Évitez la fraude par SMS et simplifiez vos processus de vérification avec Number Verify

La fraude par SMS

Les organisations criminelles ont compris qu’elles pouvaient détourner les mêmes systèmes que ceux utilisés par les entreprises pour dialoguer avec leurs clients. Pour les empêcher de pirater des comptes et de faire des victimes, la plupart des entreprises ont recours à la MFA (authentification multifacteur) ou à la 2FA (authentification à deux facteurs) pour sécuriser leurs services en ligne, l’inscription et la connexion des utilisateurs. Cette méthode peut même servir à vérifier l’identité d’un client lors de l’autorisation d’un virement. La stratégie de MFA la plus répandue est la vérification numérique, souvent réalisée en envoyant des OTP (mots de passe à usage unique) afin de confirmer les droits d’accès de la personne qui se connecte au compte ou au service. Affaire classée, problème résolu ? Malheureusement, non.

Les criminels sont tenaces et ingénieux. Ils ont appris à détourner les communications textuelles automatisées (comme les OTP) en submergeant les entreprises de demandes d’envoi de SMS vers des numéros surtaxés. Chaque message vient gonfler une facture exorbitante pour l’entreprise visée, tandis que les fraudeurs empochent leurs bénéfices. Ce type de fraude porte plusieurs noms : fraude à la surtaxation, IRSF (fraude au partage international des revenus) ou encore AIT (trafic artificiellement gonflé).

Alors, comment éviter de devenir la prochaine victime de la fraude à la surtaxation ? CM.com propose une gestion des destinations au sein de notre système Safeguard pour aider à protéger votre entreprise, mais il existe aussi une nouvelle méthode de vérification numérique qui prévient ce type d’escroquerie. Une méthode plus sûre, plus simple d’utilisation, et qui vous évite d’avoir à envoyer un grand nombre de messages OTP : Number Verify.

Qu’est-ce que Number Verify ?

Number Verify, vérification de numéro, identité mobile, authentification de l’identité mobile, vérification silencieuse, authentification silencieuse par le réseau, authentification sans mot de passe, authentification SAFr : autant de noms pour une même méthode de vérification. Mais de quoi s’agit-il ?

Number Verify s’appuie sur les caractéristiques uniques de la carte SIM des appareils mobiles pour autoriser et vérifier l’utilisateur de vos applications mobiles. Contrairement aux méthodes d’authentification classiques qui reposent sur des mots de passe, des questions de sécurité, des jetons physiques ou des OTP, Number Verify vérifie les fonctions de sécurité propres à la carte SIM pour garantir que seuls les utilisateurs autorisés peuvent accéder aux informations et services sensibles de votre application mobile. Les entreprises ont ainsi l’assurance que la personne avec qui elles échangent est bien le propriétaire légitime du numéro mobile, ce qui aide à prévenir l’usurpation d’identité.

L’utilisateur sera invité à saisir son numéro de téléphone, et rien d’autre. L’authentification se déroule en arrière-plan par l’intermédiaire des opérateurs mobiles qui assurent la vérification de la SIM. C’est pourquoi on parle souvent de méthode d’authentification « silencieuse » : l’essentiel de la vérification a lieu côté serveur, sans aucune action externe nécessaire. De cette manière, les criminels n’ont aucune occasion de commettre une fraude à la surtaxation.

Aucun nom d’utilisateur, mot de passe ou OTP n’est requis pour la vérification. Cela en fait une méthode rapide, fluide et conviviale, qui simplifie le processus de vérification aussi bien pour les entreprises que pour les utilisateurs.

Les principaux atouts de Number Verify

1. Sécurité renforcée : en s’appuyant sur la carte SIM, intrinsèquement sécurisée et difficile à altérer, Number Verify offre un niveau de sécurité supérieur à celui des méthodes traditionnelles.

2. Simplicité pour l’utilisateur : les utilisateurs n’ont pas besoin de mémoriser des mots de passe complexes ni de transporter des dispositifs d’authentification supplémentaires. Leur téléphone mobile, qu’ils ont déjà sur eux, devient la clé d’accès.

3. Prévention de la fraude : les solutions Number Verify permettent de détecter et de prévenir les activités frauduleuses telles que la fraude à la surtaxation et l’usurpation d’identité.

4. Conformité réglementaire : de nombreux secteurs sont soumis à des réglementations strictes en matière de protection des données et d’authentification des utilisateurs. Number Verify aide les entreprises à respecter ces exigences.

5. Économique : réduire le recours aux jetons physiques et aux systèmes complexes de gestion des mots de passe permet de diminuer sensiblement les coûts opérationnels.

Quel est le niveau de sécurité de Number Verify ?

