Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

Chaque jour, des milliards de personnes transportent dans leur poche un appareil qui sert de ligne directe vers leurs comptes bancaires, leurs photos personnelles et leurs conversations les plus privées. Parce que nous comptons énormément sur ces appareils, les criminels ont trouvé un moyen de retourner cette confiance contre nous. Ils envoient des messages texte qui semblent provenir d'une entreprise de confiance, d'un service de livraison ou même d'un ami. Ces messages créent souvent un sentiment de panique ou d'urgence, affirmant au destinataire que son compte est verrouillé, qu'un colis l'attend ou qu'un prix a été gagné. Le but est de piéger la personne pour qu'elle clique sur un lien ou saisisse un mot de passe. Ce type spécifique de ruse, connu sous le nom de phishing par SMS ou « smishing », est devenu un problème mondial massif. Aux États-Unis à eux seuls, ces escroqueries par SMS ont coûté aux utilisateurs près de 640 millions de dollars au cours d'une seule année récente, un chiffre qui a bondi de plus de six fois en seulement cinq ans. La situation s'aggrave car les criminels ne se contentent pas d'envoyer les anciens messages ; ils utilisent de nouveaux outils pour rendre leurs mensonges plus convaincants et plus difficiles à détecter.

Une équipe de chercheurs de la Tennessee Technological University et de l'University of Colorado Colorado Springs a décidé de prendre du recul pour comprendre toute l'ampleur de cette menace croissante. Au lieu de simplement construire un nouvel outil pour bloquer un type de mauvais message, ils ont mené une revue complète de tout ce qui est connu sur le smishing. Ils ont rassemblé et analysé des centaines d'études scientifiques, de documents juridiques et d'ensembles de données publiques pour créer une carte complète du problème. Leur travail couvre quatre domaines principaux : la façon dont les gens réagissent à ces messages, la manière dont les attaques sont structurées, les défenses qui existent actuellement et les données dont les chercheurs disposent pour étudier le problème. En rassemblant tous ces éléments, ils espèrent montrer où les efforts actuels font défaut et indiquer la voie vers une meilleure protection pour tous.

Les chercheurs ont d'abord examiné les personnes qui reçoivent ces messages. Ils ont constaté que la vulnérabilité à ces escroqueries n'est pas seulement une question de négligence ou de manque d'éducation. Bien que certaines personnes soient plus susceptibles de tomber dans un piège que d'autres, le risque est influencé par un mélange complexe d'habitudes, d'émotions et de contexte. Par exemple, quelqu'un qui utilise fréquemment les réseaux sociaux ou des applications bancaires peut trouver un message lié à ces services plus crédible, simplement parce qu'il semble familier. L'étude a également souligné que les attaquants sont des experts dans l'utilisation de la psychologie humaine. Ils conçoivent des messages qui déclenchent la peur, l'avidité ou un sentiment d'urgence, poussant les gens à agir rapidement sans réfléchir. Les chercheurs ont noté que si certaines défenses se concentrent sur les détails techniques, l'élément humain reste le maillon faible. Même les personnes qui connaissent les escroqueries peuvent être piégées si le message est bien conçu pour exploiter leurs peurs ou désirs spécifiques.

En ce qui concerne les attaques elles-mêmes, les chercheurs ont constaté que le paysage est devenu incroyablement diversifié. Autrefois, les messages de smishing étaient souvent grossiers, remplis de mauvaise grammaire et de liens évidents. Aujourd'hui, les attaques sont beaucoup plus sophistiquées. Elles peuvent provenir de numéros qui ressemblent exactement à ceux d'organisations légitimes, ou être envoyées en vagues massives à des personnes aléatoires. Les chercheurs ont identifié que ces attaques suivent souvent des thèmes spécifiques, tels que de faux remboursements d'impôts, des notifications de livraison ou des alertes de sécurité de compte. Ils ont également observé que les criminels commencent à utiliser l'intelligence artificielle pour rédiger ces messages, les rendant parfaitement naturels et adaptés à la victime. Cette évolution signifie que les anciennes méthodes de blocage de messages, qui reposaient sur de simples listes de mots interdits ou de liens suspects connus, ne sont plus suffisantes. Les attaquants changent constamment leurs tactiques pour échapper à ces filtres.

Pour riposter, les chercheurs ont examiné l'état actuel de la défense. Ils ont constaté que la plupart des solutions modernes reposent sur l'apprentissage automatique (machine learning), un type de programme informatique qui apprend à reconnaître des modèles à partir de grandes quantités de données. Ces programmes deviennent très doués pour repérer les textes suspects, certains modèles récents atteignant des taux de précision supérieurs à 99 pour cent. Cependant, les chercheurs ont souligné un problème important : beaucoup de ces systèmes puissants sont des « boîtes noires ». Ils peuvent vous dire qu'un message est une escroquerie, mais ils ne peuvent pas facilement expliquer pourquoi. Ce manque de transparence rend difficile la confiance des utilisateurs envers les avertissements ou la compréhension par les régulateurs de la manière dont les décisions sont prises. De plus, bien qu'il existe de nombreuses applications mobiles conçues pour bloquer ces messages, leur efficacité varie considérablement. Certaines sont excellentes pour attraper les escroqueries, tandis que d'autres en ratent beaucoup ou bloquent trop de messages inoffensifs. L'étude a également examiné les lois et les réglementations, constatant que si certains pays ont des règles strictes contre ces pratiques, l'application est souvent difficile et incohérente selon les régions.

Une partie majeure du travail des chercheurs a consisté à analyser les ensembles de données que les scientifiques utilisent pour entraîner ces systèmes de détection. Ils ont découvert que beaucoup de ces ensembles de données sont obsolètes ou limités. Par exemple, certains ensembles de données contiennent des messages d'il y a une décennie qui ne reflètent pas la manière dont les escroqueurs opèrent aujourd'hui. D'autres sont fortement biaisés en faveur de l'anglais, laissant une lacune dans la compréhension de la manière dont ces attaques fonctionnent dans d'autres langues. Les chercheurs ont également découvert que de nombreux ensembles de données contiennent des liens vers des sites web qui n'existent plus, ce qui rend difficile l'étude des destinations réelles de ces escroqueries. Pour remédier à cela, ils ont créé une nouvelle collection de données unifiée appelée le « Smishing Data Hub », qui organise et nettoie les informations existantes pour aider les futurs chercheurs à construire de meilleures défenses.

La revue conclut que bien que la technologie progresse, la lutte contre le smishing nécessite une approche plus large. Les chercheurs suggèrent que les efforts futurs doivent aller au-delà de la simple construction de meilleurs filtres. Ils plaident pour une compréhension plus profonde des ruses psychologiques utilisées par les escroqueurs, afin que les utilisateurs puissent apprendre à reconnaître la manipulation émotionnelle derrière les mots. Ils appellent également à des ensembles de données plus diversifiés incluant des messages dans de nombreuses langues et formats, pas seulement du texte. Enfin, ils soulignent la nécessité d'une meilleure collaboration entre les entreprises technologiques, les forces de l'ordre et les décideurs politiques pour créer une réponse plus coordonnée. L'étude ne prétend pas avoir résolu le problème, mais elle fournit une feuille de route claire sur la manière dont la communauté scientifique peut progresser pour protéger les utilisateurs dans un monde numérique de plus en plus trompeur.