ne jamais traiter un identifiant seul (numéro, ANI) comme preuve d'identité ; croiser avec le contexte connu (CRM), vérification hors bande ou challenge à chaque action sensible ; politique de confiance progressive selon le risque.
La menace
l'appelant présente un numéro ou un identifiant d'appel falsifié (Caller ID, ANI) pour se faire passer pour une source connue ou légitime avant toute vérification. L'usurpation est automatisable à grande échelle sur un canal vocal.
Angle mortPourquoi les grilles classiques la ratent
les grilles traitent l'identifiant d'appel comme un attribut de confiance ; sur un canal vocal, le numéro est une donnée produite par l'attaquant, pas une preuve. C'est un spoofing d'entrée, pas une faille d'authentification aval.
MitigationSolution proposée
ne jamais traiter un identifiant seul (numéro, ANI) comme preuve d'identité ; croiser avec le contexte connu (CRM), vérification hors bande ou challenge à chaque action sensible ; politique de confiance progressive selon le risque.
Le contrôle proposé
aucune action sensible validée sur l'identifiant seul.
Preuve attendue
traçage qu'une usurpation du numéro ne suffit plus à déclencher une action critique.