opèrent généralement dans des pays où les réglementations dans ce domaine sont laxistes ou faiblement appliquées.

Le fraudeur est souvent de mèche avec un opérateur de télécommunications, un opérateur ou quiconque opérant comme intermédiaire entre le message et la destination, tel que l'agrégateur SMS. En effet, les opérateurs de télécommunications doivent conclure des accords pour partager les revenus avec d'autres opérateurs afin de faciliter les messages internationaux. Bien que ces accords soient censés être mutuellement bénéfiques, ils créent des lacunes que les fraudeurs peuvent exploiter.

Les fraudeurs bombardent ensuite une entreprise avec de fausses demandes d'OTP vers des numéros premium qu'ils contrôlent. L'entreprise accumule une grosse facture, tandis que le fraudeur et l'opérateur de télécommunications partagent l'argent généré par les numéros premium.

L'IRSF peut également se produire dans des routes télécoms normales vers des numéros réguliers. Ils peuvent ne pas coûter autant, mais accumulent suffisamment d'argent volé pour que la fraude en vaille la peine. C'est ce qui rend l'IRSF si difficile à détecter.

Cette forme de fraude est structurellement difficile à combattre, au point qu'elle a attiré l'attention d'Europol, comme elle le devrait.

"C'est le schéma de fraude le plus dommageable à ce jour, où un criminel s'associe à un fournisseur de numéros à tarification premium internationale (IPRN) qui facture des tarifs élevés... et accepte de partager les revenus pour tout trafic généré par le fraudeur." — Europol

Autres méthodes d'attaque IRSF

Bien que la fraude au pompage de SMS soit la plus courante et celle qui peut entraîner les plus grandes pertes pour les entreprises, les fraudeurs peuvent utiliser une gamme de méthodes d'attaque :

Hacking de PBX

En exploitant les vulnérabilités des systèmes de central téléphonique privé (PBX) - réseaux téléphoniques utilisés au sein d'une entreprise - les fraudeurs peuvent rediriger des appels vers des numéros à tarif premium.

Fraude Wangiri

Également connue sous le nom de fraude "un anneau", les attaquants passent de courts appels à des cibles, les incitant à rappeler. L'appel de retour est dirigé vers un numéro à tarif premium.

Échange de SIM

Les fraudeurs prennent le contrôle du numéro de téléphone d'une victime en trompant le fournisseur de téléphonie mobile pour qu'il change le numéro vers une carte SIM qu'ils contrôlent. Cela leur permet de recevoir des appels et des SMS destinés à la victime.

Fraude au roaming

Les fraudeurs peuvent exploiter les accords de roaming international pour passer des appels facturés vers un autre réseau, en utilisant des cartes SIM volées ou clonées ou en profitant des délais de facturation dans les enregistrements d'appels internationaux.

Quelles entreprises devraient être préoccupées par l'IRSF ?

Bien que certains secteurs soient plus exposés aux attaques frauduleuses, comme la finance, la santé ou les applications sociales, toute entreprise internationale qui envoie des messages de vérification dans le monde entier doit être concernée par l'IRSF.

Il n'est même pas nécessaire que ce soit une grande marque ou une application. Tant que l'application a un champ de saisie pour un numéro de téléphone et est conçue pour envoyer un SMS à quelqu'un, elle est vulnérable à l'IRSF.

Que ce soit pour l'ouverture de comptes, les inscriptions des utilisateurs ou les vérifications de transaction, les fraudeurs peuvent détourner toute livraison basée sur des SMS.

Si vous dirigez ou travaillez dans une entreprise comme celle-ci, vous n'avez pas à demander : “Cela peut-il nous affecter ?” Vous devez demander : “Quand cela va-t-il nous arriver ?”

Comment l'IRSF impacte les entreprises ?

Pertes financières

Les entreprises font face à des pertes financières directes dues à l'IRSF, entraînant souvent des factures téléphoniques exorbitantes en raison de faux utilisateurs.

Cette fraude entraîne également des coûts indirects, comme le coût d'enquête et de mitigation de la fraude, ainsi que des coûts opérationnels supplémentaires.

