Traffic pumping et arbitrage d’accès : le mode opératoire de la fraude à la taxation
La plupart des fraudes à la taxation volent quelque chose : un PBX compromis, un identifiant SIP détourné, un numéro surtaxé que personne n’avait l’intention de composer. Le traffic pumping ne vole rien. Il fabrique des minutes facturables et les achemine vers celui qui perçoit les frais de terminaison ou d’accès. Le numéro de destination est souvent parfaitement légitime. La fraude réside dans le volume, et l’argent circule à travers le système de compensation inter-opérateurs plutôt que depuis le compte d’une victime identifiable.
Cette différence change la façon dont on s’en défend. Un appel de type IRSF (International Revenue Share Fraud) peut être bloqué dès qu’il correspond à une plage de destinations connue comme frauduleuse. Une campagne de traffic pumping ne le peut pas, car bloquer la plage de destinations couperait les appelants légitimes qui composent le même indicatif de zone tarifaire. La fraude au volume est un problème de vélocité, et elle doit être mesurée plutôt qu’arrêtée net.
Dans cet article, nous vous expliquons ce que sont réellement la stimulation d’accès et le traffic pumping, comment la variante sur numéros gratuits (8YY) inverse le flux monétaire, comment les chaînes d’arbitrage d’accès extraient l’écart entre opérateurs, et où un contrôleur de session en bordure (SBC) intervient avec ses plafonds de vélocité par destination et sa liste grise basée sur un pourcentage. Pour une vue d’ensemble de la fraude à la taxation et les cinq typologies qu’un SBC doit reconnaître, le guide complémentaire sur la détection de fraude à la taxation en temps réel est le point de départ.
Ce que sont réellement la stimulation d’accès et le traffic pumping
La stimulation d’accès est un schéma bâti sur la plomberie de la compensation inter-opérateurs. Lorsqu’un appel passe du réseau d’un opérateur à celui d’un autre, l’opérateur de terminaison perçoit des frais d’accès pour l’acheminer. Ces frais varient considérablement, et historiquement certaines zones tarifaires rurales portaient des tarifs bien plus élevés que les zones urbaines. Un opérateur desservant une localité à tarif élevé peut conclure un accord avec une source de trafic à fort volume (un pont de conférence gratuit, une ligne de chat, un service pour adultes) et partager les revenus d’accès gonflés que le volume artificiel génère. L’opérateur de terminaison « stimule » l’accès à son propre réseau, d’où le nom.
Le traffic pumping est le terme plus direct de l’industrie pour la même pratique. La mécanique est simple : acheminer autant de minutes que possible vers des plages de numéros qui rapportent bien, et redistribuer les recettes le long de la chaîne. La destination n’est pas un piège surtaxé au sens de l’IRSF ; c’est un numéro ordinaire dans une localité dont l’économie d’accès récompense le volume. C’est précisément pour cela qu’il est difficile à combattre. On ne peut pas mettre en liste de blocage une zone tarifaire rurale légitime.
La stimulation d’accès est une préoccupation réglementaire américaine avec une longue histoire, et la Federal Communications Commission (FCC) a modifié à plusieurs reprises les règles de compensation inter-opérateurs pour supprimer l’incitation à l’arbitrage, plus récemment en transférant la responsabilité financière du trafic aux opérateurs qui le stimulent. Le cadre réglementaire importe pour les équipes de conformité, mais pour un opérateur réseau le problème pratique reste le même : quelqu’un pousse un volume anormal à travers vos jonctions, et cela vous coûte de l’argent sur chaque minute terminée. Les règles d’arbitrage d’accès de la FCC traitent le volet financier ; le SBC traite le volet trafic.
Traffic pumping sur numéros gratuits (la variante 8YY)
Les numéros gratuits inversent le flux monétaire habituel. Sur un appel ordinaire, c’est l’appelant qui paie ; sur un appel gratuit (8YY), c’est le correspondant appelé, l’abonné du numéro gratuit, qui paie pour que l’appel soit acheminé. Cette inversion crée sa propre opportunité d’arbitrage. Si un fraudeur peut générer de gros volumes d’appels entrants vers des numéros 8YY spécifiques, l’abonné du numéro gratuit règle la facture de terminaison tandis que les opérateurs d’origine et intermédiaires perçoivent les frais à la minute tout au long du chemin.