Vérifier l’identité de l’utilisateur via la carte SIM bénéficie de la sécurité intrinsèque dont les cartes SIM disposent déjà. Mais que se passe-t-il si des criminels commettent une fraude avec les cartes SIM ? La fraude par échange de SIM (SIM swap) survient lorsqu’un fraudeur convainc un opérateur mobile de transférer le numéro d’un utilisateur vers une nouvelle carte SIM. En contactant l’opérateur, il prétend avoir perdu sa carte SIM ou son téléphone et demande à ce que le numéro soit associé à une nouvelle SIM. Le fraudeur peut alors accéder à des comptes et des informations sensibles.

Détecter et prévenir la fraude par échange de SIM

Cela rend-il Number Verify peu sûr ? Non, car nous avons toujours une longueur d’avance ! Le service de détection d’échange de SIM, ou protection contre la prise de contrôle (Takeover Protection), aide à prévenir ce type de fraude en surveillant et en détectant les changements de carte SIM. Avant d’exécuter une transaction, les entreprises peuvent effectuer une vérification SIM Swap qui indique la dernière date à laquelle la SIM a été changée ou activée.

Un échange de SIM récent est-il enregistré ? Dans ce cas, vous pouvez, en tant qu’entreprise, décider de la meilleure marche à suivre pour cet utilisateur précis. Vous pouvez ainsi réagir rapidement aux tentatives de fraude et renforcer la sécurité globale des comptes utilisateurs et des informations sensibles qu’ils peuvent contenir.

Number Verify va-t-il remplacer les OTP ?

Les OTP par SMS ont-ils encore un avenir, surtout au vu de la montée de l’AIT et de la fraude à la surtaxation ? Le SMS est considéré comme un canal ancien, ses messages ne sont pas chiffrés de bout en bout et le prix par message ne cesse d’augmenter. Certains affirment même que le SMS en tant que canal d’OTP ne survivra pas aux cinq prochaines années. Le temps nous dira si cette prédiction se vérifie. Mais pour l’instant, il est encore trop tôt pour enterrer les OTP (par SMS).

Number Verify nécessite la coopération des opérateurs mobiles, et en matière de sécurité, l’accessibilité est un facteur clé. Ce que le SMS perd en sécurité, il le compense par sa portée et son efficacité. Proposer des solutions de pointe contre la cybercriminalité ne sert à rien si ces solutions n’atteignent pas vos clients. Le SMS est accessible, disponible et présent partout. Parfait comme canal de sécurité de secours lorsque les solutions de première ligne ne sont pas disponibles pour un client.

Par ailleurs, le SMS n’est pas le seul canal à proposer des OTP. Des canaux plus récents et chiffrés de bout en bout, comme la plateforme WhatsApp Business et le RCS, sont parfaitement adaptés à l’envoi d’OTP.

Les OTP via WhatsApp

Traditionnellement, les OTP sont envoyés par SMS ou par e-mail. Le problème, c’est que ces messages ne sont pas chiffrés de bout en bout. Or, des messages non chiffrés peuvent être exploités par les criminels. Les messages de la plateforme WhatsApp Business sont chiffrés de bout en bout, ce qui ajoute un niveau de sécurité supplémentaire aux OTP envoyés via WhatsApp.

Les OTP via RCS

Le RCS est souvent considéré comme le successeur du SMS, et à juste titre. Il apporte des contenus multimédias enrichis et des outils interactifs à l’application de messagerie native des téléphones Android, et bientôt aussi aux iPhone.

Au-delà de ces fonctionnalités enrichies, le RCS offre également un niveau de sécurité supérieur à celui du SMS grâce à ses profils d’entreprise vérifiés. Ces profils vérifiés aident à éliminer la fraude et le spam en imposant aux entreprises un processus de vérification rigoureux pour prouver leur identité avant de pouvoir envoyer des messages RCS. Ils aident aussi vos clients à repérer les faux messages OTP contenant des liens malveillants.

Les services de vérification avec CM.com

On comprend bien l’importance de trouver des outils accessibles et sûrs pour donner à vos clients un accès en toute sécurité à vos services numériques, mais par où commencer ? Les outils actuellement utilisés pour l’authentification et la vérification n’ont pas nécessairement été conçus pour ce cas d’usage précis, et ne sont pas non plus tarifés en conséquence. Les OTP sont généralement facturés par message (texte) envoyé, que la vérification ait abouti ou non.

Chez CM.com, nous avons désormais regroupé nos services de vérification et d’authentification au sein d’une seule API simple et accessible, afin que vos solutions de vérification soient opérationnelles en un rien de temps. Et le meilleur dans tout ça ? Vous ne payez que pour les vérifications réussies !

Notre outil Number Verify fait partie de notre solution Verification as a Service et de notre API Mobile Identity. Intégrez l’une de nos solutions en toute simplicité pour offrir une expérience fluide à vos collaborateurs comme à vos clients.