Proxy mobile
Un proxy mobile achemine le trafic Internet via un appareil connecté au réseau d'un opérateur mobile, de sorte que les requêtes proviennent d'une adresse IP appartenant à cet opérateur plutôt que de l'appareil d'origine. Il existe des utilisations légitimes — vérification des publicités, test du comportement d’un service sur les réseaux mobiles, accès à des contenus spécifiques à une région — et c’est également le moyen le plus efficace de faire passer le trafic automatisé pour celui d’un utilisateur lambda sur son téléphone.
En matière de détection des fraudes, cela revêt une importance particulière : un proxy mobile ne se cache pas derrière une adresse suspecte, mais en emprunte une qui inspire confiance.
| Ce qu'il propose | Une adresse IP appartenant à un opérateur de réseau mobile |
| Comment les adresses sont-elles obtenues ? | Véritables terminaux, applications intégrées au SDK, parcs de cartes SIM, attributions des opérateurs |
| Pourquoi cela va à l'encontre de la réputation IP | Les adresses IP des opérateurs sont partagées par de nombreux abonnés réels via le CGNAT |
| Rotation | Les adresses changent fréquemment, souvent à la demande |
| Utilisations frauduleuses | Attaque par « credential stuffing », création de comptes à grande échelle, extraction de données, fraude publicitaire |
| Vers quoi doit évoluer la détection ? | Le comportement et l'identité, et non l'origine du réseau |
Pourquoi les proxys mobiles contournent les contrôles basés sur l'adresse IP
Le blocage basé sur la réputation IP fonctionne lorsque le trafic indésirable provient d'adresses identifiables comme malveillantes : plages d'adresses de centres de données, hébergeurs connus, adresses ayant déjà fait l'objet d'abus. Les adresses des opérateurs de téléphonie mobile ne correspondent à aucun de ces cas, pour une raison structurelle.
Les réseaux mobiles utilisent la technologie NAT de niveau opérateur, ce qui signifie qu’une seule adresse IP publique est partagée simultanément par un grand nombre d’abonnés réels. Bloquer cette adresse pour empêcher un pirate d’agir revient à bloquer tous les autres utilisateurs qui se trouvent derrière elle — des clients lambda sur leur téléphone —, sans qu’il soit possible de les distinguer les uns des autres et sans qu’ils aient le moindre indice d’un problème de leur côté.
Ainsi, les plages d'adresses des opérateurs bénéficient d'une confiance implicite qui n'est pas méritée par la session individuelle, et tout défenseur sait que les bloquer serait disproportionné. Un attaquant opérant à partir de l'une d'entre elles hérite de cette protection. Le système de notation de réputation, la limitation du débit par adresse et les règles géographiques perdent d'un seul coup la majeure partie de leur efficacité.
La rotation permet de mener la tâche à bien. Les adresses changent constamment et de manière tout à fait légitime — les téléphones passent d’une antenne à l’autre et d’une session à l’autre — ; ainsi, un taux de rotation qui semblerait anormal dans tout autre contexte est tout à fait normal ici.
D'où proviennent ces adresses ?
C'est un aspect qu'il convient de connaître, car il touche aussi bien à l'éthique qu'à la détection.
Certains fournisseurs exploitent des parcs d'appareils physiques et des banques de cartes SIM. Beaucoup se procurent des adresses auprès de téléphones grand public, par le biais de SDK intégrés à des applications gratuites : l'application propose un service gratuit et, en échange, la connexion de l'utilisateur est acheminée via un réseau proxy, ce qui n'est généralement mentionné que dans des conditions générales que personne ne lit. Le trafic provient alors bel et bien du téléphone d'une personne réelle, disposant d'un véritable abonnement, situé à un emplacement réel.
C'est pourquoi, au niveau de la couche réseau, ce trafic est impossible à distinguer du trafic légitime. Il ne s'agit pas d'une imitation d'une connexion mobile résidentielle, mais bien d'une véritable connexion, empruntée sans consentement valable.
Pourquoi est-ce important pour la vérification d'identité ?
Les proxys mobiles illustrent parfaitement une tendance plus générale : les signaux provenant du réseau perdent leur pouvoir discriminant, et la direction prise est à sens unique.
La réputation IP, la géolocalisation et les attributs réseau au niveau des appareils ont constitué pendant des années des moyens de contrôle essentiels. Entre les proxys mobiles, les réseaux de proxys résidentiels, la normalisation des VPN et les fonctionnalités de confidentialité qui masquent délibérément les adresses, chacun de ces moyens a perdu de son efficacité, et aucune des forces à l’origine de cette évolution ne va s’inverser — il s’agit pour la plupart d’améliorations en matière de confidentialité qui profitent aux utilisateurs lambda.
