Les opérateurs télécoms et la police courent après des campagnes de SMS massifs. Pendant ce temps, des vendeurs réapparaissent sous de nouveaux domaines, proposant des « fausses stations de base » prêtes à l’emploi.
Des sites web en mandarin (Chinois) vendent ouvertement des « fausses stations de base » (IMSI Catcher) capables, selon leur propre promotion, d’envoyer 150 000 SMS par heure dans un rayon de 3 km.
Ces appareils, utilisés pour contourner les réseaux téléphoniques et leurs filtres, alimentent une traque internationale des expéditeurs de SMS frauduleux.
Le phénomène s’illustre par un jeu de cache-cache numérique. En filigrane, une question de cyber-renseignement s’impose : comment un marché aussi sensible peut-il prospérer, et se régénérer, à vue de nez, sur l’Internet grand public ?
Le commerce des fausses stations de base au grand jour
Le site qui fait la promotion de ce matériel ne cherche pas à se cacher. Il revendique être un « fournisseur reconnu » et se présente comme « le choix numéro un » pour des achats de fausses stations de base 4G, avec une offre en gros et au détail.
La description est détaillée pour les IMSI catcher mis en vente, presque industrielle : dispositifs portables, télécommande, téléchargement à distance du contenu des SMS, configuration des numéros de téléphone affichés, et équipements embarqués pour l’envoi « gratuit » de SMS en masse sur 2G, 3G, 4G et 5G.
Même le service après-vente est vanté, avec la promesse de « d’excellentes performances » et d’un support solide.
Ce niveau de granularité est un indice en soi. Il ne s’agit pas d’un bricolage, mais d’un produit packagé, pensé pour des usages offensifs comme ZATAZ a déjà pu vous le montrer ici et là.
Dans la pratique décrite, l’objectif est de contourner complètement les réseaux téléphoniques, donc de neutraliser les filtres que les opérateurs déploient contre l’arnaque et l’hameçonnage.
Le point technique clé est là : en se faisant passer pour une station de base, l’émetteur force des téléphones à recevoir des messages qui n’ont pas transité par les canaux habituels de l’opérateur, ce qui réduit l’efficacité des barrières classiques.
La dynamique de résilience est tout aussi parlante. L’article initial, rédigé en décembre, visait un site web que ZATAZ ne vous indiquera pas [Je vous propose les captures écrans traduites, NDR].
Entre la première version et la publication, le sujet s’est déplacé, non par choix éditorial, mais parce que l’infrastructure commerciale s’est déplacée à la suite d’une action judiciaire, et c’est un second site qui a pris le relais peu après [quand j’écris – peu après – comptez en quelques heures, NDR].
Le nouveau domaine recycle presque tout, mais ajoute de nombreuses pages indésirables, vraisemblablement pour tromper les systèmes qui recherchent des contenus web malveillants. Le tableau est clair : quand un point de vente est fermé, un autre renaît, avec des adaptations minimales destinées à survivre aux contrôles.
Ce cycle met aussi en lumière une protection des consommateurs à deux vitesses. Les efforts les plus rapides se concentreraient sur les escroqueries susceptibles d’exposer des entreprises disposant de moyens importants, comme les banques, à des poursuites. À l’inverse, la vente en ligne de systèmes d’envoi massif de SMS, pourtant directement utile à des criminels, resterait plus longtemps accessible, faute de pression comparable.
News & alertes actualités cyber
Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes, chaque vendredi midi.
De la Chine au reste du monde, un export discret
Ces émetteurs, souvent fabriqués en Chine, ne sont pas nouveaux. Les autorités chinoises auraient longtemps subi un usage massif de ces dispositifs, pour envoyer des publicités indésirables au nom d’entreprises légitimes et des messages frauduleux pour des criminels.
Une répression drastique, engagée il y a près de dix ans, aurait frappé vente et utilisation. Effet mécanique : fabricants et réseaux, dont la clientèle principale était criminelle, se seraient tournés vers des pays où importation et usage n’étaient pas interdits, autrement dit le reste de l’Asie, parce que les gouvernements ont tendance à ne pas interdire ce qu’ils ne connaissent pas.
Une idée reçue persiste : certains pensent que les envois massifs de SMS seraient un phénomène récent, en confondant l’absence de preuves locales avec l’absence de réalité. Or l’argument avancé est plus dérangeant : si les preuves manquent, c’est peut-être parce que personne ne les cherche. Une cartographie, basée sur des signalements crédibles, montrerait des usages dans au moins 21 pays, avec une majorité de cas liés à la Chine. La France, le Brésil, le Québec, l’Ukraine ont été victimes de ces agissements téléphoniques.
Cette carte sous-estimerait nécessairement l’ampleur du phénomène, car elle n’intègre que ce qui est rapporté et jugé fiable. Dans certains pays, gouvernements et opérateurs auraient même cherché à dissimuler l’existence de ces envois au public, et la prolifération au Japon n’aurait été révélée que par des citoyens qui les ont débusqués.
Pour approcher une limite supérieure, une méthode imparfaite mais éclairante est proposée : le service de veille ZATAZ observe un grossiste qui réapparaît après chaque fermeture de site. Son SEO repose sur des pages dédiées à chaque marché visé, et une exploration du site fait ressortir 68 pays ou régions où les vendeurs disent vouloir commercialiser ces émetteurs : Albanie, Algérie, Autriche, Bahreïn, Bangladesh, Belgique, Bolivie, Brésil, Bulgarie, Burundi, Cambodge, Chili, Cuba, Danemark, Djibouti, Estonie, Ethiopie, Finlande, France, Gabon, Gambie, Allemagne, Ghana, Grèce, Guatemala, Hong Kong, Inde, Indonésie, Iran, Irlande, Jamaïque, Japon, Kazakhstan, Kenya, Koweit, Kirghizistan, Laos, Libéria, Macao, Malaisie, Mali, Monaco, Maroc, Myanmar, Népal, Nouvelle-Zélande, Norvège, Pakistan, Pérou, Philippines, Qatar, Russie, Arabie Saoudite, Singapour, Corée du Sud, Espagne, Suriname, Tanzanie, Thaïlande, Turquie, Turkménistan, Émirats arabes unis, États-Unis, Uruguay, Ouzbékistan, Venezuela, Vietnam, Zambie.
D’autres, Oman, Serbie, Suisse, y figureraient sans apparaître dans la liste du vendeur. À l’inverse, l’Allemagne, l’Inde, l’Arabie saoudite et les États-Unis font partie des marchés ciblés par le site, sans qu’aucun tiers n’y ait encore signalé l’usage de ces émetteurs.
