El SMS pumping, también llamado tráfico inflado artificialmente (AIT, artificially inflated traffic), ocurre cuando unos bots disparan grandes cantidades de SMS desde los propios formularios de registro, inicio de sesión u OTP de una empresa hacia números cuyos ingresos de terminación se reparten con el estafador. La empresa paga mensajes que nadie quería; la defensa consiste en vigilar la tasa de conversión de la verificación, limitar los envíos por número, país e IP y abrir solo los países en los que opera.
Cómo funciona, en pocas palabras
Cualquier formulario que envíe un SMS cuando el usuario escribe un número de teléfono puede ser objeto de abuso. Scripts automáticos envían miles de números, a menudo en rangos de unos pocos países y muchas veces de forma secuencial. Cada mensaje es real y facturable. En algún punto de la cadena de entrega, quien controla esos números o el último salto se lleva una parte de la tarifa de terminación. A diferencia de una cuenta hackeada, nada parece roto: su sistema simplemente hace aquello para lo que se construyó, miles de veces. Los dos lados de la mensajería empresarial se explican en SMS A2P vs P2P.
Señales de alerta
| Señal | Lo que se observa |
|---|---|
| Baja conversión | Muchos OTP enviados y pocos códigos introducidos; la señal más clara |
| Países inesperados | Volumen repentino hacia países donde tiene pocos usuarios o ninguno |
| Números secuenciales | Solicitudes para números que solo cambian en las últimas cifras |
| Picos a horas extrañas | Ráfagas fuera de la actividad normal de sus usuarios |
| Solicitudes repetidas | El mismo número o la misma IP piden muchos códigos en pocos minutos |
| Estadísticas de entrega anómalas | Tasas de entrega muy altas o muy bajas en destinos nuevos |
La tasa de conversión es la métrica clave: códigos verificados divididos entre códigos enviados, por país y por hora. Si su tasa normal en un país es del 70% y cae al 10% mientras sube el volumen, deténgase y revise. Las estadísticas de entrega también ayudan, consulte tasa de entrega y latencia de SMS.
Prevención en sus formularios
- Lista de países permitidos: envíe SMS solo a países donde tiene clientes. Añada otros cuando haga falta.
- Límites de frecuencia: por número de teléfono, por IP, por dispositivo y por sesión, con esperas cada vez más largas entre reenvíos.
- Protección contra bots: un desafío o una detección invisible de bots en los formularios que envían SMS, sobre todo en el registro y el restablecimiento de contraseña.
- Comprobación de números: valide el formato, rechace rangos premium y no asignados y considere una consulta HLR para los países de alto riesgo.
- Enviar solo tras un paso previo: exija un correo electrónico u otra señal antes de enviar el SMS.
- Topes de gasto: límites diarios u horarios por país, con alertas antes de alcanzar el tope.
- Canales alternativos: para algunos usuarios, otro canal de verificación elimina el incentivo, consulte opciones de respaldo para OTP.
Más sobre flujos OTP seguros en buenas prácticas para SMS OTP.
Qué preguntar a su proveedor de SMS
- ¿Ofrece el proveedor controles por país, límites de gasto y alertas en su cuenta?
- ¿Vigila patrones de AIT entre todos sus clientes y bloquea rangos de los que se sabe que se abusa?
- ¿Qué ocurre con los cargos del tráfico confirmado como AIT? Las condiciones varían mucho; obtenga la respuesta por escrito antes de firmar.
- ¿Qué tipos de ruta se usan en cada país? El pumping suele aprovechar cadenas largas y opacas; consulte rutas SMS grises.
Si ya está ocurriendo
- Bloquee o pause los SMS hacia los países o rangos afectados.
- Endurezca los límites de frecuencia y active la protección contra bots en el formulario atacado.
- Exporte los registros (números, IP, horas) y envíelos a su proveedor.
- Revise todos los endpoints que disparan SMS, no solo el primero que fue atacado.
VoIPMatcher obtiene rutas SMS A2P de sus carriers para los países que usted indique, lo que limita su exposición a los destinos que realmente usa. Solicite una ruta SMS.
Preguntas frecuentes
¿Quién paga el SMS pumping?
En la mayoría de los casos paga la empresa cuyo formulario envió los mensajes, porque cada mensaje se solicitó desde su cuenta y se entregó como tráfico normal. Algunos proveedores ofrecen funciones de protección o créditos por tráfico inflado artificialmente confirmado, pero las condiciones varían mucho. Pregunte antes de firmar y confíe en sus propios límites más que en un reembolso.
¿Un CAPTCHA detiene el SMS pumping?
Ayuda, pero no basta por sí solo. Los bots pueden resolver o esquivar algunos desafíos, y los ataques también llegan por endpoints que no lo tienen, como el restablecimiento de contraseña o los botones de reenvío. Combine la protección contra bots con listas de países permitidos, límites por número, IP y dispositivo, topes de gasto por país y control de la tasa de conversión de la verificación.
¿Qué diferencia hay entre SMS pumping y fraude de tarificación (toll fraud)?
Ambos generan tráfico facturable hacia rangos cuyos ingresos se reparten con el estafador. El toll fraud suele requerir acceso a una centralita o a una cuenta SIP, mediante intrusión o credenciales robadas. El SMS pumping no necesita intrusión: los bots usan los formularios públicos de registro u OTP de la empresa tal como fueron diseñados, por lo que es más difícil de detectar sin vigilar la conversión.
¿Se puede abusar del OTP por voz como en el SMS pumping?
Sí. Las llamadas de OTP por voz y cualquier otro canal de verificación que envíe algo facturable a un número escrito por el usuario pueden sufrir el mismo abuso, con llamadas a rangos de alto coste en lugar de mensajes. Aplique los mismos controles a todos los canales: listas de países permitidos, límites de frecuencia, controles antibot y topes de gasto, y vigile la conversión por canal.
¿Es ilegal el SMS pumping?
Los carriers y las plataformas de mensajería lo tratan como fraude, y generar tráfico falso para cobrar ingresos de terminación puede infringir las leyes contra el fraude en muchos países. En la práctica, quienes están detrás son difíciles de rastrear a través de varios países y carriers, así que las empresas no pueden contar con la persecución legal. La prevención en sus propios formularios y cuentas es la defensa fiable.
¿Necesita una ruta?
Envíe el destino, el tipo de ruta y la tarifa objetivo. Le respondemos con lo que podemos ofrecer.