SMS-Pumping-Betrug: So funktioniert AIT und so stoppen Sie es

Dieser Leitfaden richtet sich an Entwickler, Product Owner und Betrugsteams, die Funktionen betreiben, die SMS an eine vom Nutzer eingegebene Telefonnummer senden. Er geht tiefer als unser Leitfaden zu OTP-Nachrichten: wie Pumping-Angriffe aufgebaut sind, welche Signale sie früh verraten und wie Sie Kontrollen gestalten, die die Rechnung stoppen, ohne echte Kunden auszusperren.

Was ist SMS-Pumping und wer profitiert davon?

SMS-Pumping, auch künstlich aufgeblähter Verkehr (AIT) genannt, ist Betrug, bei dem ein Angreifer Ihre Anwendung dazu bringt, SMS an Nummern zu senden, die so gewählt sind, dass jemand an jeder zugestellten Nachricht verdient. MITRE ATT&CK führt es als Technik T1496.003 und beschreibt Angreifer, die Nummern unter ihrer Kontrolle beschaffen und dann große Nachrichtenmengen dorthin auslösen.

Die Ökonomie erklärt das Verhalten. Jede A2P-SMS trägt ein Terminierungsentgelt, das entlang der Zustellkette bis zum Zielnetz gezahlt wird. Teilt ein Beteiligter in dieser Kette oder jemand, der einen Nummernbereich kontrolliert, diese Erlöse mit dem Angreifer, wird jede gefälschte OTP zu Einnahmen für ihn und zu Kosten für Sie. Der Angreifer braucht weder, dass Ihre Nachrichten eine echte Person erreichen, noch dass sie gelesen werden.

Wie läuft ein SMS-Pumping-Angriff ab?

Ein typischer Angriff folgt fünf Schritten, und der Angreifer passt sich an, wenn ein Schritt blockiert wird.

1. Einen SMS-Auslöser finden, der ohne angemeldetes Konto funktioniert: Registrierung, Login-OTP, Passwort-Reset, Telefonverifizierung, „App-Link per SMS senden“, Empfehlungseinladungen oder Double-Opt-in im Marketing.
2. Zielnummern beschaffen in Bereichen, die Erlöse bringen, oft in Ländern mit hohen Terminierungsentgelten, in denen das angegriffene Unternehmen kaum echte Nutzer hat.
3. Anfragen automatisieren mit Skripten oder Bots, wobei IP-Adressen, Geräte-Fingerprints und User-Agents rotieren, um einfache Limits zu umgehen.
4. Die Last verteilen: viele Nummern innerhalb derselben Präfixe oder fortlaufende Nummern, in einer Rate knapp unter jeder offensichtlichen Alarmschwelle.
5. Skalieren oder wechseln: Fließt der Verkehr, steigert der Angreifer das Volumen, oft nachts oder am Wochenende, wenn die Überwachung dünn ist; wird er blockiert, wechselt er in ein anderes Land oder zu einem anderen SMS-versendenden Endpunkt.

Jeder SMS-versendende Endpunkt, der vor der Authentifizierung erreichbar ist, ist ein Ziel, nicht nur der OTP-Bildschirm.

Was sind die Warnzeichen?

Das verlässlichste Signal ist, dass das SMS-Volumen wächst, ohne dass abgeschlossene Aktionen entsprechend wachsen. Erfassen Sie diese Indikatoren pro Land und pro Nummernpräfix, nicht nur insgesamt.

Legen Sie Alarmschwellen als Abweichungen von Ihrer eigenen Basislinie für jedes Land und jeden Endpunkt fest. Eine normale Verifizierungsrate eines etablierten Marktes unterscheidet sich von der eines neu gestarteten, sodass feste globale Werte Fehlalarme erzeugen.

Wie verhindern Sie SMS-Pumping?

Setzen Sie Kontrollen in Schichten ein, sodass die Umgehung einer Schicht Sie nicht schutzlos lässt. Ziel ist, dass ein erfolgreicher Angreifer nur geringe, gedeckelte Kosten verursachen kann, bevor er gestoppt wird.

Schicht 1: Bots stoppen, bevor eine SMS ausgelöst wird

• Bot-Prüfung oder Risiko-Scoring bei jedem Formular, das SMS versendet, wie MITRE es mit CAPTCHA-Schutz empfiehlt.
• App-Integritätsprüfungen für mobile Apps, etwa Google Play Integrity und Apple App Attest, sodass Anfragen von einer echten App-Installation stammen müssen.
• Vorheriges Verhalten verlangen: Der SMS-Endpunkt sollte nur Anfragen aus einer Sitzung akzeptieren, die die Seite oder den App-Bildschirm geladen hat, mit einem gültigen, vom Server ausgestellten Token.

Schicht 2: Ziele kontrollieren

• Länder per Allowlist freigeben, in denen Sie echte Nutzer haben. Neue Länder erfordern eine ausdrückliche geschäftliche Anfrage.
• Riskante Präfixe sperren oder prüfen innerhalb erlaubter Länder, wenn sie Angriffsmuster zeigen.
• Nummern validieren, bevor Sie senden: korrekte Länge und Format für das Land und bei Abläufen mit hohem Volumen Prüfungen von Leitungstyp oder Status per Nummernabfrage.

