Le numéro de votre client a été attribué à un nouveau propriétaire, et son code OTP lui a permis d'y accéder. Voici comment l'empêcher.

Un client perd le signal de son téléphone portable un vendredi soir. Il suppose que le problème vient du réseau et va se coucher.

Au matin, une personne avait réinitialisé son mot de passe, s'était connectée depuis un nouveau téléphone, avait ajouté un bénéficiaire et vidé le compte. Chaque étape nécessitait un code à usage unique. Chaque code a été envoyé au numéro enregistré du client et a été saisi correctement.

Vos journaux ne montrent rien d'anormal. Le numéro était correct. Le code était correct. C'est la personne qui ne l'était pas. Du jour au lendemain, le numéro a été transféré vers un autre numéro. SIM carte dans la main de quelqu'un d'autre.

Voilà la vérité dérangeante concernant la vérification par téléphone. Un code envoyé par SMS prouve que quelqu'un détient le SIM Pour l'instant. Cela n'a jamais permis de savoir qui est cette personne.

Ce que cela vous coûte

• L'argent. Une prise de contrôle vide un compte qui a passé l'étape d'intégration de manière honnête, il y a donc un solde réel et des limites réelles à prélever.

• Le litige. Votre client affirme n'avoir jamais rien approuvé. Vos dossiers indiquent que le code correct provient du numéro correct. Les deux affirmations sont vraies, et c'est à vous de trancher.

• La confiance. Le client n'a rien fait de mal. Ils n'ont pas partagé de PIN ou cliquez sur un lien. Leur dire que le système a fonctionné comme prévu ne sera pas une réponse acceptable.

Comment un numéro change de mains

Il existe deux itinéraires courants, et aucun ne nécessite que le client commette une erreur.

SIM échange. Remplacer un SIM C'est un service normal : les téléphones se perdent, se font voler et s'abîment. GSMA décrit l'abus comme un fraudeur qui manipule le processus de service client de l'opérateur (s’ouvre dans un nouvel onglet) en demandant un SIM remplacement ou un numéro de port, de sorte que SMS arrive sur un appareil dont ils sont propriétaires. Dans ses recommandations de 2019 pour le secteur de l'argent mobile (s’ouvre dans un nouvel onglet) , GSMA Il est à noter qu'un échange réussi permet au fraudeur de recevoir les messages d'authentification, les appels et les mots de passe à usage unique qu'un fournisseur financier envoie à la victime.

Les autorités de régulation ont durci le processus. Au Nigéria, la Commission des communications… SIM La politique de remplacement (s’ouvre dans un nouvel onglet) exige que l'abonné présente un NIN et exige que NIN à vérifier par NIMC Cela rehausse la barre. Cela ne supprime pas le risque, car le contrôle appartient à l'opérateur et à ses agents, et non à vous.

Numéros recyclés. Les numéros ne sont pas attribués à vie. Conformément aux règles de qualité de service de la Commission nigériane des communications (août 2024) (s’ouvre dans un nouvel onglet) , une ligne peut être désactivée après six mois d'inactivité génératrice de revenus, et l'abonné risque de perdre son numéro si cette situation perdure pendant six mois supplémentaires. Les règles d'enregistrement des abonnés de la Commission (juillet 2025) (s’ouvre dans un nouvel onglet) considèrent un compte comme inactif après 365 jours consécutifs sans activité, auquel cas… NIN La ligne est désactivée et le numéro est réattribué. Il peut alors être attribué à un nouvel abonné.

Ainsi, un client ayant voyagé, changé d'opérateur ou simplement cessé de recharger son crédit peut encore avoir son ancien numéro enregistré. La personne qui répond aujourd'hui est une inconnue, et la procédure de réinitialisation de mot de passe lui enverra un code par SMS. Nous avons consulté la réglementation nigériane pour cet article. Les délais et les procédures varient selon les pays ; veuillez donc vous renseigner auprès de votre autorité de régulation.

Ce qu'un code téléphonique prouve, et ce qu'il ne prouve pas

Cela prouve trois choses utiles :

• Ce numéro existe et peut recevoir des messages.

• La personne qui se trouve devant votre application peut lire ces messages en ce moment.

• Les coordonnées que vous vous apprêtez à enregistrer ne sont ni une faute de frappe ni une invention.

Cela ne prouve pas :

• Il s'agit de la personne qui a enregistré le numéro, ou de la personne que vous avez vérifiée lors de votre inscription.

• Que le SIM Il s'agit du même appareil qui a reçu votre dernier code.

• Que le code n'ait pas été lu à haute voix à un appelant ni saisi sur une fausse page.

Il ne s'agit pas d'une opinion marginale. L'organisme de normalisation américain NIST Dans la norme SP 800-63B-4 (s’ouvre dans un nouvel onglet), les codes à usage unique envoyés par le réseau téléphonique sont classés comme authentificateurs à usage restreint (section 3.1.3.3). Avant d’en envoyer un, le vérificateur doit tenir compte d’indices de risque comme un changement d’appareil, de carte SIM ou un portage du numéro. L’authentification hors bande ne résiste pas au phishing. Les règles du NIST s’appliquent aux systèmes fédéraux américains, pas à votre entreprise, mais leur raisonnement reste pertinent.

