L'année 2026 s'est ouverte sur un constat alarmant partagé par la CNIL et Surfshark : les fuites de données et les tentatives d'hameçonnage (phishing) connaissent une hausse significative. Dans ce paysage de menaces de plus en plus industrialisées et automatisées par l'intelligence artificielle, le numéro de téléphone mobile est devenu une cible de choix, mais aussi le pivot central de la sécurité en ligne.  

Pour les entreprises, le défi consiste à barrer la route aux fraudeurs tout en évitant d'alourdir le parcours d'achat. Un équilibre complexe que résume parfaitement Alexandre Zermati, Responsable Produit API Identité et Anti-fraude chez Orange LiveNet : « Chaque couche de sécurité ajoutée au parcours peut créer de la friction. Les APIs opérateurs permettent d’apporter des signaux de confiance sans imposer davantage d’actions à l’utilisateur. »
  
C’est précisément sur cette ligne de crête que se positionnent les opérateurs, sous l'impulsion de la standardisation internationale « Camara ». Cette alliance transforme les fonctions du réseau mobile en briques de sécurité prêtes à l'emploi pour le monde de l'entreprise.  

L'arsenal technique : KYC et authentification silencieuse

Trois outils majeurs redéfinissent actuellement l'arsenal antifraude :

• KYC Match (anciennement Match ID) : Cette API compare les données saisies par un utilisateur avec celles détenues par son opérateur. Une arme redoutable contre l'usurpation d'identité qui a permis à un grand acteur bancaire de réduire sa fraude de près de 50 %.
• Number Verification : C'est la mort annoncée du traditionnel SMS à code unique (OTP) au profit d'une authentification « silencieuse », beaucoup plus rapide et moins vulnérable à l'ingénierie sociale. « Le SMS OTP a longtemps été la norme, mais il n’est plus toujours adapté aux exigences actuelles de fluidité et de sécurité », analyse Alexandre Zermati.  
• SIM Swap : Cette API signale si la carte SIM liée à un numéro vient d'être changée récemment, un indicateur précieux à intégrer dans les scores de risques.

La voix du terrain : des retours d'expérience concluants

Les premiers retours d'expérience démontrent l'efficacité de ces technologies. Le spécialiste du paiement fractionné Pledg (BNPL) a par exemple adopté l'API Number Verification, basculant un quart de ses paiements mobiles en seulement quelques mois. Robin Devals, Responsable des Opérations chez Pledg, témoigne de la posture des fintechs : « Pledg fournit aux commerçants des solutions digitales de financement simples et fluides, permettant d’optimiser la conversion tout en offrant une expérience d’achat innovante. » L'enjeu reste néanmoins de piloter finement le modèle économique face au coût de ces requêtes réseau.  

De son côté, l'éditeur DQE fait office de pionnier en connectant plusieurs opérateurs sous un point d'entrée unique. Pour Jean-Pierre Lim, Directeur Produits chez DQE, la data et la sécurité sont indissociables : « La qualité de la donnée client est aussi un enjeu de sécurité. En combinant données fiables, signaux opérateurs et logique de portefeuille API, il devient possible de mieux lutter contre la fraude tout en améliorant le parcours. » Le constat de DQE est sans appel : cette approche combinée engendre une baisse immédiate du taux d'abandon.  

Vers un déploiement pragmatique et international

Pour les experts du secteur, la bonne pratique réside dans une approche adaptative. Les signaux des opérateurs doivent nourrir un moteur de scoring global. Les contrôles de sécurité les plus lourds ne sont alors déclenchés que si les indicateurs réseau révèlent un risque avéré. 

Les prochaines étapes pour les directions de la sécurité et de l'innovation s'articulent désormais autour d'une feuille de route claire : tester le remplacement du SMS OTP, intégrer le KYC Match sur les segments d'onboarding critiques, et planifier une expansion à l'international, notamment sur les zones géographiques couvertes par des partenaires financiers clés comme le Crédit Agricole.

