L'SMS pumping, chiamato anche traffico gonfiato artificialmente (AIT, artificially inflated traffic), si verifica quando dei bot fanno partire grandi quantità di SMS dai form di registrazione, login o OTP di un'azienda verso numeri i cui ricavi di terminazione vengono divisi con il truffatore. L'azienda paga messaggi che nessuno voleva; la difesa è controllare il tasso di conversione delle verifiche, limitare gli invii per numero, paese e IP, e aprire solo i paesi in cui operi davvero.
Come funziona, in breve
Qualsiasi form che invia un SMS quando l'utente digita un numero di telefono può essere sfruttato. Script automatici inviano migliaia di numeri, spesso in numerazioni di pochi paesi e spesso in sequenza. Ogni messaggio è reale e fatturabile. Da qualche parte nella catena di consegna, chi controlla quei numeri o l'ultimo passaggio incassa una quota della tariffa di terminazione. A differenza di un account violato, nulla sembra rotto: il tuo sistema fa semplicemente ciò per cui è stato costruito, molte migliaia di volte. I due lati della messaggistica aziendale sono spiegati in SMS A2P e P2P.
Segnali d'allarme
| Segnale | Cosa vedi |
|---|---|
| Conversione bassa | Molti OTP inviati, pochi codici inseriti; è il segnale più chiaro |
| Paesi inattesi | Volumi improvvisi verso paesi in cui hai pochi utenti o nessuno |
| Numeri in sequenza | Richieste per numeri che differiscono solo nelle ultime cifre |
| Picchi a orari strani | Raffiche fuori dalla normale attività dei tuoi utenti |
| Richieste ripetute | Lo stesso numero o IP chiede molti codici in pochi minuti |
| Statistiche di consegna anomale | Tassi di consegna molto alti o molto bassi su nuove destinazioni |
Il tasso di conversione è la metrica chiave: codici verificati diviso codici inviati, per paese e per ora. Se il tuo tasso normale per un paese è 70% e scende al 10% mentre i volumi salgono, fermati e verifica. Anche le statistiche di consegna aiutano, vedi tasso di consegna e latenza degli SMS.
Prevenzione sui tuoi form
- Lista di paesi consentiti: invia SMS solo ai paesi in cui hai clienti. Aggiungine altri quando serve.
- Limiti di frequenza: per numero di telefono, per IP, per dispositivo e per sessione, con attese crescenti tra un reinvio e l'altro.
- Protezione anti bot: una verifica o un rilevamento invisibile dei bot sui form che inviano SMS, soprattutto registrazione e reset della password.
- Controlli sul numero: valida il formato, rifiuta le numerazioni premium e non assegnate, e valuta un HLR lookup per i paesi ad alto rischio.
- Invio solo dopo un passaggio: richiedi un'email o un altro segnale prima di inviare l'SMS.
- Tetti di spesa: limiti giornalieri od orari per paese, con avvisi prima di raggiungere il tetto.
- Canali alternativi: per alcuni utenti, un altro canale di verifica elimina l'incentivo, vedi le opzioni di fallback per gli OTP.
Altro sui flussi OTP sicuri in buone pratiche per gli SMS OTP.
Cosa chiedere al tuo provider SMS
- Il provider offre controlli per paese, limiti di spesa e avvisi sul tuo account?
- Monitora gli schemi di AIT su tutti i clienti e blocca le numerazioni notoriamente abusate?
- Cosa succede agli addebiti per il traffico confermato come AIT? Le condizioni cambiano molto; fatti dare la risposta per iscritto prima di firmare.
- Quali tipi di rotta usa per ogni paese? Il pumping sfrutta spesso catene lunghe e poco trasparenti; vedi rotte SMS grey.
Se sta già succedendo
- Blocca o sospendi gli SMS verso i paesi o le numerazioni coinvolte.
- Stringi i limiti di frequenza e attiva la protezione anti bot sul form preso di mira.
- Esporta i log (numeri, IP, orari) e inviali al tuo provider.
- Controlla tutti gli endpoint che inviano SMS, non solo quello attaccato per primo.
VoIPMatcher trova presso i suoi carrier rotte SMS A2P per i paesi che indichi, così la tua esposizione resta limitata alle destinazioni che usi. Richiedi una rotta SMS.
Domande frequenti
Chi paga l'SMS pumping?
Nella maggior parte dei casi paga l'azienda il cui form ha inviato i messaggi, perché ogni SMS è stato richiesto tramite il suo account e consegnato come traffico normale. Alcuni provider offrono funzioni di protezione o crediti per il traffico gonfiato artificialmente confermato, ma le condizioni cambiano molto. Chiedi prima di firmare e affidati ai tuoi limiti, non a un rimborso.
Un CAPTCHA ferma l'SMS pumping?
Aiuta, ma da solo non basta. I bot riescono a risolvere o aggirare alcune verifiche, e gli attacchi arrivano anche da endpoint che non le hanno, come il reset della password o il pulsante di reinvio. Combina la protezione anti bot con liste di paesi consentiti, limiti di frequenza per numero, IP e dispositivo, tetti di spesa per paese e il monitoraggio del tasso di conversione delle verifiche.
Che differenza c'è tra SMS pumping e toll fraud?
Entrambi generano traffico fatturabile verso numerazioni i cui ricavi vengono divisi con il truffatore. Il toll fraud di solito richiede l'accesso a un centralino o a un account SIP, tramite intrusione o credenziali rubate. L'SMS pumping non richiede alcuna intrusione: i bot usano i form pubblici di registrazione o OTP dell'azienda esattamente come sono stati progettati, e per questo è più difficile accorgersene senza monitorare la conversione.
Anche l'OTP vocale può subire abusi come l'SMS pumping?
Sì. Le chiamate OTP vocali e qualsiasi altro canale di verifica che invia qualcosa di fatturabile a un numero digitato dall'utente possono essere sfruttati allo stesso modo, con chiamate verso numerazioni ad alto costo invece che messaggi. Applica gli stessi controlli a ogni canale: liste di paesi consentiti, limiti di frequenza, verifiche anti bot e tetti di spesa, e tieni d'occhio la conversione per canale.
L'SMS pumping è illegale?
Operatori e piattaforme di messaggistica lo considerano una frode, e generare traffico finto per incassare ricavi di terminazione può violare le leggi antifrode di molti paesi. In pratica chi c'è dietro è difficile da rintracciare attraverso più paesi e carrier, quindi le aziende non possono contare sull'intervento delle autorità. La prevenzione sui propri form e account è la difesa affidabile.
Ti serve una rotta?
Mandaci destinazione, tipo di rotta e tariffa target. Ti rispondiamo con quello che possiamo offrirti.