Les contrôles qui ne sont pas compromis de cette manière sont ceux qui s’intéressent à la personne plutôt qu’à la connexion. Un document vérifié et un visage en direct correspondant ne sont pas affectés par la manière dont le trafic a été acheminé, car ils ne tiennent absolument pas compte de l’acheminement. Un pirate disposant d’un proxy mobile parfait doit tout de même présenter un document d’identité authentique et un visage en direct qui y corresponde, et le proxy n’apporte aucune contribution à l’un ou à l’autre.
Cela a une conséquence pratique sur la manière dont la détection des proxys devrait être utilisée. La détection d'un proxy mobile est une raison de demander des éléments de preuve supplémentaires, ce n’est pas une raison pour refuser l’accès : les utilisateurs soucieux de la confidentialité, les réseaux d’entreprise et les voyageurs déclenchent tous légitimement ces signaux. Considérer l’utilisation d’un proxy comme un acte répréhensible génère des faux positifs précisément parmi la population la plus susceptible de s’en plaindre. La considérer comme un déclencheur d’une vérification renforcée est une mesure proportionnée et efficace.
Comparaison entre les proxys mobiles et les autres types de proxys
| Proxy mobile | Proxy résidentiel | Proxy de centre de données | |
|---|---|---|---|
| Les droits de propriété intellectuelle appartiennent à | Un opérateur de téléphonie mobile | Un abonné à un service d'accès Internet à domicile | Un fournisseur d'hébergement |
| Détectabilité | Le plus bas | Faible | Élevé |
| Partagé par de vrais utilisateurs | Oui — beaucoup, via CGNAT | En général, un foyer | Non |
| Coût pour l'attaquant | Le plus élevé | Élevé | Très faible |
| On peut sans risque le bloquer purement et simplement | Non | Rarement | Souvent |
La colonne « coût » est celle sur laquelle les défenseurs peuvent agir. Les proxys mobiles sont coûteux au gigaoctet, ce qui rend peu rentables les attaques à grand volume menées par leur intermédiaire. Contraindre un attaquant à passer par des proxys mobiles constitue donc une victoire partielle, même lorsque l’on ne parvient pas à le détecter : cela limite l’ampleur à partir de laquelle l’attaque devient rentable.
Ce que la détection de proxy ne permet pas de faire
Elle ne permet pas de distinguer l'attaquant de l'abonné. Derrière le CGNAT, une seule adresse regroupe simultanément de nombreux utilisateurs réels.
Il ne peut pas considérer la détection comme un verdict. L'utilisation légitime est courante et en pleine expansion, et une politique qui rejette les clients sur la seule base de l'utilisation d'un proxy revient à refuser de véritables clients.
Il n'arrive pas à suivre le rythme sur les listes. La détection des serveurs proxy repose en grande partie sur des plages d'adresses connues, et les adresses provenant de téléphones mobiles grand public ne figurent sur aucune liste : il s'agit d'adresses d'abonnés ordinaires.
Le montant n'est pas crédité sur le compte. Le blocage de la connexion n'a aucun effet sur un compte déjà créé, et création d'un compte c'est là que la perte trouve son origine.
Foire aux questions
Les proxys mobiles sont-ils illégaux ?
Cette technologie n'est pas, et il existe des utilisations légitimes, notamment la vérification des publicités et les tests sur mobile. La question du consentement est plus préoccupante : de nombreux réseaux collectent les adresses des appareils des consommateurs via des SDK intégrés à des applications gratuites, où la participation de l'utilisateur n'est mentionnée que dans des conditions qu'il est peu probable qu'il ait lues.
Pourquoi ne peut-on pas simplement bloquer le trafic provenant des proxys mobiles ?
En effet, les opérateurs de téléphonie mobile utilisent le NAT de niveau opérateur, ce qui signifie qu'une seule adresse IP est partagée simultanément par de nombreux abonnés légitimes. Bloquer cette adresse pour empêcher un pirate d'agir revient à bloquer un grand nombre de clients légitimes, sans qu'il soit possible de les distinguer.
Comment les proxys mobiles sont-ils utilisés dans le cadre de la fraude ?
Pour que les activités automatisées ressemblent à celles d'utilisateurs mobiles lambda : diffuser des attaques par « credential stuffing » à partir d'adresses de confiance, créer des comptes à grande échelle tout en donnant l'impression d'être de nombreuses personnes différentes, contourner les limites de débit, pratiquer le « scraping » et générer des impressions publicitaires qui échappent aux filtres.
Quels sont les inconvénients des proxys mobiles ?
Contrôles qui ne dépendent pas de l'origine du réseau : analyse comportementale, signaux d'intégrité des appareils et vérification d'identité aux points stratégiques. La détection de proxy reste utile en tant que signal de risque déclenchant une vérification plus approfondie, mais ne constitue pas à elle seule un motif de refus.
Lectures complémentaires
- Attaque par « credential stuffing » — les proxys mobiles d'attaque les plus courants
- Identification par empreinte numérique des appareils — la couche de signal qui résiste à la rotation d'adresse
- Bot — l'automatisation que le proxy masque
- Authentification basée sur le risque — comment traiter la détection des proxys de manière proportionnée