 

• d’accéder au code source,
• de cloner ou manipuler des applications,
• d’intercepter les interactions utilisateurs,
• et de déclencher des appels API malveillants paraissant légitimes.

 

« Les API ne se contentent pas de faire fonctionner les apps, elles les exposent. Les solutions classiques de sécurité périmétrique sont inefficaces face à ces attaques internes. »

 

Voici les constats majeurs de l’étude menée :

• 33 % des applications Android et plus de 50 % des apps iOS exposent des données sensibles via leurs API.
• Les attaques "man-in-the-middle" restent efficaces, malgré le SSL pinning :

1. 1 application Android sur 3 dans la finance reste vulnérable.
2. 1 application iOS sur 5 dans le secteur du tourisme est également exposée.

• 3 appareils sur 1 000 sont déjà compromis,

1. Et 1 smartphone Android sur 5 est confronté à des malwares.

• Les outils de falsification côté client sont accessibles et permettent d’intercepter, modifier et rejouer les appels API.

Face à cette menace grandissante, Zimperium appelle les entreprises à revoir leur approche de la sécurité mobile. Deux priorités sont mises en avant :

1. Renforcer les API au cœur même des applications

Cela passe par :

• l’obfuscation du code pour le rendre illisible,
• l’encapsulation sécurisée des tokens,
• des mécanismes de défense en temps réel pour détecter toute tentative d’attaque ou de manipulation.

   

• Chaque appel API doit provenir :

• d’une application originale et intacte,

• exécutée sur un appareil de confiance (et non un clone, un émulateur ou un téléphone compromis).

 

« Protéger les API mobiles est essentiel pour prévenir les fraudes, éviter les fuites de données et garantir la continuité des services numériques. » conclut Krishna Vishnubhotla.

👩🏻‍🦰 - Et pour conclure, c’est l’heure de notre chronique Mobile Business, animée par Jérôme Bouteiller, fondateur de EcranMobile.fr, qui se penche cette semaine sur les API des opérateurs. Mais au fait, c’est quoi des API ?
 
Bonjour Delphine ! En informatique, une interface de programmation d’application, ou « application programming interface » - API en anglais - est une sorte de façade par laquelle un logiciel offre des services à d'autres logiciels. (Définition Wikipedia)
 
Comme des briques de lego, ces API standardisées permettent d’enrichir un site web ou une application, avec des données ou des fonctionnalités supplémentaires. 
 
Et elles peuvent être fournies aussi bien par des géants de l’informatique comme Microsoft, IBM ou Oracle,  des géants de l’internet, comme Google, Amazon ou Facebook, et désormais par des opérateurs télécom, ceux qui nous proposent normalement de la fibre optique ou de la 5G.
 
👩🏻‍🦰 - Qui est à l’origine de cette initiative ?
 
C’est une initiative de la GSMA, l’association qui réunit les opérateurs du monde entier, et qui vise à faire émerger de nouveaux services à valeur ajoutée depuis les réseaux 5G. Cette GSMA s’est associée à la fondation Linux, dans le cadre d’un projet baptisé CAMARA, afin de standardiser une centaine d’API permettant de simplifier, d’optimiser ou fiabiliser la conception d’applications ou de services en ligne.
 
Le projet a été annoncé en février dernier, lors du Mobile World Congress, et il réunit déjà de grands noms de l’informatique et des télécoms tels que Microsoft, AWS, Oracle, Nokia, Telefonica, Vodafone ou Ericsson.  
 
En France, Orange, SFR et Bouygues Telecom commercialisaient déjà depuis 5 ans une première génération d’API sous la marque Mobile ID mais ils viennent d’annoncer le lancement sur le marché français de cette seconde génération d’API « Camara ». Ils sont d’ailleurs rejoints par Free, ce qui devrait offrir à ces API une couverture quasi complète des mobinautes français.
 
