IP mobiles des opérateurs et NAT partagé : pourquoi bloquer une seule adresse peut toucher des milliers d’utilisateurs

En tant qu’ingénieurs sécurité, nous nous appuyons souvent sur l’IP intelligence pour repérer et contenir les comportements malveillants. Bloquer des adresses IP associées à des abus fait partie des réflexes classiques. Mais avec les adresses IP des opérateurs mobiles, une mesure qui semble très ciblée peut, en réalité, affecter des milliers d’utilisateurs légitimes. La raison tient à l’usage massif du Carrier-Grade Network Address Translation (CGNAT).

Comprendre le CGNAT et les réseaux mobiles

Les opérateurs mobiles (MNOs) font face à une contrainte bien connue : la raréfaction des adresses IPv4. Même si l’adoption d’IPv6 progresse, une grande partie d’internet repose encore sur IPv4. Pour préserver leurs pools limités d’adresses IPv4 publiques tout en connectant un nombre toujours plus important d’appareils mobiles, les opérateurs déploient largement le CGNAT.

Comment fonctionne le CGNAT

Le CGNAT prolonge le principe du NAT traditionnel, mais à une tout autre échelle. Au lieu d’un routeur domestique qui traduit plusieurs IP privées vers une seule IP publique, le CGNAT s’appuie sur de grands équipements de traduction d’adresses, souvent appelés 'LBs' ou équipements 'LSN' pour Large Scale NAT, au cœur du réseau de l’opérateur. Ces équipements traduisent de nombreuses adresses IPv4 privées, non routables, attribuées aux terminaux mobiles, vers un pool plus restreint d’adresses IPv4 publiques avant que le trafic ne sorte du réseau de l’opérateur vers internet.

Vu depuis un service externe, des centaines, voire des milliers d’appareils mobiles distincts peuvent donc sembler provenir de la même adresse IPv4 publique sur une période donnée. Autrement dit, une seule IP publique peut être partagée par une multitude d’abonnés, simultanément ou à quelques instants d’intervalle.

Les implications sécurité des IP mobiles partagées

Cet environnement d’IP partagées crée des difficultés particulières pour les équipes sécurité et les plateformes d’IP intelligence :

• Attribution difficile : lorsqu’un abus provient d’une IP derrière CGNAT, un service externe ne peut pas identifier avec certitude l’appareil ou l’utilisateur responsable. Toute l’activité associée à cette IP publique partagée semble venir d’une seule et même source.
• Faux positifs démultipliés : c’est le point central. Si un utilisateur présent sur une IP CGNAT partagée mène une activité malveillante, par exemple participation à un botnet, credential stuffing, scraping, spam ou inscriptions frauduleuses, puis que cette IP publique est bloquée, tous les autres utilisateurs légitimes qui partagent actuellement, ou ont récemment partagé, cette même IP se retrouvent eux aussi bloqués. Le volume de faux positifs peut alors devenir considérable.
• Nature éphémère : les adresses IP mobiles sont souvent très dynamiques. Un utilisateur peut changer d’IP en se déplaçant d’une antenne à une autre, en redémarrant son téléphone, ou simplement avec le temps. Les blocages longue durée sur des IP précises deviennent donc moins efficaces contre les menaces persistantes, tout en augmentant le risque de bloquer des utilisateurs innocents auxquels l’IP a été réattribuée.

Identifier les IP des opérateurs mobiles

Les plateformes d’IP intelligence fournissent plusieurs signaux utiles pour identifier les IP mobiles et détecter des scénarios probables de CGNAT :

• ASN (Autonomous System Number) : les opérateurs mobiles disposent généralement d’ASN dédiés. Identifier l’ASN associé à une IP permet de savoir si elle appartient à un opérateur connu comme AT&T Mobility, Vodafone, China Mobile, etc. C’est un indicateur fort.
• Nom d’hôte rDNS : les recherches DNS inversées sur des IP mobiles révèlent souvent des noms d’hôte génériques indiquant une origine mobile, par exemple dialup-123-45-67-89.mobile.att.net ou pool-123-45-67-89.dynamic.vodafone.co.uk. Ces formats se distinguent en général des enregistrements rDNS de serveurs statiques ou de fournisseurs d’accès résidentiels.
• Hosting Range Type : les données d’IP intelligence catégorisent les plages d’adresses. Les plages mobiles sont souvent explicitement marquées comme mobile ou cellular, ce qui les différencie des plages datacenter, residential, business ou education.
• Nombre élevé d’utilisateurs / comportement dynamique : des plateformes comme guarda.net peuvent observer et restituer le comportement typique d’une IP. Une IP qui présente un nombre inhabituellement élevé de user-agents distincts, des variations rapides de géolocalisation sur une courte période, ou des volumes de requêtes très importants en peu de temps, peut indiquer un environnement CGNAT partagé.

