MAN (Mécanisme d'Authentification des Numéros) qui utilise le protocole STIR-SHAKEN pour bloquer l'usurpation des numéros de téléphone

L'Arcep raconte - MAN : la lutte contre les appels frauduleux franchit une nouvelle étape

Adoptée en 2020, la loi Naegelen visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux a imposé plusieurs nouvelles obligations et outils, dont la mise en œuvre sera pleinement effective cette année. Parmi eux, l’obligation pour les opérateurs de vérifier que les numéros appelants affichés soient authentifiés et d’interrompre automatiquement les appels de ceux qui ne le seraient pas. Pour cela, les opérateurs ont mis au point un dispositif appelé Mécanisme d’Authentification du Numéro (MAN).

 « Le MAN rehausse le niveau du standard technique d’échanges des appels entre opérateurs, à la manière de l’adoption généralisée du “https” sur le web, explique Olivier Delclos, directeur “Internet, données, presse, postes et utilisateurs” de l’Arcep. Il ne va pas empêcher tous les abus et fraudes commis par téléphone, mais c’est une première brique de sécurité pour augmenter la protection des utilisateurs, qui va permettre de limiter les nuisances induites par les usurpations de numéro les plus grossières. »

Depuis 2020, les opérateurs travaillent, accompagnés de l’Arcep, à définir les spécifications techniques du MAN et à le déployer sur leurs réseaux. Un défi qu’une poignée de pays seulement a relevé. La France est même actuellement le seul à avoir l'ambition de couper automatiquement les appels mal ou non authentifiés.

L’activation du MAN avec interruption automatique des appels non authentifiés sera totalement effective le 1er octobre 2024, comme l’a annoncé la FFT dans son calendrier.

« Ce chantier est inédit pour les opérateurs de téléphonie, par son ampleur et son calendrier, complète Olivier Delclos. Les interconnexions téléphoniques (les liaisons qui permettent aux clients d’un opérateur de joindre les clients d’autres opérateurs) ont notamment toutes dû être mises à jour. Pour tous les opérateurs, petits comme gros, la mise en place du MAN constitue un défi technique de taille. »
Source : Arcep

---

Alain Bieuzent, directeur des opérations de Manifone explique en quoi consiste cette authentification sur En-Contact, le journal professionnel du service client.

Si je comprends bien, l'obligation de couper les appels non authentifiés aurait été suspendu, car deux grands opérateurs (dont le nom est donné en fin d'article) sont en retard.

Le groupe de travail constitué de L’APNF et une dizaine d’acteurs représentant les opérateurs télécom (Orange, SFR, Bouygues Telecom, Free, Colt, Verizon, Manifone, IPDirections, Odigo) a défini les spécifications détaillées devant être mises en place par l’ensemble des opérateurs français.

Sous l’acronyme : MAN (Mécanisme d’authentification des numéros), est donc défini l’ensemble des règles techniques devant être mises en application le 24 juillet 2023.

Le MAN après avoir étudié plusieurs solutions techniques, a décidé d’utiliser le protocole STIR-SHAKEN déjà en place aux États unis et au Canada, mais sous une forme légèrement différente.

Techniquement comment fonctionne STIR-SHAKEN ?

Ce protocole permet la transmission d’un certificat numérique identifiant l’opérateur d’origine de chaque appel émis.
Il permet aussi d’ajouter des informations concernant l’appel et notamment, le numéro appelé, le numéro appelant, la date de l’appel et le niveau d’attestation. Le niveau d’attestation est le niveau d’identification de l’émetteur de l’appel. Pour faire simple, si le numéro affiché par le particulier ou la société lui a été affecté par l’opérateur utilisé pour l’émission de l’appel, le niveau d’attestation est maximal (attestation A).
La concaténation du certificat et des données de l’appel constitue la signature de l’appel.
Cette signature doit être émise par l’opérateur de l’émetteur de l’appel puis elle sera vérifiée tout au long de l’acheminement de l’appel.
Lorsqu’un opérateur reçoit un appel pour un de ses abonnés, celui-ci a pour obligation de vérifier la présence de la signature, décoder la signature, vérifier que le certificat est correct et actif et vérifier que les données d’appel correspondent bien à l’appel en cours.
Si toutes ces conditions ne sont pas remplies, l’appel doit être rejeté. Ainsi, un appel ne présentant pas toutes les garanties d’authentification n’est pas censé atteindre son destinataire.

