SMS pumping, também chamado de tráfego inflado artificialmente (AIT), acontece quando bots disparam grandes volumes de SMS a partir dos próprios formulários de cadastro, login ou OTP de uma empresa, para números cuja receita de terminação é dividida com o fraudador. A empresa paga por mensagens que ninguém queria. A defesa é acompanhar a taxa de conversão da verificação, limitar envios por número, país e IP, e liberar apenas os países que você atende.
Como funciona, em resumo
Qualquer formulário que envia um SMS quando o usuário digita um número de telefone pode ser abusado. Scripts automáticos enviam milhares de números, muitas vezes em faixas de poucos países e muitas vezes em sequência. Cada mensagem é real e faturável. Em algum ponto da cadeia de entrega, quem controla esses números ou o último salto fica com uma parte da tarifa de terminação. Diferente de uma conta invadida, nada parece quebrado: o seu sistema simplesmente faz o que foi construído para fazer, milhares de vezes. Os dois lados das mensagens corporativas são explicados em SMS A2P vs P2P.
Sinais de alerta
| Sinal | O que você vê |
|---|---|
| Conversão baixa | Muitos OTPs enviados, poucos códigos digitados; é o sinal mais claro |
| Países inesperados | Volume repentino para países onde você tem poucos ou nenhum usuário |
| Números sequenciais | Pedidos para números que mudam só nos últimos dígitos |
| Picos em horários estranhos | Rajadas fora do horário normal de atividade dos seus usuários |
| Pedidos repetidos | O mesmo número ou IP pedindo muitos códigos em poucos minutos |
| Estatísticas de entrega estranhas | Taxas de entrega muito altas ou muito baixas em destinos novos |
A taxa de conversão é a métrica principal: códigos verificados divididos por códigos enviados, por país e por hora. Se a sua taxa normal em um país é 70% e cai para 10% com o volume subindo, pare e investigue. As estatísticas de entrega também ajudam, veja taxa de entrega e latência de SMS.
Prevenção nos seus formulários
- Lista de países permitidos: envie SMS apenas para países onde você tem clientes. Adicione outros quando precisar.
- Limites de envio: por número de telefone, por IP, por dispositivo e por sessão, com espera crescente entre reenvios.
- Proteção contra bots: um desafio ou detecção invisível de bots nos formulários que enviam SMS, principalmente cadastro e redefinição de senha.
- Verificação do número: valide o formato, recuse faixas premium e não atribuídas, e considere uma consulta HLR para países de alto risco.
- Envie só depois de uma etapa: exija um e-mail ou outro sinal antes de enviar o SMS.
- Teto de gasto: limites diários ou por hora por país, com alertas antes de atingir o teto.
- Canais alternativos: para alguns usuários, outro canal de verificação elimina o incentivo, veja opções de fallback para OTP.
Mais sobre fluxos de OTP seguros em boas práticas de SMS OTP.
O que perguntar ao seu provedor de SMS
- O provedor oferece controle por país, limites de gasto e alertas na sua conta?
- Ele monitora padrões de AIT entre os clientes e bloqueia faixas conhecidas por abuso?
- O que acontece com a cobrança de tráfego confirmado como AIT? As condições variam muito; peça a resposta por escrito antes de assinar.
- Quais tipos de rota são usados em cada país? O pumping costuma explorar cadeias longas e opacas; veja rotas de SMS grey.
Se já está acontecendo
- Bloqueie ou pause o SMS para os países ou faixas afetados.
- Aperte os limites de envio e ative a proteção contra bots no formulário atacado.
- Exporte os logs (números, IPs, horários) e envie ao seu provedor.
- Revise todos os endpoints que disparam SMS, não só o primeiro que foi atacado.
A VoIPMatcher busca rotas de SMS A2P com suas operadoras para os países que você indicar, o que mantém sua exposição limitada aos destinos que você usa. Solicite uma rota de SMS.
Perguntas frequentes
Quem paga pelo SMS pumping?
Na maioria dos casos, quem paga é a empresa dona do formulário que enviou as mensagens, porque cada mensagem foi solicitada pela conta dela e entregue como tráfego normal. Alguns provedores oferecem recursos de proteção ou créditos para tráfego inflado artificialmente confirmado, mas as condições variam muito. Pergunte antes de assinar e confie nos seus próprios limites, não em um reembolso.
Um CAPTCHA impede o SMS pumping?
Ajuda, mas sozinho não basta. Bots conseguem resolver ou contornar alguns desafios, e os ataques também chegam por endpoints sem CAPTCHA, como redefinição de senha ou botões de reenvio. Combine proteção contra bots com lista de países permitidos, limites de envio por número, IP e dispositivo, teto de gasto por país e monitoramento da taxa de conversão da verificação.
Qual a diferença entre SMS pumping e toll fraud?
Os dois geram tráfego faturável para faixas de numeração cuja receita é dividida com o fraudador. O toll fraud normalmente exige acesso a um sistema telefônico ou conta SIP, por invasão ou credenciais roubadas. O SMS pumping não exige invasão: os bots usam os formulários públicos de cadastro ou OTP da empresa exatamente como foram projetados, o que dificulta a detecção sem monitorar a conversão.
O OTP por voz pode ser abusado como o SMS pumping?
Sim. Chamadas de OTP por voz e qualquer outro canal de verificação que envie algo faturável para um número digitado pelo usuário podem ser abusados da mesma forma, com chamadas para faixas de alto custo em vez de mensagens. Aplique os mesmos controles em todos os canais: lista de países permitidos, limites de envio, verificação anti-bot e teto de gasto, e acompanhe a conversão por canal.
SMS pumping é crime?
Operadoras e plataformas de mensagens tratam isso como fraude, e gerar tráfego falso para receber receita de terminação pode violar leis contra fraude em muitos países. Na prática, os responsáveis são difíceis de rastrear através de vários países e operadoras, então as empresas não podem contar com punição. A prevenção nos seus próprios formulários e contas é a defesa confiável.
Precisa de uma rota?
Envie o destino, o tipo de rota e a tarifa alvo. Respondemos com o que podemos entregar.