Il faut toutefois garder en tête qu’une classification datacenter peut parfois recouvrir une partie de l’infrastructure d’un opérateur mobile, notamment les composants de cœur de réseau. En revanche, les IP exposées côté utilisateurs sont généralement bien délimitées.

Réduire le risque : stratégies pour les ingénieurs sécurité

Éviter totalement de bloquer des IP mobiles n’est pas réaliste : des menaces légitimes proviennent aussi de ces réseaux. L’objectif consiste plutôt à réduire les faux positifs tout en conservant une lutte efficace contre les abus.

1. Évaluer le risque avec plus de granularité

Plutôt qu’un blocage automatique fondé uniquement sur le score de risque d’une IP, il est préférable de croiser plusieurs signaux. Par exemple, une IP avec un high risk score, identifiée comme une mobile carrier IP, associée à un hosting range: mobile et à un rDNS hostname suggérant une allocation dynamique, ne devrait pas être traitée comme une IP statique de datacenter ayant le même score.

Des plateformes comme guarda.net fournissent un risk score global qui agrège différents facteurs, comme une sortie TOR, un proxy, un VPN ou des signalements d’abus récents. Ce score est précieux, mais il gagne à être enrichi par le contexte d’origine de l’IP.

2. Rate limiting et analyse comportementale

Plutôt qu’un blocage immédiat, appliquez un rate limiting plus strict aux activités suspectes provenant d’IP mobiles. Combinez-le avec une analyse comportementale :

• Suivi au niveau de la session : analysez le comportement utilisateur dans la session, et pas seulement l’IP. Si une session issue d’une IP mobile présente des schémas malveillants, par exemple de nombreuses tentatives de connexion échouées, une navigation atypique ou des timings proches de ceux d’un bot, bloquez cette session ou imposez des contrôles plus stricts.
• Réputation au niveau du compte : si l’IP mobile est associée à un compte existant, exploitez la réputation de ce compte. Une connexion depuis un nouvel appareil ou un lieu inhabituel, via une IP mobile, vers un compte ancien et fiable peut justifier une authentification renforcée, comme une MFA, plutôt qu’un blocage pur et simple.

3. Mesures de sécurité progressives

Au lieu d’une décision binaire blocage/autorisation, introduisez des paliers intermédiaires :

• CAPTCHA/reCAPTCHA : présentez des challenges lorsque l’activité issue d’IP mobiles paraît suspecte. C’est souvent efficace pour freiner les bots sans bloquer les utilisateurs humains.
• Challenges JavaScript : l’analyse JavaScript côté client peut aider à détecter les navigateurs automatisés ou les environnements headless fréquemment utilisés par les bots.
• Blocages temporaires : mettez en place des blocages de courte durée, par exemple 5 à 15 minutes, pour les infractions mineures. Cela laisse le temps à l’IP d’être recyclée, à l’utilisateur légitime de réessayer dans de meilleures conditions, ou à l’attaquant de passer son chemin.

4. Exploiter le Hosting Range et le statut TOR Exit de l’IP intelligence

Même si les IP mobiles demandent de la nuance, certaines classifications de hosting range, comme datacenter ou anonymous proxy, lorsqu’elles sont distinctes de mobile dans la plateforme utilisée, ou un statut explicite TOR exit, indiquent souvent une probabilité plus élevée d’intention malveillante. Elles peuvent donc être traitées plus fermement. Toute la subtilité consiste à ne pas confondre ces signaux avec des IP mobiles partagées derrière CGNAT.

Conclusion

Les IP d’opérateurs mobiles derrière CGNAT représentent un vrai défi pour la sécurité réseau. Un simple blocage IP, efficace contre certaines menaces statiques, peut générer une friction importante pour des utilisateurs légitimes sur mobile. En comprenant l’architecture réseau sous-jacente et en s’appuyant sur des signaux avancés d’IP intelligence comme l’ASN, le rDNS, le hosting range et les scores de risque fournis par des plateformes comme guarda.net, les ingénieurs peuvent mettre en place des stratégies de blocage plus fines et moins pénalisantes. Cette approche permet de mieux équilibrer la réduction des abus et la qualité de l’expérience utilisateur. Pour vérifier rapidement une IP, vous pouvez utiliser l’outil gratuit IP lookup disponible sur la page d’accueil de guarda.net.