Schicht 3: Rate Limits über mehrere Dimensionen

Begrenzen Sie pro Telefonnummer, pro Präfix, pro IP-Adresse und Netz, pro Gerät und pro Sitzung, mit kurzen und langen Zeitfenstern. Ein Limit allein pro Telefonnummer versagt, wenn Angreifer Nummern rotieren; ein Limit allein pro IP versagt, wenn sie Proxys rotieren.

Schicht 4: Sicherungen für die Ausgaben

• Tages- und Stundenlimits für die Ausgaben pro Land und pro Endpunkt.
• Automatische Pause eines Ziels, wenn das Volumen ein Vielfaches des Normalniveaus übersteigt, wobei eine Person zur Prüfung alarmiert wird.

Schicht 5: Gestaltung der Verifizierung

• Ein Code pro Sitzung, kurze Gültigkeit, einmalige Verwendung, wie NIST SP 800-63B es für Out-of-Band-Authenticators beschreibt.
• Zunehmende Wartezeiten beim erneuten Senden und eine feste Obergrenze für Wiederholungen.
• Alternativen anbieten, etwa E-Mail-Links oder WhatsApp-Authentifizierungsvorlagen, wo Ihre Nutzer sie haben, sodass SMS nicht der einzige Weg ist.
• Keine SMS für risikoarme Aktionen senden, die keine Telefonverifizierung benötigen.

Schicht 6: Monitoring und Reaktion

Dashboards zu Verifizierungsrate, Volumen und Ausgaben pro Land und Präfix, täglich geprüft, dazu ein Runbook, das festlegt, wer ein Land sperren oder einen Endpunkt pausieren darf und wie schnell.

Praxisbeispiel: ein Marktplatz in Dubai unter Angriff

„Souq Rafiq“ (fiktiv), ein Kleinanzeigenmarkt, sendet SMS-OTPs bei der Registrierung. Seine Nutzer sitzen überwiegend in den VAE, Saudi-Arabien und Ägypten, doch das Registrierungsformular akzeptiert jede Ländervorwahl.

• Erkennung: An einem Freitagabend verdreifacht sich das OTP-Volumen in ein fernes Land. Die Verifizierungsrate für dieses Land fällt auf nahe null, während die der VAE unverändert bleibt. Die Anfragen zielen auf Nummern mit gemeinsamem Präfix.
• Sofortreaktion: Der diensthabende Engineer deaktiviert gemäß Runbook dieses Ziel und richtet eine befristete Präfixsperre ein.
• Härtung: Das Team wechselt zu einer Länder-Allowlist, ergänzt im Registrierungsformular eine Bot-Prüfung und ein Sitzungstoken, führt Limits pro Nummer, IP und Gerät ein und setzt tägliche Ausgabendeckel pro Land.
• Nachverfolgung: Eine Woche später prüft der Angreifer das Passwort-Reset-Formular, das noch keine Prüfung hatte. Der Ausgabendeckel pausiert den Verkehr binnen Minuten; das Team wendet dieselben Kontrollen dort an und prüft jeden SMS-versendenden Endpunkt.

Häufige Fehler und Grenzen

• Nur den OTP-Bildschirm schützen, während Passwort-Reset, Einladungen und Download-Link-Formulare offen bleiben.
• Standardmäßig alle Länder erlauben, weil die Formularbibliothek es tut.
• Sich auf eine einzige Kontrolle verlassen, etwa CAPTCHA, ohne Deckel.
• Nur das Gesamtvolumen beobachten. Angriffe verstecken sich in aggregierten Zahlen.
• Zu breit sperren und echte reisende oder im Ausland lebende Nutzer aussperren. Bevorzugen Sie in Märkten, die Sie bedienen, Prüfungen und engere Limits statt pauschaler Sperren.
• Grenzen: Keine Kontrolle ist vollständig; Angreifer passen sich an. Schätzungen zu Branchenverlusten schwanken stark und stammen überwiegend von Anbietern, daher messen Sie Ihre eigene Gefährdung anhand der Ausgaben pro verifiziertem Nutzer, statt sich auf Schlagzeilenzahlen zu verlassen.

So unterstützt Sie OmniChannels.ai

OmniChannels.ai unterstützt OTP und Transaktionsbenachrichtigungen über WhatsApp-Authentifizierungsvorlagen mit One-Tap-, Zero-Tap- und Copy-Code-OTP, über SMS, die über die Netzbetreiberanbindung von BroadNet Technologies zugestellt werden, und über Voice. HLR- und Nummernabfragen helfen Ihnen, Nummern vor dem Versand zu prüfen, und Zustellberichte mit Zusammenfassungs- und erweiterter Ansicht, Filtern und CSV-Export helfen Ihnen, den Verkehr nach Ziel und Status zu analysieren. Die Abrechnung erfolgt über ein Prepaid-Guthaben. OTP-Versand und Zustell-Webhooks sind in der öffentlichen REST-API dokumentiert.