Résumé

  • L’ACMA a constaté que 44 numéros avaient été portés vers Optus pour Coles Mobile entre le 23 septembre et le 23 octobre 2024 sans qu’une procédure autorisée de vérification d’identité soit menée à son terme.
  • Selon le communiqué du régulateur, des fraudeurs ont exploité une faille d’un système tiers, pris le contrôle d’au moins quatre services mobiles et accédé à des comptes bancaires. Les pertes déclarées atteignent au total 39 000 dollars australiens.
  • Le registre de portage doit enregistrer le transfert, mais il ne peut pas rendre légitime une demande mal vérifiée. Il faut prouver le droit d’usage avant de changer le réseau qui reçoit les appels et les messages.

Un numéro identique, un contrôle réseau différent

Pour un client, le portage semble conserver l’essentiel : les mêmes chiffres restent dans le répertoire des proches. Sur le réseau, l’opération est plus profonde. Le fournisseur receveur prend en charge le service. Les systèmes de routage doivent envoyer les appels et les SMS vers une nouvelle destination. Le fournisseur précédent libère le numéro dans le cadre de la procédure commune.

Le portage modifie donc qui contrôle effectivement les communications associées au numéro. La personne qui reçoit désormais les SMS peut aussi recevoir des codes de récupération ou des alertes utilisés par d’autres services. C’est pourquoi une erreur de contrôle d’identité peut dépasser la facture téléphonique.

Il faut toutefois choisir les mots avec précision. Le numéro n’est pas un bien personnel ordinaire. La norme australienne parle du « titulaire du droit d’usage ». Cette notion protège l’autorité légitime du client tout en reconnaissant que les numéros appartiennent à un plan public et doivent rester uniques, exacts et portables.

Le fournisseur receveur doit vérifier, avant de lancer le portage, que le demandeur est ce titulaire ou son représentant autorisé. Il doit aussi confirmer que la personne a un accès direct et immédiat à un appareil associé au service. Connaître un compte et contrôler l’appareil ne sont pas exactement la même preuve.

Ce que les 44 cas signifient réellement

Dans son rapport final, l’Australian Communications and Media Authority, ou ACMA, identifie Optus comme fournisseur receveur pour les 44 portages Coles Mobile examinés. La période retenue va du 23 septembre au 23 octobre 2024.

Le régulateur a relevé 44 manquements au paragraphe 8(2) de la norme de 2020, qui impose une procédure supplémentaire de contrôle d’identité. Il a aussi relevé 44 manquements au paragraphe 8(5), qui interdit de poursuivre le portage lorsque cette procédure n’a pas été utilisée. Ces manquements entraînaient également des violations de l’article 128(1) de la loi australienne sur les télécommunications.

Le rapport précise qu’un code de vérification unique avait été envoyé par SMS à chacun des 44 numéros. Pourtant, aucune des procédures prévues n’avait été menée à son terme pour ces portages réalisés via le formulaire en ligne. Envoyer un code et prouver l’autorité sont donc deux événements différents.

Le communiqué public ajoute l’impact connu : une vulnérabilité dans un système tiers a permis de contourner une partie de la procédure. Des fraudeurs ont pris le contrôle d’au moins quatre services mobiles, puis accédé à des comptes bancaires. Les pertes signalées totalisaient 39 000 dollars australiens.

Ces trois chiffres ne sont pas interchangeables. Les 44 correspondent aux portages pour lesquels le régulateur a constaté l’absence de vérification conforme. « Au moins quatre » est le nombre minimal de services dont le contrôle frauduleux est explicitement publié. Les 39 000 dollars représentent une perte agrégée déclarée. Rien ne permet d’affirmer que 44 personnes distinctes ont chacune perdu de l’argent.

Pourquoi un code envoyé ne suffit pas

Un code à usage unique peut être un bon outil. Sa valeur dépend néanmoins de la chaîne complète. À quel appareil a-t-il été envoyé ? Le résultat est-il lié au même numéro, à la même demande et à la même session ? Peut-il être rejoué ? Le service tiers peut-il déclarer un succès alors qu’une étape manque ?

Le rapport masque volontairement certains détails de sécurité. Il serait irresponsable d’inventer la méthode d’attaque ou de nommer un fournisseur non identifié. Ce que les documents publics permettent d’établir est plus général et suffisamment important : un événement « code envoyé » a coexisté avec une décision de portage qui ne satisfaisait pas la vérification obligatoire.

