spim

Le SPIM est l'envoi massif de messages non sollicités vers des téléphones mobiles, généralement via SMS (Short Message Service) ou messagerie multimédia. L'acronyme fait écho au SPAM, mais cible les réseaux cellulaires plutôt que les systèmes de courrier électronique. Une seule campagne de SPIM peut inonder des milliers de combinés avec des publicités, des tentatives de phishing ou des alertes frauduleuses, submergeant à la fois les réseaux et les boîtes de réception des utilisateurs.

Les mécanismes diffèrent du spam par e-mail d'une manière qui importe aux opérateurs de réseau. Le SPIM exploite souvent les passerelles SMS, qui acceptent les messages de l'internet public et les acheminent vers les opérateurs mobiles. Les attaquants peuvent utiliser des adresses d'expéditeur falsifiées (faisant apparaître les messages comme provenant de banques ou de services légitimes), acheter l'accès à des plateformes de messagerie tierces ou compromettre des passerelles mal sécurisées. Étant donné que les SMS ont des taux de livraison élevés et que les utilisateurs ne peuvent pas facilement filtrer les messages comme ils filtrent les e-mails, le SPIM réussit là où le spam par e-mail échoue.

Les opérateurs de réseau sont confrontés à des défis distincts. L'infrastructure SMS a été conçue pour le trafic de personne à personne ; l'infrastructure de messagerie en vrac manque de la sophistication de filtrage des systèmes de courrier électronique. Les opérateurs mettent en œuvre des limitations de débit sur les passerelles, exigent l'authentification de l'expéditeur et collaborent avec les forces de l'ordre pour identifier les récidivistes. Certains déploient des filtres basés sur des mots-clés qui bloquent les messages contenant des domaines de phishing connus ou des phrases associées à la fraude financière. Le filtrage côté client reste faible ; la plupart des téléphones offrent des capacités de blocage SMS limitées par rapport aux filtres anti-spam des e-mails.

L'incitation économique est simple. La livraison de SMS est bon marché pour les attaquants, mais entraîne des coûts opérationnels pour les opérateurs et une charge cognitive pour les utilisateurs. Une campagne de SPIM de phishing réussie ciblant des clients bancaires ou un texte de collecte d'identifiants se faisant passer pour un fournisseur de télécommunications peut générer des retours financiers immédiats. La nature courte et directe des SMS les rend efficaces pour le vol d'identifiants, là où le phishing par e-mail nécessite de cliquer sur un lien.

Le statut réglementaire du SPIM varie selon les juridictions. Dans certaines régions, le droit des télécommunications considère les SMS non sollicités comme une violation des lois sur le démarchage téléphonique ou l'anti-spam. Les opérateurs peuvent être tenus responsables s'ils ne mettent pas en œuvre un filtrage raisonnable. Le défi consiste à distinguer les SMS en vrac légitimes (rappels de rendez-vous, notifications de livraison, codes d'authentification à deux facteurs) du trafic malveillant, un problème qui n'a pas de solution technique parfaite.