👩🏻‍🦰 - Pour quel usage ?
 
Le premier usage, c’est la lutte contre la fraude. Des solutions d’authentification forte à deux facteurs, comme le SMS OTP (One Time Password) ou les notifications, sont aujourd’hui insuffisantes pour face à une nouvelle génération de fraudeurs, qui parviennent à se faire passer pour votre conseiller bancaire, à récupérer vos codes et ainsi vider vos comptes bancaires.
 
Les banques, qui peuvent être jugées responsables de ces failles, sont donc à la recherche d’alternatives et c’est là que les Telco API ont tout leur intérêt. Ces API peuvent vérifier que le mobile qui se connecte à votre compte bancaire est bien celui correspondant à votre numéro. 
 
Elles peuvent également vérifier la cohérence entre les coordonnées saisies et les coordonnées que l’opérateur connait sur vous ou vérifier que votre SIM n’a pas été changé récemment, ce qui serait suspicieux en cas d’opération bancaire majeure.
 
👩🏻‍🦰 - Et au delà de la fraude ?
 
Le premier marché, ce sera effectivement la sécurité informatique. 80 % des entreprises françaises déclarent avoir subi des tentatives de fraude en ligne avec une hausse de plus de 40% depuis quelques années mais les opérateurs anticipent une grande variété d’usages. 
 
Cela peut par exemple être des services de géolocalisation, qui ne s’appuieraient pas sur les satellites, mais sur la triangulation des réseaux cellulaires. Il y a également des API pour évaluer la taille d’une foule ou calculer une densité de population. 
 
Il y a enfin de très nombreuses API visant à simplifier la saisie de données en ligne ou optimiser la qualité de la bande passante, afin de procurer la meilleure expérience utilisateur, l’UX, à des mobinautes. Les usages seront très variés.
 
👩🏻‍🦰 - Ces Telco API, un gros business ?
 
Selon des projections du cabinet ABI Research, ce nouveau segment de marché des Telco APIs pourrait générer 13,4 milliards de dollars de revenus d’ici 2028 dont 5,3 milliards pour des API de sécurité, 5 milliards pour l’analyse de la qualité des réseaux ou encore 3 milliards pour du NaaS, du « network as a service ».
 
Les principaux opérateurs du monde entier prévoient d’ailleurs de lancer un joint venture avec Ericsson, sans doute en février prochain lors du Mobile World Congress, afin de commercialiser ces API auprès des développeurs du monde entier.


A voir en vidéo sur Bsmart : https://www.bsmart.fr/video/26692-smart-tech-06-janvier-2025

Twilio, plateforme d'engagement client, annonce l'intégration de l'API Realtime d'OpenAI, permettant à ses 300 000 clients et 10 millions de développeurs de créer des agents d'IA conversationnelle avec des interactions vocales naturelles et en temps réel. Cette collaboration s'appuie sur le modèle GPT-4o et offre aux entreprises la possibilité de développer des expériences vocales fluides et humaines, tout en réduisant les coûts opérationnels et améliorant la satisfaction client.

Grâce à la synthèse vocale, les agents d'IA peuvent simuler des conversations humaines avec une meilleure gestion des interruptions et un rythme plus naturel. Ces fonctionnalités sont particulièrement pertinentes pour le service client et les ventes, et s’adressent aussi aux organisations à but non lucratif, avec des cas d’utilisation comme la traduction vocale en temps réel.

Twilio propose désormais une solution unique pour déployer ces agents virtuels, sans avoir à recourir à plusieurs fournisseurs. En intégrant l'API Realtime d’OpenAI, les développeurs peuvent enregistrer les appels, analyser les performances et améliorer les flux de travail grâce à l'IA, offrant une personnalisation à grande échelle.

Twilio continue d’évoluer face aux nouveaux défis, notamment ceux liés aux deep fakes et autres menaces émergentes, avec des intégrations à venir pour renforcer la sécurité de ses solutions.