Le trafic gonflé semble souvent superficiellement plausible : des appels courts, des tentatives répétées, parfois des appels générés par machine qui raccrochent rapidement ou restent dans un IVR juste assez longtemps pour facturer. L’abonné 8YY constate un pic de minutes entrantes sans activité commerciale correspondante, et un pic sur sa facture de numéro gratuit. Parce que les frais d’accès sur le chemin 8YY étaient historiquement facturés par requête et par minute, même les appels qui n’atteignent jamais un agent humain génèrent des revenus pour les opérateurs intermédiaires.
La réforme des frais d’accès 8YY de la FCC a traité ce problème en plafonnant et restructurant les frais par requête et par minute qui rendaient le pumping sur numéros gratuits rentable. Sur le réseau, le signal en cours est une concentration d’appels entrants vers un ensemble restreint de plages 8YY qui ne correspond pas au schéma normal de l’abonné, et il est détecté de la même manière que toute autre anomalie de volume : en surveillant le débit et la concentration des appels plutôt que le contenu d’un appel individuel.
Fraude par arbitrage d’accès et chaîne de partage de revenus
L’arbitrage d’accès est la forme générale dont le traffic pumping est une instance. Le principe repose sur un écart : un opérateur paie un tarif bas pour transmettre un appel, un autre perçoit un tarif plus élevé pour le terminer, et quelqu’un entre les deux profite de la différence. Lorsque cet écart est exploité avec du trafic généré artificiellement plutôt qu’avec une demande client authentique, cela devient de la fraude, et le volume artificiel en est le révélateur.
Une campagne d’arbitrage typique fait transiter des minutes à travers une chaîne d’intermédiaires, chacun prenant une marge. Les appels tendent à être courts et répétitifs, souvent vers les mêmes schémas de numéros B, et fréquemment répartis sur de nombreux numéros appelants (numéros A) en rotation pour éviter de déclencher les limites par source. Cette rotation est délibérée : elle répartit le volume suffisamment finement à la source pour qu’un seuil par appelant ne se déclenche jamais, tandis que la concentration de destination reste suffisamment élevée pour que le schéma reste rentable.
L’arbitrage d’accès recoupe l’IRSF (International Revenue Share Fraud) mais n’est pas la même chose. L’IRSF dirige le trafic vers des plages de numéros internationaux surtaxés détenus par un complice, et la destination elle-même est le vecteur de fraude, donc la bloquer est sûr. L’arbitrage d’accès est généralement domestique, la plage de destinations est souvent légitime à volumes normaux, et la fraude réside entièrement dans le débit d’appels plutôt que dans un appel individuel. La réponse doit en tenir compte : mesurer, pas bloquer. Le guide de détection de fraude à la taxation explique où chaque typologie se situe sur ce spectre.
Les signaux en vol que laisse une campagne de fraude au volume
La fraude au volume est invisible un appel à la fois et évidente en agrégat. Aucun INVITE individuel vers une zone tarifaire rurale ou un numéro 8YY ne semble suspect. Le schéma n’apparaît que lorsqu’on surveille le débit et la concentration sur une fenêtre glissante, ce qui est précisément ce qu’un SBC positionné dans le chemin de signalisation est en mesure de faire.
La concentration de destination est le signal le plus clair. Une part anormalement élevée et soutenue du trafic vers un ensemble restreint de préfixes de numéros B, sans raison commerciale justifiant cette concentration, est l’empreinte définissant une campagne de pumping. Là où l’évaluation par appel demande « cette destination est-elle mauvaise ? », la détection de fraude au volume demande « ce volume de trafic vers cette destination est-il normal ? »
La vélocité couvre les signaux de débit sur fenêtre courte. Une montée soudaine des appels par seconde vers une plage de destinations, un bond des appels simultanés, ou un débit qui reste élevé bien plus longtemps que toute campagne légitime, tout cela pointe vers de la stimulation. Ces compteurs résident à l’intérieur du SBC et sont disponibles pour la chaîne de routage à chaque appel.
