Was SMS-Pumping ist und warum es Sie Geld kostet
SMS-Pumping, auch künstlich aufgeblähter Verkehr genannt, missbraucht jedes Formular, das auf Anfrage eine SMS sendet: Registrierung, Login, Passwort-Reset oder ein Feld „Link per SMS senden“. Bots geben Nummern aus Bereichen ein, an deren Umsatz der Angreifer beteiligt ist, fordern immer wieder Codes an und schließen die Verifizierung nie ab. Jede Nachricht wird Ihnen berechnet.
In Zustellberichten ist der Angriff schwer zu erkennen, weil die Nachrichten zugestellt werden. Er zeigt sich als sinkende OTP-Konversion, mehr Anfragen in Länder, die Sie nicht bedienen, und Kosten, die schneller wachsen als die Registrierungen.
Wie der Rechner den Pumping-Anteil schätzt
Eine gepumpte Anfrage endet nie mit einem verifizierten Nutzer. Verifizieren sich echte Nutzer in 80 % der Fälle und liegt Ihre beobachtete Konversion bei 70 %, sind etwa 12,5 % der Anfragen gepumpt (1 minus 70 geteilt durch 80). Der Rechner nutzt diese Lücke, sofern Sie keinen selbst gemessenen Anteil eingeben, und begrenzt die Schätzung auf 95 %.
Jede Anfrage sendet 1 Nachricht plus Ihre Wiederholungsrate. Die SMS-Kosten beruhen auf unseren veröffentlichten Länderpreisen, gemittelt über die Netzbetreiber auf der Volumenstufe des jeweiligen Szenarios. Gepumpten Verkehr können Sie mit Ihrer eigenen Länderverteilung bewerten oder mit dem Mittel der zehn teuersten Länder unserer Preisliste, da Angreifer Verkehr oft in teure Ziele lenken.
- Alle Werte sind Schätzungen; der Risikowert ist eine Heuristik, keine Wahrscheinlichkeit
- Konversion echter Nutzer, WhatsApp-Reichweite und Wirkung der Maßnahmen sind änderbare Annahmen
- SMS-Preise verstehen sich ohne Steuern und sind kein Angebot
Nur SMS, WhatsApp zuerst und WhatsApp zuerst mit Schutz
WhatsApp zuerst sendet den Code mit einer WhatsApp-Authentifizierungsvorlage und fällt für nicht erreichte Nutzer auf SMS zurück. Dabei gilt Metas Authentifizierungspreis je Markt. Für Pumping genutzte Nummern haben selten WhatsApp, daher fallen ihre Anfragen in diesem Modell trotzdem auf SMS zurück: WhatsApp zuerst senkt die Kosten echter Nutzer, Schutzmaßnahmen stoppen den Verlust.
Das dritte Szenario ergänzt WhatsApp zuerst um Anti-Pumping-Maßnahmen und zieht den Anteil gepumpter Anfragen ab, den Sie damit stoppen wollen. Voice-OTP erscheint als Fallback-Option; Voice wird auf Anfrage bepreist, wenden Sie sich für ein Angebot an den Vertrieb.
Rechenbeispiel: 100.000 OTP-Anfragen pro Monat
Ein Fintech sendet 100.000 OTP-Anfragen pro Monat: 50 % in die Vereinigten Arabischen Emirate, 30 % nach Saudi-Arabien und 20 % nach Ägypten, mit 20 % Wiederholungen. Die Konversion liegt bei 70 % gegenüber 80 % bei echten Nutzern, also sind etwa 12,5 % der Anfragen gepumpt. Mit nur SMS zu unseren veröffentlichten Preisen sind das etwa 1.830 $ pro Monat, davon rund 229 $ für gepumpte Nachrichten, und 0,026 $ pro verifiziertem Nutzer.
Erreicht WhatsApp zuerst 80 % der echten Nutzer, sinken die Kosten auf etwa 1.613 $ und 0,023 $ pro verifiziertem Nutzer. Mit Maßnahmen, die 90 % der gepumpten Anfragen stoppen, sind es etwa 1.379 $ oder 0,020 $ pro verifiziertem Nutzer. Ginge der gepumpte Verkehr in die teuersten Länder, läge der Verlust bei nur SMS bei etwa 950 $ pro Monat.
Maßnahmen gegen SMS-Pumping
Die Checkliste unter den Ergebnissen sortiert diese Maßnahmen nach der Dringlichkeit, die sich aus Ihren Angaben ergibt, und markiert, was Sie bereits haben. Der wirksamste Einzelschritt ist meist, OTP-Versand nur in die Länder zu erlauben, die Sie bedienen.
- Länder-Allowlist (Geo-Berechtigungen) für den OTP-Versand
- Limits pro Rufnummer, IP, Gerät und Sitzung, mit Wartezeit zwischen Wiederholungen
- Konversions-Monitoring nach Land und Präfix, mit Alarmen und automatischen Pausen
- Bot-Erkennung vor dem Code-senden-Button
- Sperren für fortlaufende Nummern und missbrauchte Präfixe sowie tägliche Kostenalarme