Résumé

  • L’Australie a déjà un code de traçage des appels et SMS frauduleux, mais l’ACMA dit que certains opérateurs connaissent mal les chaînes au-delà de leurs voisins et ne savent pas s’ils étaient à l’origine, en transit ou à la terminaison d’un message donné.
  • Le futur code peut répartir les obligations ; la responsabilité dépendra de la conservation et de l’échange de preuves propres à chaque incident, sans faire de la simple présence sur un trajet une preuve de faute.

La donnée qui manque au dossier d’incident

Le client voit un appel ou un message. Le régulateur, lui, doit reconstituer une chaîne. Entre les deux, une question peut accélérer une enquête ou la bloquer : quel opérateur a transporté quelle partie de la communication, et que pouvait-il observer à ce moment-là ?

Dans son discours du 13 octobre, l’ACMA décrit un marché où un service apparemment simple pour le client peut mobiliser plusieurs entreprises. Le fournisseur de détail conserve la responsabilité première de sa relation directe avec le client, mais la qualité du service vocal, textuel ou de données sous-jacent peut dépendre d’autres acteurs. L’ACMA dit entendre encore des clients renvoyés d’un opérateur à l’autre au sujet de problèmes de service, et voir des entreprises attribuer une défaillance à un autre membre de la chaîne, parfois difficile à tenir responsable. Le discours ne décharge pas le détaillant ; il distingue la relation commerciale du parcours complet du service. Discours de l’ACMA

Les communications frauduleuses rendent cette distinction plus urgente. L’ACMA relève une compréhension limitée de la circulation du trafic, une connaissance lacunaire des chaînes au-delà des opérateurs directement voisins et, dans certains cas, l’incapacité à établir si l’entreprise était l’opérateur d’origine, de transit ou de terminaison pour une fraude déterminée. Selon le régulateur, cette incertitude retarde l’interruption des communications, complique la localisation des vulnérabilités et freine les mesures contre l’acteur qui a manqué à ses obligations.

C’est d’abord un problème de preuve, avant d’être un débat sur la responsabilité juridique. Sans enregistrement reliant la communication reçue, le relais suivant, l’heure, la fonction remplie et la réaction de l’opérateur, celui-ci ne peut expliquer son rôle. Mais prouver qu’il se trouvait sur le trajet ne prouve pas à lui seul qu’il a causé l’arnaque ou enfreint une règle. L’attribution doit rendre la responsabilité vérifiable, pas décider du verdict à l’avance.

Le traçage existe déjà

L’Australie ne part pas de zéro. Le code enregistré par l’ACMA, C661:2022 Reducing Scam Calls and Scam SMs, organise l’identification, le traçage, le blocage et d’autres moyens de perturber les appels et messages frauduleux. L’ACMA peut agir en cas de manquement. Le code prévoit aussi des échanges d’informations entre opérateurs et des démarches pour remonter vers l’origine. Les procédures et décisions d’exécution montrent qu’il s’agit d’un mécanisme opérationnel, pas seulement d’une déclaration d’intention. Texte de C661:2022

Le registre des identifiants d’expéditeur SMS ajoute des rôles plus précis. Dans ses documents de consultation, l’ACMA décrit l’opérateur d’origine comme celui qui accepte d’envoyer des messages au nom d’un client ou d’un prestataire de messagerie ; l’opérateur de terminaison comme le transporteur chargé de livrer le message aux destinataires sur son réseau ; et l’opérateur de transit comme celui qui achemine le message entre deux autres opérateurs. La procédure de traçage décrite part de la terminaison et remonte de relais en relais jusqu’à l’origine. Ces définitions visent les messages portant un identifiant d’expéditeur : elles ne décrivent pas nécessairement tous les parcours de voix, de données ou de messagerie. Document de consultation de l’ACMA

La question porte donc sur l’écart entre procédure et visibilité. Une règle peut ordonner le traçage alors qu’un opérateur ne dispose pas d’une carte fiable de l’itinéraire auquel il a participé. Un répertoire de contacts, un délai de réponse ou une consigne de blocage ne remplace pas l’enregistrement d’un relais, de son rôle et de son horodatage. Et l’existence d’une chaîne ne suffit pas à établir qui pouvait empêcher une communication donnée.

Il faut distinguer la carte organisationnelle de la trace d’un incident. Un opérateur peut connaître ses partenaires commerciaux sans voir toute la destination aval. Il peut transporter un message sans l’avoir initié, ou le livrer sans avoir choisi son expéditeur. Ces différences déterminent les preuves raisonnablement conservables et les actions possibles. Imposer exactement le même devoir à chaque participant risque soit d’étendre la responsabilité sans nuance, soit de faciliter le renvoi de faute.