Dommages à la réputation

Si les clients sont directement affectés par la fraude ou si leur sécurité des informations est compromise, cela peut entraîner des dommages considérables à la confiance des clients et des employés.

Certaines entreprises peuvent être tentées de réagir à la fraude en bloquant des pays et des régions entières, frustrant ainsi les véritables utilisateurs qu'elles ont là-bas.

Interruption opérationnelle

Un volume élevé de fausses demandes peut entraîner un crash ou un temps d'arrêt du système d'une entreprise, impactant l'expérience des vrais utilisateurs. La détection et la réponse à l'IRSF peuvent également perturber les opérations commerciales régulières, détournant des ressources et du personnel des activités principales et pouvant causer une perte d'avantage concurrentiel.

Pénalités légales

Les entreprises peuvent être condamnées à des amendes ou à des poursuites si l'on prouve qu'elles n'ont pas suffisamment protégé les données de leurs clients. Toute accusation de fraude au pompage de SMS peut également entraîner des organisations accusées d'avoir aidé et encouragé la fraude.

Comment détecter l'IRSF ?

Détecter l'IRSF est délicat car elle peut se mélanger à des appels internationaux légitimes. Mais vous pouvez garder un œil sur ces signaux :

• Enquêtez sur tout pic soudain du nombre de demandes d'OTP sur une courte période, en particulier en provenance de pays où votre entreprise n'a pas beaucoup de clients.

• Portez une attention particulière à la vitesse à laquelle les demandes de SMS arrivent des utilisateurs. Soyez méfiant envers l'IRSF chaque fois qu'il y a un inexplicable coup de pouce dans ces chiffres.

• Demandez à votre fournisseur de signaler tout volume important de demandes d'OTP provenant de destinations internationales à haut risque de fraude.

• Recherchez plusieurs SMS dirigés vers le même numéro ou la même destination.

Comment protéger votre entreprise contre l'IRSF avec Prelude ?

L'ISRF n'est pas inévitable et votre entreprise peut trouver une solution pour protéger vos clients (et votre budget) contre ces attaques.

Chez Prelude, nous nous concentrons sur un certain nombre de choses bien faites. L'une d'elles est de prévenir l'IRSF, en particulier le pompage de SMS. Le SDK et l'API de Prelude sont spécifiquement conçus pour protéger les clients contre l'IRSF dans leurs flux de vérification basés sur OTP.

Comment y parvenons-nous ?

• Nous utilisons l'évaluation de risques pour identifier les spams avec la meilleure précision afin que nos clients n'envoient des SMS OTP qu'à de vrais utilisateurs.

• Nous enrichissons notre analyse avec des bases de données commerciales pour une détection de fraude plus précise.

• Notre expertise est partagée entre tous nos clients. Une attaque bloquée bénéficiera à tous les comptes.

• En cas d'attaque, nous ne bloquons pas des opérateurs ou des pays entiers. Au lieu de cela, nous faisons une évaluation granulaire de la fraude et pinpointons les problèmes afin que votre entreprise ne soit pas impactée, que ce soit par des pertes financières ou la suspension de SMS nécessaires. Nous préférons être précis au point d'offrir des infrastructures SMS dans des pays non desservis par des concurrents comme l'Indonésie, les Philippines et le Brésil — car les clients légitimes ne devraient pas souffrir des actions des cybercriminels.

Nous sommes également une entreprise native de l'IA, ce qui signifie que nous pouvons mieux identifier la fraude grâce à des méthodes d'évaluation précises qui considèrent les heuristiques et les données enrichies. Les fournisseurs traditionnels se contentent d'examiner un numéro de téléphone pour déterminer la fraude, mais vous payez alors pour de faux négatifs et perdez en croissance avec de faux positifs.

Si nous avons éveillé votre curiosité, vous pouvez réserver une démonstration pour voir comment Prelude envoie des SMS OTP à 60 % de moins que le coût du marché, avec un taux de livraison de 99 % et une fraude remarquablement minimale.