Page 27 - Rapport technique sur les failles du SS7 et les mesures d'atténuation applicables aux transactions des services financiers numériques

d’utiliser ces informations. Pour exploiter ces identi- des systèmes et des procédures peuvent être
fiants, il dispose principalement de deux options: mis en place. Ils s’appuient, entre autres, sur les
éléments suivants:
a) Pendant la session MITM, après avoir cloné la
carte SIM de la victime grâce au système MITM, Une réglementation relative à l’échange de carte
l’attaquant peut en profiter pour lancer une ses- SIM, impliquant notamment les points suivants:
sion USSD MO depuis ce système.
b) Après la session MITM, l’attaquant essaie ensuite a) Les organismes de réglementation doivent impo-
de renseigner ces informations depuis un autre ser aux opérateurs de réseau mobile (MNO) et
téléphone afin d’enregistrer le nouvel appareil aux opérateurs de réseau virtuel mobile (MVNO)
sur le compte de la victime et de transférer des une réglementation normalisée en matière
fonds (selon le mode opératoire décrit plus haut). d’échange de carte SIM, y compris pour les
échanges entraînant la portabilité d’un numéro
Nous allons maintenant nous concentrer sur la vers un autre opérateur.
détection du premier cas de figure, étant donné que b) Toute personne demandant à recevoir une nou-
le second est identique au scénario décrit plus haut. velle carte SIM doit s’identifier auprès de son
Avant d’autoriser la transaction, le fournisseur de MNO, de son MVNO ou d’un agent. Lorsqu’il
DFS doit vérifier les points suivants: s’agit d’une demande par procuration, elle doit
fournir une déclaration sous serment signée par
a) Vérifier que le numéro IMEI de l’appareil à l’ori- l’abonné ainsi qu’une photo d’identité de ce der-
gine de la transaction correspond bien au numé- nier .
13
ro IMEI pour le téléphone de la personne titulaire c) Lorsqu’il s’agit d’une demande de remplacement
du compte (par un système d’attaque par inter- de carte SIM par procuration, le MNO, le MVNO
ception, il est possible de cloner la carte SIM en ou l’agent doit procéder à la capture de l’image
utilisant un numéro IMEI différent). faciale du demandeur et conserver l’image pen-
b) Comparer la localisation du téléphone à l’origine dant 12 mois .
14
de la transaction en cours à sa dernière locali- d) La réglementation doit stipuler que seule peut
sation connue (dernier SMS ou appel entrant ou faire l’objet d’un remplacement une carte SIM
sortant): lorsqu’il est victime d’une attaque MITM, défectueuse, endommagée, volée, perdue, obso-
la localisation du réseau du téléphone change lète (mais éligible au remplacement ou à une
brusquement. mise à niveau) ou devenue inutilisable pour un
motif raisonnable et légitime .
15
12�4 Détecter et limiter les échanges non autorisés Une réglementation interne aux MNO et aux MVNO
de cartes SIM relative à l’échange de carte SIM, impliquant notam-
Lorsque l’attaquant est en possession de la nouvelle ment les points suivants :
16
carte SIM, il procède à la réinitialisation du code PIN
grâce à l’envoi d’un mot de passe à usage unique par a) Lorsqu’un échange de carte SIM est demandé,
SMS. Avant d’autoriser la transaction, le fournisseur envoyer des notifications SMS, SVI ou USSD Push
de DFS doit vérifier les points suivants: au détenteur (actuel) de la carte SIM et du numé-
ro de téléphone, au cas où cette carte serait tou-
a) Vérifier que le numéro IMSI associé au numéro de jours active. Laisser ensuite un délai au détenteur
téléphone est resté le même. S'il a changé, cela pour confirmer la demande avant de procéder à
pourrait indiquer un échange de carte SIM. l’échange de carte SIM.
b) Dans ce cas, vérifier le numéro IMEI du téléphone b) Observer un délai d’attente de deux à quatre
associé à la carte SIM. S'il a changé également, heures entre la demande d’échange de carte SIM
cela indique une probabilité élevée d'échange et l’envoi de la nouvelle carte au demandeur.
de carte SIM. Dans ce cas, le fournisseur de DFS c) Poser des questions de vérification à la personne
doit bloquer le compte en attendant de pouvoir qui est à l’origine de la demande d’échange de
procéder aux vérifications d'usage par l'intermé- carte SIM, notamment la valeur du dernier bon
diaire d'un appel vocal ou d'un agent. de recharge prépayé utilisé et/ou les numéros
c) Pour détecter des comportements suspects indi- de téléphone composés de manière régulière, ou
quant une probabilité d’échange de carte SIM,

Rapport technique sur les failles du SS7 25