Cela ne signifie en aucun cas que vous devez cesser d'envoyer des codes. Cela signifie simplement que vous devez cesser de considérer un code correct comme une preuve d'identité.

Avec quoi l'associer ?

• Une vérification faciale pour les actions qui peuvent être mal perçues. Vous détenez déjà la réponse la plus fiable à la question « Est-ce la même personne ? » : le visage que vous avez vérifié lors de votre inscription. Pour une réinitialisation de mot de passe, un nouvel appareil, un nouveau bénéficiaire ou un versement important, demandez un selfie en direct et comparez-le avec ce visage. SIM Un visage peut changer de mains en un après-midi. Un visage, non.

• Signaux liés à l'appareil et au comportement. La saisie d'un code depuis un téléphone inconnu, dans un lieu nouveau, quelques minutes après une réinitialisation de mot de passe, est différente de la saisie du même code sur le téléphone habituel du client. Notre article sur les informations que les signaux liés à l'appareil et à l'adresse IP peuvent et ne peuvent pas fournir détaille ces limites.

• Intervenez plutôt que de bloquer. La plupart des personnes qui utilisent un nouveau téléphone sont simplement des personnes qui viennent d'acheter un nouvel appareil. Ne les bloquez pas. Demandez des preuves supplémentaires uniquement lorsque le risque est réel, comme expliqué dans la section « Intervenir pour empêcher le piratage de compte » .

• Traitez les anciens numéros avec précaution. Si un compte est inactif depuis des mois, le numéro enregistré peut ne plus appartenir à votre client. Ne laissez pas ce numéro débloquer le compte automatiquement.

Quoi Toden ce qu'il fait, et ce qu'il ne fait pas

Nous préférons être précis qu'impressionnants, voici donc chaque pièce avec sa limite.

• Vérification par téléphone. Toden envoie un code unique par SMS et le vérifie, soit dans un flux de travail, soit via un serveur API Les codes sont valables cinq minutes et cinq codes maximum peuvent être envoyés à un même numéro par heure. Chaque vérification indique également le pays du numéro, sa validité et son type de ligne (par exemple,mobile,fixed_lineouvoip) et unvirtualindicateur qui n'est vrai que pour une plage VoIP connue.

• Réutilisation des numéros. Dans un flux de travail,phone.matchedVerificationsCe compteur indique combien d'autres vérifications au sein de votre organisation ont confirmé le même numéro. Il s'agit d'un signal indirect. Les familles partagent souvent un téléphone.

• Réauthentification faciale. Un flux de travail prédéfini prend un selfie de présence et le compare au modèle biométrique enregistré du client, ou à une photo de référence que vous fournissez. Vous créez une session pour un client nommé et recevez le résultat via un webhook.

• Analyse des appareils. Activée par défaut dans les flux de travail. Elle signale les appareils partagés et récupérés, les émulateurs, les téléphones rootés et les tentatives répétées ; vous pouvez ensuite approuver, examiner ou refuser chaque élément.

• Activité du compte. Envoyez un identifiant, une réinitialisation de mot de passe, un nouveau bénéficiaire ou un changement d'appareil à Toden le point de terminaison d'activité de et il répondallow,reviewoublockà partir de l'appareil, de son adresse IP, de sa localisation et de son historique. Consultez la section « Envoi d'événements » pour obtenir une évaluation des risques en temps réel .

Les limites.

• Les signaux téléphoniques de Toden ne donnent pas le nom de l’opérateur et n’indiquent pas si la carte SIM a été échangée ou le numéro réattribué récemment. Ces informations doivent provenir d’un opérateur mobile ou d’un service qui lui est connecté.

• Une décision d'examen ne déclenche pas automatiquement une vérification faciale. Votre application décide de la marche à suivre, et la création de la session de réauthentification vous incombe.

• Ces mesures de contrôle réduisent les risques de prise de contrôle. Elles ne la rendent pas impossible et ne vous dispensent pas de votre obligation d'enquêter et de signaler les faits.

Questions à poser à tout fournisseur

• Quand vous dites « téléphone vérifié », qu’est-ce qui a été prouvé exactement, et pendant combien de temps est-ce vrai ?

• Pouvez-vous me dire si le SIM Ou bien le numéro a-t-il changé de mains récemment ? Sinon, le dites-vous clairement ?

• Puis-je demander une vérification faciale lors d'une réinitialisation de mot de passe ou d'un nouvel appareil, en utilisant le visage enregistré lors de l'inscription ?

• Pouvez-vous m'indiquer le type de ligne, afin que je puisse traiter différemment un nombre virtuel ?

• Puis-je contester une connexion à risque au lieu de bloquer tous les clients qui achètent un nouveau téléphone ?

Cet article constitue un guide général et non un avis juridique adapté à votre situation. Les règles d'authentification, SIM L’enregistrement et la responsabilité en cas de fraude varient selon les pays ; renseignez-vous donc auprès de la personne responsable de la conformité au sein de votre entreprise.

Vous voulez une deuxième preuve pour chaque code ? Ouvrez un Toden espace de travail (s’ouvre dans un nouvel onglet) ou lire comment Toden approches de prévention de la fraude .