الإجابة المختصرة
لإيقاف احتيال ضخ الرسائل النصية (SMS pumping)، قيّد من يستطيع طلب رمز OTP، وعدد مرات الطلب، والدول المسموح بها. ضع حدوداً للمعدل حسب رقم الهاتف وعنوان IP والجهاز والجلسة، ولا تسمح إلا بالدول التي تخدمها، وأضف حماية من البرامج الآلية قبل الإرسال، وأبطئ إعادة الإرسال، وفعّل تنبيهاً عند انخفاض نسبة الرموز المُدخلة فعلاً. واطلب من مزوّدك حظر النطاقات المستغَلة.
ما هو احتيال ضخ الرسائل النصية؟
يحدث ضخ الرسائل النصية، الذي تسميه GSMA التضخيم المصطنع للحركة (AIT)، حين تُدخل برامج آلية آلاف أرقام الهواتف في نموذج تسجيل أو تسجيل دخول أو إعادة تعيين كلمة المرور. ويتقاسم طرفٌ في جهة إنهاء الرسائل الإيراد الناتج عن كل رسالة مع المحتال. ولا تُدخَل الرموز أبداً، بينما تدفع الشركة ثمن كل رسالة.
علامات التحذير
- ارتفاع حجم رموز OTP دون ارتفاع مقابل في التسجيلات أو عمليات الدخول.
- توجّه الحركة إلى دول لا تخدمها.
- طلبات تستخدم أرقاماً متسلسلة أو متشابهة جداً.
- انخفاض معدل إتمام التحقق (الرموز المُدخلة مقسومة على الرموز المُرسلة)، غالباً في دولة أو دولتين.
الضوابط التي ينبغي تطبيقها
- أنشئ قائمة بالدول المسموح بالإرسال إليها تطابق قاعدة عملائك.
- ضع حدوداً للمعدل حسب رقم الهاتف وعنوان IP والجهاز والجلسة.
- أضف CAPTCHA أو التحقق من سلامة الجهاز (device attestation) قبل إرسال أي رسالة SMS.
- طبّق مهلاً متزايدة أُسّياً (exponential back-off) على طلبات إعادة الإرسال.
- تتبّع معدل الإتمام لكل دولة، وفعّل تنبيهات عند انخفاضه.
- حدّد سقوفاً للإنفاق وتنبيهات لكل وجهة بالتنسيق مع مزوّدك.
أثناء الهجوم
راجع الإنفاق لكل وجهة يومياً، واحظر الدول أو النطاقات المتأثرة فوراً، واطلب من مزوّدك حظرها من جهته أيضاً. ونقل بعض المستخدمين إلى قوالب المصادقة في WhatsApp أو إلى تطبيقات المصادقة يقلل التعرض للخطر، لكن لا توجد قناة محصّنة تماماً؛ فـ OTP الصوتي والمكالمات الخاطفة (flash calls) قد تُستغل هي الأخرى في احتيال تقاسم الإيرادات.