Un système fiable doit suivre des états explicites. La demande commence comme non vérifiée. Une méthode autorisée est choisie. La preuve est contrôlée et liée à la transaction. Ce n’est qu’après ce résultat que le portage peut être lancé. Une erreur, une indisponibilité du prestataire ou une réponse ambiguë doivent conduire à l’arrêt, non à une validation par défaut.

Le registre est un grand livre, pas une preuve d’identité

Les systèmes communs de portage sont indispensables. Ils évitent que deux réseaux revendiquent le même numéro et permettent aux appels d’arriver au bon endroit. Leur exactitude protège la continuité du service.

Mais un registre peut consigner parfaitement une instruction qui n’aurait jamais dû être autorisée. Après le transfert, toutes les bases peuvent s’accorder : le nouveau fournisseur sert le numéro, le routage fonctionne et la transaction est clôturée. Si l’identité a été mal vérifiée, cette cohérence technique décrit un état réel mais illégitime pour le titulaire du droit d’usage.

La couche de réalité réunit donc plusieurs preuves : la personne qui demande le changement, l’appareil qu’elle contrôle, la décision de vérification, la transaction partagée et le routage effectivement activé. Le dernier état de la base ne doit pas effacer la manière dont l’autorité a été établie.

Un bon registre conserve un lien vérifiable vers la décision qui a permis le transfert. Il indique qui a changé quoi, quand, selon quelle méthode et sous quelle version de contrôle. Il facilite aussi la suspension et le retour en arrière sans diffuser inutilement les documents d’identité dans tous les systèmes réseau.

Le prestataire tiers n’absorbe pas l’obligation de l’opérateur

Les opérateurs utilisent des services externes pour l’analyse de documents, les signaux de fraude, l’envoi de messages ou l’orchestration des contrôles. Cette spécialisation est normale. Elle devient dangereuse lorsqu’un simple statut « succès » est accepté sans contrat technique précis.

Optus restait l’opérateur receveur au sens du rapport. Un prestataire pouvait produire une preuve ou une décision intermédiaire, mais l’obligation de ne pas lancer un portage non vérifié demeurait attachée à l’opérateur.

Le contrat d’intégration doit donc définir ce que le résultat affirme, les données auxquelles il est lié, sa durée de validité, son usage unique et le comportement en cas d’échec. Chaque nouvelle version doit être testée avec des cas négatifs : champ absent, code expiré, réponse en double, mauvais numéro, indisponibilité et délai excessif.

Une modification du prestataire ne devrait pas atteindre le parcours de production sans contrôle. Des alertes doivent repérer une hausse anormale des succès, la disparition soudaine des échecs attendus ou une concentration de demandes sur un canal. L’équipe doit pouvoir suspendre la méthode concernée sans arrêter tous les portages légitimes.

Douze questions simples pour vérifier le dispositif

Le portage est-il bloqué si aucune preuve conforme n’est liée à la transaction ? Le code envoyé et le code validé sont-ils deux états distincts ? Le résultat expire-t-il rapidement et ne peut-il servir qu’une fois ?

La preuve contient-elle une référence au numéro, au demandeur et à la session concernés ? Les systèmes en aval refusent-ils un statut incomplet ? L’opérateur peut-il expliquer quelle méthode autorisée a été utilisée pour chaque portage ?

Les taux de succès et d’échec sont-ils surveillés par canal et par version ? Les changements du prestataire passent-ils par des tests d’abus ? Existe-t-il un bouton d’arrêt limité au parcours vulnérable ?

Le client reçoit-il une alerte par une voie indépendante lorsque cela est possible ? L’équipe sait-elle geler ou inverser un portage suspect sans créer un second transfert non autorisé ? Les journaux permettent-ils de reconstituer la décision sans exposer plus de données personnelles que nécessaire ?

Ces questions évitent le jargon, mais elles couvrent le cœur du problème. Le réseau ne doit changer le contrôle d’une ressource unique que lorsque la preuve et l’instruction appartiennent à la même demande légitime.

La sanction et ses limites

Optus a payé 826 320 dollars australiens. L’ACMA a présenté cette somme comme la sanction financière maximale qu’elle pouvait imposer dans cette affaire.

Le montant ne mesure pas la totalité du préjudice. Les 39 000 dollars publiés sont des pertes déclarées, pas une évaluation de chaque conséquence. Récupérer un numéro, des comptes bancaires et une identité numérique demande du temps et peut créer une détresse durable.

La sanction ne prouve pas non plus que toutes les corrections techniques sont visibles au public. Le communiqué décrit un problème ponctuel rapidement corrigé, mais le rapport ne détaille pas la solution. Il est possible d’exiger des contrôles solides sans prétendre auditer une remédiation que les sources ne montrent pas.

Sources