Page 9 - Rapport technique sur les failles du SS7 et les mesures d'atténuation applicables aux transactions des services financiers numériques

Sommaire de direction

Pour permettre aux utilisateurs d’envoyer et de • Sensibiliser les organismes de réglementation
recevoir de l’argent, les services financiers numé- des télécommunications et des services finan-
riques (DFS) s’appuient largement sur les infrastruc- ciers aux différentes vulnérabilités qui affectent
tures sous-jacentes de télécommunications. Dans la l’écosystème de DFS accessibles depuis les outils
plupart des pays en développement, où les DFS sont de télécommunications;
particulièrement populaires, les utilisateurs finaux • Les organismes de réglementation des télécom-
disposent rarement d’une connexion fiable et acces- munications et des services financiers doivent
sible à Internet, ce qui accroît significativement leur promulguer une réglementation permettant de
dépendance à l’égard des infrastructures de commu- répartir les responsabilités de manière adéquate
nication mobile. Les données de service complé- et de contraindre les opérateurs de télécommu-
mentaire non structurées (USSD) et le service de nications à mettre en place des mesures d’atté-
messages courts (SMS) sont les principaux canaux nuation des risques;
utilisés par les utilisateurs finaux pour communiquer • Les organismes de réglementation des télécom-
avec les fournisseurs de DFS. Les canaux USSD et munications et des services financiers doivent
SMS sont depuis longtemps considérés comme s’assurer que les structures juridiques concer-
compromis et de nombreuses vulnérabilités ont nées tiennent compte des enjeux relatifs à la
été découvertes. Certaines d’entre elles ont plus de sécurité de la signalisation, tant au niveau de la
20 ans et les utilisateurs sont donc exposés à des notification des incidents que de l’adoption de
fraudes et au vol de leur argent. normes minimales en matière de sécurité;
Dans leur volonté de limiter ces risques, les orga- • Pour chaque catégorie de réseau (3G/4G/5G),
nismes de réglementation des télécommunications les organismes de réglementation des télé-
et des services financiers se heurtent principalement communications doivent établir des mesures
à un problème d’alignement des intérêts et de répar- de sécurité de base que les opérateurs devront
tition des responsabilités. Pour limiter ces vulnéra- ensuite mettre en œuvre afin de garantir un envi-
bilités, l’UIT et la Global System Mobile Association ronnement d’interconnexion plus sûr. La commis-
(GSMA) ont rapidement publié des lignes directrices sion d'études 11 de l’UIT-T pourrait proposer des
et des avis à l’intention des opérateurs de télécommu- lignes directrices techniques pour l’élaboration
nications; toutefois, le taux d’exécution des mesures de ces mesures de sécurité de base;
proposées est resté extrêmement faible. D’après les • Établir un dialogue entre, d’une part, les fournis-
résultats des enquêtes menées par ce groupe de tra- seurs de DFS et les organismes de réglementa-
vail et par l’Agence européenne chargée de la sécuri- tion des télécommunications et, d’autre part, le
té des réseaux et de l'information (ENISA), moins de secteur de la sécurité des télécommunications.
30% des réseaux de télécommunications de l’Union Des tables rondes pourront permettre aux uns de
européenne et moins de 0,5% des réseaux des pays découvrir les solutions d’atténuation des risques
en développement ont mis en œuvre ces stratégies existantes et encourager les autres à en élaborer
d’atténuation des risques. La faiblesse de ces chiffres de nouvelles;
s’explique à la fois par une sensibilisation insuffisante • Imposer des amendes ou accorder des subven-
aux vulnérabilités existantes et par le coût prohibi- tions pour inciter les opérateurs de télécommu-
tif des mesures d’atténuation que doivent mettre en nications, les fournisseurs de DFS et le secteur de
œuvre les opérateurs. Aucune incitation financière la sécurité à travailler en commun et à mettre en
ne les encourage à lutter contre ces vulnérabilités, œuvre des solutions au service d’un écosystème
étant donné que leur responsabilité n’est pas enga- plus sûr pour les DFS.
gée lorsqu’une fraude au DFS est constatée.
Pour faire évoluer la situation et réduire de nom-
breuses vulnérabilités, le Groupe de travail propose
les recommandations suivantes:

Rapport technique sur les failles du SS7 7