Pourquoi il est si difficile de s’attaquer aux escroqueries téléphoniques

Pourquoi il est si difficile de s’attaquer aux escroqueries téléphoniques

Beaucoup d’entre nous refusent maintenant de répondre aux appels téléphoniques d’un numéro inconnu, de peur que ce soit une escroquerie.

Et nous redoutons de recevoir un message texte, soi-disant de notre banque ou d’une entreprise de livraison, encore une fois en raison de préoccupations qu’il pourrait être de fraudeurs.

Un rapport récent suggère que nous avons raison d’être prudents. Au cours de la période de 12 mois se terminant en mars 2021, la fraude par téléphone et par texto en Angleterre, au pays de Galles et en Irlande du Nord a augmenté de 83 % par rapport à l’année précédente, selon le groupe de consommateurs Which?.

Lequel ? analysé les données d’Action Fraud, le centre de signalement national du Royaume-Uni pour la fraude et la cybercriminalité, et déclare qu’il s’agit de la plus forte hausse pour tous les types d’attaques frauduleuses.

Il ajoute que le saut a été alimenté par un plus grand nombre de personnes qui ont reçu des choses pendant la pandémie, ce qui a entraîné une augmentation énorme correspondante des avis de livraison de faux colis.

Dans ces « coups de fouet », les fraudeurs envoient à une personne un message, apparemment d’un numéro légitime, pour réclamer qu’un petit paiement est nécessaire avant qu’un colis puisse être livré. Ensuite, lorsque vous cliquez sur le lien, ils essaient de voler vos données bancaires.

Mais comment exactement les fraudeurs sont-ils en mesure de le faire, et pourquoi est-il si difficile pour les entreprises et les autorités de télécommunications de s’attaquer au problème?

Matthew Gribben, un expert en cybersécurité, dit que les criminels sont en mesure de faire croire que leur appel téléphonique ou texte provient du numéro de téléphone réel d’une banque ou d’une entreprise de livraison, en raison des vulnérabilités persistantes dans les systèmes de réseau téléphonique du Royaume-Uni (et d’autres pays).

« Il n’y a aucun moyen pour le réseau téléphonique britannique actuel de garantir à 100% que le numéro de présentation qu’il est dit est le numéro d’origine réel – il doit prendre votre parole pour elle, » dit M. Gribben, qui est un ancien consultant au GCHQ, l’agence de renseignement du gouvernement britannique.

Le coeur du problème est un protocole d’identification téléphonique appelé SS7, qui remonte à 1975. C’est un peu compliqué, mais soyez indulgents.

SS7 indique au réseau téléphonique de quel numéro un utilisateur appelle ou envoie un SMS, connu sous le nom de « numéro de présentation ». Ceci est crucial pour que les appels puissent être connectés les uns aux autres. Le problème, c’est que les fraudeurs peuvent voler un numéro de présentation, puis le relier à leur propre numéro.

Le problème touche à la fois les lignes fixes et les téléphones mobiles, avec SS7 toujours au centre des parties 2G et 3G des réseaux de téléphonie mobile qui continuent de transporter nos appels vocaux et des messages texte – même si vous avez un combiné compatible 5G.

Une théorie est que les vulnérabilités de SS7 ne peuvent pas être corrigées parce que les entreprises de télécommunications doivent donner aux agences de sécurité nationale l’accès à leurs réseaux, mais M. Gribben dit que GCHQ (l’agence de renseignement britannique) peut surveiller les communications sans utiliser les failles de SS7.

Le problème, dit-il, est que le SS7 est toujours utilisé dans les réseaux de télécommunications à l’échelle mondiale. Et il doit être remplacé plutôt que rafistolé.

« Il y a trop de technologies héritées [qui en dépendent] que nous ne pouvons pas abandonner – nous allons avoir ces réseaux SS7 2G/3G pendant encore au moins 10 ans. »

Jon France, responsable de la sécurité industrielle à la GSMA, l’organisation professionnelle qui représente les fournisseurs de réseaux mobiles dans le monde, affirme que « beaucoup de ces problèmes disparaîtront » après le déploiement complet des réseaux 5G. Cela signifie que SS7 – et 2G et 3G – peut être totalement remplacé.

Mme Gonzalez est d’accord : « Il a fallu un certain temps pour comprendre ces failles et comment elles ont été exploitées. Maintenant, avec la 5G, il y aura une sécurité [du centre] de la 5G. »

Cependant, M. Gribben prévient que même lorsque l’ES7 est remplacé par quelque chose de « entièrement nouveau et pétillant, il y aura encore d’autres vulnérabilités [que les fraudeurs peuvent exploiter] ».

Selon la GSMA, les entreprises de télécommunications consacrent « beaucoup d’efforts et d’investissements » à la lutte contre les escroqueries.

Pour sa part, le BICS utilise des systèmes d’intelligence artificielle pour tenter de détecter et de bloquer les appels et les SMS frauduleux entrants.

Mme Gonzalez ajoute que la seule façon de prévenir les escroqueries par SMS est de permettre aux entreprises de télécommunications d’utiliser l’IA pour scanner des textes à la recherche de liens vers de faux sites Web avant qu’ils ne soient envoyés. Pourtant, il est peu probable que les organismes de réglementation de la protection de la vie privée acceptent cela.

Ainsi, le BICS appelle à « une plus grande collaboration entre les entreprises de télécommunications et les gouvernements, de meilleures relations entre les pays, et plus d’efforts de la part des entreprises sur le partage d’informations sur les dernières vulnérabilités ».
Ligne grise de présentation

En ce qui concerne les appels téléphoniques frauduleux, il y a eu une forte augmentation de ce qu’on appelle « appels automatisés » – appels vocaux automatisés au cours des dernières années.

Il existe des systèmes d’authentification des appels qui peuvent aider à les arrêter, et l’organisme de réglementation des télécommunications du Royaume-Uni, Ofcom, affirme qu’il consulte l’industrie des télécommunications pour voir ce qui peut être mis en œuvre et dans combien de temps.

« Ces escroqueries criminelles sont de plus en plus sophistiquées et de s’y attaquer nécessite des efforts de la part d’un éventail d’organismes, » dit un porte-parole de l’Ofcom.

« Nous travaillons en étroite collaboration avec la police, l’industrie et des organisations telles que le NCSC [le National Cyber Security Centre] – qui est responsable des normes de cybersécurité au Royaume-Uni – pour aider à résoudre le problème. »

Un organisme international de normalisation, l’Internet Engineering Task Force (IETF), basé aux États-Unis, a également mis au point de nouveaux protocoles pour prévenir les appels automatisés.

Dans un clin d’œil à James Bond, le système est appelé « Stir and Shaken ». Les autorités américaines ont ordonné aux opérateurs mobiles de mettre en œuvre les protocoles d’ici la fin de 2021, mais Ofcom affirme que les fournisseurs britanniques ne peuvent pas le faire tant que les réseaux ne seront pas suffisamment mis à niveau, d’ici 2025.

%d blogueurs aiment cette page :