التعريف
ضخ الرسائل النصية (SMS pumping) نوع من الاحتيال تستخدم فيه برامج آلية نماذج التسجيل أو تسجيل الدخول لدى الشركة لإطلاق أعداد كبيرة من رسائل SMS، غالباً رموز OTP، إلى أرقام يتحكم فيها المحتال، الذي يحصل على حصة من إيرادات الإنهاء، بينما تدفع الشركة ثمن رسائل لا يستخدمها أحد.
يعثر المهاجم على نموذج عام يُرسل رسالة SMS (التسجيل، أو تسجيل الدخول، أو "إعادة إرسال الرمز"، أو إعادة تعيين كلمة المرور)، ثم يُدخل آلاف أرقام الهواتف ضمن نطاقات يحقق فيها طرف متواطئ إيراداً عن كل رسالة تُنهى. ولا تُدخَل الرموز أبداً. وتصف GSMA ذلك بأنه تضخيم مصطنع للحركة: تتحمل المؤسسة تكاليف A2P SMS متضخمة دون أي قيمة مضافة.
علامات التحذير: ارتفاع مفاجئ في حجم رموز OTP دون ارتفاع مقابل في التسجيلات، وحركة إلى دول لا تخدمها، وأرقام متسلسلة أو متشابهة، وانخفاض معدل إتمام التحقق (الرموز المُدخلة مقسومة على الرموز المُرسلة).
وسائل الحماية: حدود للمعدل حسب رقم الهاتف وعنوان IP والجهاز والجلسة؛ وقائمة دول مسموح بها تطابق أماكن وجود عملائك؛ والحماية من البرامج الآلية (CAPTCHA أو التحقق من الجهاز) قبل الإرسال؛ وزيادة فترات الانتظار تصاعدياً عند إعادة الإرسال؛ وتنبيهات على معدل الإتمام لكل دولة. كما أن نقل التحقق إلى قوالب المصادقة في WhatsApp أو تطبيقات المصادقة يقلل التعرض للخطر، وإن كانت لا توجد قناة محصّنة تماماً.
يضرب احتيال الضخ المسارات الدولية بشدة أكبر، لذا راجع الإنفاق لكل وجهة يومياً أثناء الهجوم، واطلب من مزوّدك حظر النطاقات المتأثرة.
مثال
يوم عادي: 5,000 رمز OTP، أُدخل منها 4,100. يوم الهجوم: 60,000 رمز OTP، أُدخل منها 4,300، وذهبت معظم الحركة الإضافية إلى دولتين غير متوقعتين.