OTP : détecter et bloquer les tentatives de fraude

L'OTP (One-Time Password) est devenu l'un des piliers de l'authentification en ligne. Banques marocaines, fintechs, e-commerçants et plateformes SaaS l'utilisent massivement pour sécuriser connexions, virements et paiements. Mais les fraudeurs progressent aussi : SIM swap, phishing sophistiqué, bots d'énumération. Détecter et bloquer ces tentatives est aujourd'hui un enjeu de sécurité critique.

Panorama des fraudes OTP au Maroc

Trois grandes familles de fraudes concernent l'OTP au Maroc :

SIM Swap

Le fraudeur convainc un opérateur (IAM, Orange, Inwi) de porter le numéro de la victime sur une nouvelle SIM à son nom, souvent via ingénierie sociale ou complicité interne. Une fois le contrôle du numéro obtenu, il reçoit tous les OTP de la victime.

Phishing OTP

La victime est dirigée vers un faux site (banque, opérateur, marketplace) qui lui demande son OTP en temps réel. Le fraudeur, connecté au vrai service en parallèle, utilise l'OTP fourni pour valider une transaction frauduleuse.

Bots et énumération

Des scripts automatisés tentent de générer des OTP sur des milliers de numéros pour tester la robustesse du service, ou pour surcharger l'infrastructure (attaque DoS déguisée).

Techniques de détection côté serveur

Rate limiting adaptatif

Limiter le nombre d'OTP demandés par numéro, par IP et par empreinte navigateur sur des fenêtres glissantes (60 secondes, 1 heure, 24 heures). Un utilisateur légitime rarement plus de 3 OTP en 10 minutes.

Analyse de vélocité

Détecter les patterns anormaux : dizaines de numéros différents depuis la même IP, séquences de numéros consécutifs, plages horaires suspectes (2h du matin en semaine).

Scoring de risque

Attribuer un score à chaque demande d'OTP en combinant plusieurs signaux : géolocalisation IP, réputation IP, historique du compte, cohérence appareil-numéro, âge du numéro dans le service.

Détection de SIM Swap récent

Certains fournisseurs proposent une API qui indique si un numéro a changé de SIM récemment. Un délai inférieur à 24-72h doit déclencher une vérification renforcée avant tout OTP sensible.

Bonnes pratiques de génération

La solidité de l'OTP passe aussi par la manière dont il est généré et transmis :

• Longueur suffisante : 6 chiffres minimum, 8 pour les opérations sensibles.
• Aléa cryptographique : utilisation d'un générateur sécurisé (jamais un simple Math.random côté serveur).
• Durée de validité courte : 3 à 5 minutes maximum.
• Usage unique strict : invalidation après premier essai, même en cas d'échec de saisie.
• Limitation des tentatives : 3 à 5 saisies erronées maximum avant blocage temporaire.

Canaux et sécurité relative

SMS

Vulnérable au SIM Swap et à l'interception par certaines attaques SS7 (rares mais documentées). Reste largement utilisé faute d'alternative universelle.

WhatsApp

Meilleure sécurité intrinsèque : chiffrement de bout en bout, moins susceptible au SIM Swap direct (car dépend aussi de la vérification WhatsApp elle-même). Le bouton Copier le code réduit l'exposition visuelle du code.

Email

Vulnérable si le compte email est compromis. À éviter pour les OTP à fort enjeu.

Authenticator apps (TOTP)

Le plus sûr techniquement, mais adoption limitée grand public au Maroc. À réserver aux comptes admins et utilisateurs avancés.

Défense en profondeur

Un OTP seul ne suffit pas. La sécurité moderne combine plusieurs couches :

1. Authentification appareil : cookie de confiance, empreinte device, notification push.
2. OTP comme deuxième facteur.
3. Analyse comportementale : cohérence de la session, biométrie mobile, patterns de saisie.
4. Confirmation transactionnelle pour les opérations sensibles : rappel téléphonique, second canal (WhatsApp + push).

Cas d'usage bancaire marocain

Une banque marocaine typique combine plusieurs mécanismes :

• OTP SMS ou WhatsApp pour la connexion à l'espace client.
• OTP renforcé (double envoi : WhatsApp + SMS de contrôle) pour un virement supérieur à un seuil.
• Signature électronique via app mobile pour les opérations très sensibles.
• Analyse de risque en temps réel sur chaque tentative, avec blocage automatique en cas de score élevé.

Indicateurs à surveiller

Un tableau de bord anti-fraude OTP doit exposer en continu :

• Taux d'OTP demandés vs OTP validés (indicateur de fraude ou d'UX défaillante).
• Distribution géographique des demandes (Maroc vs étranger).
• Nombre de numéros distincts par IP sur 24h.
• Alertes SIM Swap détectées.
• Tentatives de saisie erronées répétées.

Cadre réglementaire et conformité réglementaire

Les données liées à l'OTP (numéro, horodatage, IP, empreinte device) sont des données personnelles. La conformité réglementaire exige leur déclaration, une durée de conservation justifiée (12 à 36 mois selon le contexte bancaire), et un accès restreint aux équipes sécurité.

Conclusion

La lutte contre la fraude OTP est une course permanente entre attaquants et défenseurs. Pour une entreprise marocaine, la bonne approche combine génération sécurisée, rate limiting intelligent, scoring de risque et défense en profondeur. WhatsApp OTP améliore la posture sécurité par rapport au SMS classique, sans remplacer une stratégie anti-fraude globale.