Quels sont les acteurs concernés par cette obligation ?

Seuls les opérateurs télécom opérant sur le marché français disposant de ressources en numérotation (des numéros de téléphone pour lesquels ils sont attributaires) ont l’obligation de respecter le programme MAN.

Est-ce que tous les appels sont concernés ?

L’ensemble des appels émis à destination de la France métropolitaine et des DOM/TOM sont concernés par le dispositif.
Les appels émis à destination des autres pays ne sont pas concernés même s’ils affichent un numéro d’appelant français.

Mon activité de démarchage téléphonique est-elle concernée ? est-ce que mes appels ont plus de risque d’être rejetés ?

Vous n’êtes pas directement concerné par le MAN, mais vous devez vous assurer que votre/vos opérateur(s) téléphonique(s) ont la capacité de signer vos appels correctement sous peine de voir l’ensemble de vos appels rejetés. Le programme MAN ne prévoit pas de distinction de « type » ou « raison » d’appel. Il n’y a donc aucun moyen technique pour un opérateur de distinguer les appels de prospection téléphonique d’autres types d’appels et d’appliquer des règles de rejet différentes. Le programme MAN prévoit des règles très encadrées de rejets d’appels. Un opérateur tenté de mettre en place des règles différentes pourrait être poursuivi.

Le protocole permet de gérer un niveau d’attestation, est-ce que mes appels de démarchage auront un niveau d’attestation plus bas que les autres ?
Non, le niveau d’attestation est défini par des règles techniques précises basées sur le numéro d’appelant que vous allez utiliser pour émettre vos appels et non sur le type d’activité.

À partir de quand les appels non authentifiés seront-ils réellement coupés ?

Le texte de loi prévoyait une coupure des appels dès le 24 juillet 2023. Devant les difficultés techniques de certains opérateurs à mettre en place le dispositif, il semblerait que nous vivions actuellement une période de grâce pour permettre aux retardataires de se mettre en conformité. La coupure des appels non-authentifiés pourrait avoir lieu à tout moment.

Est-ce que Manifone est conforme au programme MAN ?

Manifone signe et vérifie les appels émis et reçus par ses clients depuis le 24 juillet 2023"

Pour en savoir plus et savoir comment identifier l’opérateur télécom le plus efficace, le plus borderline, le plus filou, demandez le Bottin du service et de l’expérience client. Legos et Transatel, par exemple, ont été mis en demeure en 2022 par l'ARCEP, le gendarme des télécoms. Colt ne serait pas exempt de laisser lui aussi passer du trafic télécom peu vérifié, selon les témoignages d'ESN et d'officines chargées, notamment dans le monde bancaire, de démasquer les escrocs.

Passée presque inaperçue, cette nouvelle règlementation constitue un véritable tournant dans la lutte contre les appels frauduleux (les call-center scam) Ces fraudes sont si nombreuses aux USA qu'un blog et une équipe dédiée, dirigée par Karl Rice, dit Karl Rock, se sont érigés en justiciers bénévoles. Avec Anti-Scam Call Center, ils démasquent les call-centers à l'origine de ces fraudes, qui sont souvent indiens et les font fermer. L'émission, diffusée sur les réseaux sociaux qui est.. plus suivie que TPMP en France.

Mais bon nombre d'opérateurs télécom ne sont pas encore en conformité avec la loi, car les démarches techniques, modifications de process à opérer sont complexes. Parmi les 4 grands français, Orange, SFR, Bouygues Télécom, Free, seul Bouygues Télécom et SFR seraient en conformité. L'obligation, qui procède de ce protocole MAN, de couper les appels a donc été temporairement suspendue. Il y aurait presque une prime aux retardataires ?

Source : En-Contact, le 21 novembre 2023.