Un secteur désigné, un code encore à écrire

La désignation du Scams Prevention Framework inscrit les services vocaux et de messagerie couverts dans un secteur réglementé et désigne l’ACMA comme régulateur sectoriel. La fourniture peut faire intervenir un transporteur et un fournisseur de service public, qui peuvent être une seule entreprise ou deux sociétés distinctes. Le cadre reconnaît donc que la livraison peut traverser des frontières d’entreprise.

Cette désignation ne signifie pas que toutes les obligations de fond s’appliquent déjà. L’article 102 prévoit une période transitoire. Du 1er septembre 2026 à la fin mars 2027, la plupart des dispositions substantielles du volet du framework restent soumises à une exception, tandis que l’élaboration du code sectoriel et certaines questions de règlement des différends suivent un régime distinct. Les règles SPF de 2026, entrées en vigueur le 1er septembre, prévoient une exception étroite pour certaines lignes privées ; elles ne remplacent pas le code télécoms attendu.

Le programme de travail de l’ACMA prévoit la préparation du code télécoms, sous réserve des habilitations et désignations nécessaires. En octobre, l’autorité a indiqué que son expérience de C661 et du registre SMS nourrirait le nouveau code et une approche « Know Your Customer / Know Your Traffic ». C’est une orientation de travail, pas un texte final ni une obligation déjà publiée de conserver un registre de chaque itinéraire. Programme de travail de l’ACMA

Le projet de norme distinct sur les protections des consommateurs télécoms reste ouvert à consultation jusqu’au 10 novembre 2026. Il porte sur les garanties et les recours, et ne constitue pas le code de prévention des arnaques du SPF. L’ACMA dit étudier la responsabilité au long de la chaîne lorsqu’elle ajuste ce projet, mais aucune des deux initiatives ne constitue encore une solution achevée. Consultation sur la norme TCP

Ce qu’un parcours vérifiable devrait montrer

Le critère pratique du prochain code est simple à formuler : un enquêteur peut-il reconstituer assez vite le parcours d’un incident, le rôle de chaque opérateur et les informations dont il disposait ? Cela ne requiert pas une carte publique universelle des réseaux, qui pourrait révéler des informations sensibles et devenir rapidement obsolète. Il faut plutôt un enregistrement authentifié et limité dans le temps, lié à chaque relais et accessible selon une procédure définie.

Ce dossier devrait séparer au moins quatre éléments : le rôle réellement joué dans l’incident, le relais adjacent avec son heure et sa destination, les signaux observables par l’opérateur, puis la mesure prise — traçage, blocage, escalade, conservation ou décision motivée de ne pas agir. Ce sont des critères de conception, pas des obligations déjà imposées sous cette forme. Ils n’exigent pas de conserver chaque paquet ni de livrer toute la topologie à tous les acteurs. Un modèle proportionné pourrait limiter l’accès à un enregistrement précis de l’événement, protéger les données des clients et consigner les consultations.

La trace doit fonctionner dans les deux sens. L’opérateur de terminaison doit pouvoir demander une enquête en amont et obtenir une réponse exploitable. L’opérateur d’origine doit pouvoir identifier le compte ou l’intermédiaire par lequel le trafic est arrivé, selon les règles applicables. Un opérateur de transit doit pouvoir décrire ce qu’il a acheminé et observé, sans revendiquer des connaissances qu’il n’avait pas. Chaque étape a besoin d’une référence d’incident, d’un délai et d’une réponse vérifiable.

Cette approche rendrait l’application des règles plus précise. Un opérateur qui n’a fait que transiter un message sans connaître l’identité de l’expéditeur n’a pas le même rôle que celui qui a contractualisé avec l’émetteur ou ignoré une demande de traçage. Inversement, l’absence de lien direct avec le consommateur ne devrait pas protéger l’acteur dont le rôle et l’obligation sont établis. L’objectif est de tester ces différences à partir des preuves.

Les volumes cumulés cités par l’ACMA — plus de 3,3 milliards d’appels et 1,1 milliard de SMS frauduleux bloqués sur les périodes indiquées — témoignent d’une activité importante. Ils ne donnent ni le nombre de tentatives uniques, ni la part évitée par chaque opérateur, ni la qualité des traces pour les communications qui ont abouti. Un total de blocages ne mesure pas le délai de traçage. La limite de visibilité décrite par l’autorité justifie de suivre ces indicateurs ; elle ne prouve pas que tous les contrôles existants ont échoué.

Sources : discours de l’ACMA du 13 octobre 2026 ; présentation de C661 par l’ACMA ; code C661:2022 ; consultation de l’ACMA sur le registre SMS ; désignation SPF 2026 ; règles SPF 2026 ; programme de travail ACMA ; consultation sur la norme TCP.