Les signatures ASR et ACD apportent une confirmation. Le pumping sur numéros gratuits montre souvent de nombreux appels courts répondus ; l’arbitrage d’accès montre souvent des appels répétitifs de courte durée à travers des numéros A en rotation. Lire le taux de réponse (ASR) et la durée moyenne d’appel (ACD) conjointement par rapport à la référence de la jonction permet de distinguer une montée de trafic réelle d’une montée fabriquée.
La rotation de source est la contre-mesure que le fraudeur utilise contre vous, et la repérer est en soi un signal. Lorsque la même concentration de numéros B est alimentée par un ensemble constamment changeant de numéros A, ce décalage (forte concentration de destination mais source diffuse) est un schéma que le trafic légitime ne produit quasiment jamais.
Comment un SBC se défend contre la fraude au volume
La règle directrice pour la fraude au volume est de limiter le débit avant de bloquer. Parce que la plage de destinations peut être légitime à faible volume, un blocage dur risque de couper les vrais appelants et de générer des réclamations, tandis que le fraudeur se déplace simplement vers la plage suivante. La limitation de débit prive la campagne du volume dont elle a besoin pour être rentable sans mettre la destination hors ligne.
Un SBC applique cette posture à travers un ensemble de contrôles composables. Les plafonds de vélocité par plage de destinations limitent le volume de trafic pouvant s’écouler vers un préfixe dans une fenêtre donnée. Les plafonds d’appels simultanés bornent le nombre de sessions simultanées qu’une source ou une jonction peut maintenir. Les alertes d’anomalie se déclenchent lorsque la concentration d’un préfixe B dépasse la référence, alimentant une file de révision humaine plutôt qu’une action automatique. Et la liste grise basée sur un pourcentage de ProSBC bloque une fraction configurable des appels, de sorte qu’une liste grise à 90 % effondre l’économie d’une campagne tout en laissant passer le trafic légitime restant. Le guide de sécurité SBC couvre la liste de blocage dynamique et la liste grise dans le cadre de la couche de contrôle d’accès plus large.
Sur ProSBC, ces vérifications s’exécutent en tant que before_filter dans la chaîne de routage Ruby, avant que le SBC ne choisisse une route sortante, de sorte qu’un appel limité n’avance jamais et n’est jamais facturé. La même chaîne peut consulter les compteurs de vélocité, appliquer la liste grise et interroger un service de scoring externe en un seul passage, avec le Reason Cause Mapping traduisant chaque verdict en action de routage. Le câblage de ces requêtes et compteurs dans le script de routage suit le même modèle d’intégration décrit dans le guide d’intégration SBC REST API pour le routage d’appels, et il s’agit de la même machinerie de limitation de débit qui défend contre les attaques par déni de service au niveau SIP.
L’outillage d’identité aide à la marge mais ne résout pas la fraude au volume à lui seul. Un échec de vérification STIR/SHAKEN affine le score d’un appel suspect, et une politique Do-Not-Originate arrête le trafic qui prétend provenir de numéros qui n’originent jamais d’appels. Mais une campagne de pumping peut fonctionner entièrement sur des appels légitimement attestés vers des destinations légitimes. Le volume est la fraude, donc la vélocité est le contrôle, et le SBC est le seul élément du chemin qui le mesure à l’établissement de l’appel plutôt que de le découvrir quatre semaines plus tard sur la facture opérateur.
Mesurez la fraude au volume dès l’établissement de l’appel
ProSBC intègre les plafonds de vélocité par destination, les limites d’appels simultanés, la liste grise basée sur un pourcentage et le module Do-Not-Originate nécessaires pour mesurer la stimulation d’accès et le traffic pumping dans la fenêtre d’établissement d’appel, avant qu’une seule minute ne soit terminée. La même chaîne Ruby before_filter compose ces contrôles de vélocité avec les intégrations partenaires validées (TransNexus ClearIP, SecureLogix, YouMail, JeraSoft et Neustar) pour qu’un seul passage de routage traite à la fois la fraude au volume, l’identité et le scoring par appel.
Si vous souhaitez voir comment la liste grise et les plafonds de vélocité se comportent sur votre propre mix de trafic, le chemin le plus rapide est de les configurer sur une jonction réelle lors d’une évaluation de 30 jours. La page de la solution de détection de fraude ProSBC couvre les intégrations partenaires et les modèles de déploiement plus en détail.
Vous préférez évaluer par vous-même d’abord ? Commencez votre essai gratuit de 30 jours.