Arnaque aux faux conseillers bancaires

Vous avez peut-être regardé sur France 2 "Envoyé Spécial" le 29 février 2024 sur l'arnaque aux faux conseillers bancaires :

Un reportage de Julien Duponchel, Cyril Théophilos et Adrien Mellot Vous les avez probablement déjà reçus sur votre téléphone, des SMS qui vous demandent de renouveler votre carte vitale, de payer une amende ou de régler des frais postaux. Ces faux messages officiels sont en réalité le point de départ d’une gigantesque arnaque. Le piège est redoutable, en cliquant sur ces messages vous allez transmettre vos coordonnées et numéros de cartes bleues à des escrocs qui vont vous rappeler en se faisant passer pour votre banque. En 2022, 18 millions de Français se sont fait avoir pour un préjudice total d’au moins 340 millions d’euros. Une équipe d’Envoyé spécial s’est infiltrée dans ce réseau extrêmement bien organisé qui réunit des dizaines de milliers de jeunes partout en France. Ne ratez pas notre enquête, vous êtes peut-être leur prochaine victime !

Le replay est disponible sur https://www.france.tv/france-2/envoye-special/5769546-arnaque-aux-faux-conseillers-bancaires.html

En voici un extrait :
On voit bien qu'on peut facilement usurperer le numéro de téléphone fixe ou mobile de 'n'importe qui.


Ce qui me pose un problème avec ce reportage, c'est que depuis le 25 juillet 2023, les opérateurs ont l’obligation légale d’authentifier le numéro d’appelant (inscrite dans la loi n° 2020-901 du 24 juillet 2020)

LOI n° 2020-901 du 24 juillet 2020 visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux
(cliquez sur la miniature ci-dessous - le document est au format PDF)


L’opérateur au départ de l’appel ou du message doit s’assurer de la légitimité de son client à afficher un numéro d’appelant et authentifier techniquement cette information. Cette information d’authentification doit être vérifiée par les opérateurs qui acheminent ces appels et messages jusqu’au destinataire. Dans le cas où cette information n’est pas présente ou incorrecte, ils sont tenus de couper la communication.

Au niveau du terminal de l’utilisateur, il n’existe ainsi aucune obligation légale d’afficher le nom de l’entreprise. Cependant, rien ne s’oppose à ce que les acteurs du secteur étudient la possibilité technique d’associer, de manière fiable, à ce numéro authentifié, un nom ou la raison de l’appel et de le faire transiter dans les réseaux des opérateurs, indépendamment de toute application.

Source : Arcep

le jour où la téléphonie (fixe&mobile) rendra obligatoire le titulaire de la ligne dans le champ clip-id pour éviter de se trimballer un répertoire..

C'est à dire ? Tu voudrais connaitre le numéro de tel de quelqu'un juste en connaissant son nom ?

Je ne suis pas sur d'avoir bien compris si tu peux développer pour les ignares ;-)

Le protocole STIR-SHAKEN a pour but de bloquer les appels dont le numéro de téléphone affiché ne correspond pas au titulaire de la ligne.

C'est une obligation en France depuis le 25 juillet 2023, mais il y a visiblement un peu de retard (à cause d'Orange et Free si j'ai bien compris l'article de "En-Contact").

Bien sûr, il y a le risque de voir des opérateurs filou, qui authentifient des données incorrectes, mais je pense que jouer à ce jeu sera très dangereux, vu que l'on devrait pouvoir remonter à l'opérateur qui a émis l'appel, à défaut de pouvoir identifier le client.

LOI n° 2020-901 du 24 juillet 2020 visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux
(cliquez sur la miniature ci-dessous - le document est au format PDF)

"Envoyé Spécial" le 29 février 2024 sur l'arnaque aux faux conseillers bancaires a interrogé les opérateurs :

Contactés, les opérateurs [Orange, Bouygues, SFR, Free] nous confient ne pas avoir trouvé de solution de technique viable pour couper les appels qui usurpent des numéros de téléphones.



De mon coté, j'ai compris que rien ne serait tenté avant la fin de JO 2024, le risque de couper des appels qui devraient passer étant élevé au début.

Bref, rendez-vous fin 2024 pour voir comment avance ce dossier brulant.

Certains acteurs ont des doutes sur le fait qu'il soit possible d'authentifier tous les appels et de bloquer les appels non authentifiés.

Ce sera une première mondiale si le blocage est mis en place (c'est déjà en place aux États unis et au Canada, mais sans blocage).

Je pense que la pression sur les opérateurs va venir des banques, si elles doivent rembourser les clients (aujourd'hui les clients sont rarement remboursés, les banques évoquant la faute de leur client).