Definición
El SMS pumping es un fraude en el que bots disparan grandes cantidades de SMS, normalmente OTP, desde el formulario de registro o inicio de sesión de una empresa hacia números controlados por el defraudador, que se queda con parte de los ingresos de terminación mientras la empresa paga mensajes que nadie usa.
El atacante localiza un formulario público que envía un SMS (registro, inicio de sesión, “reenviar código”, restablecer contraseña) y envía miles de números de teléfono de rangos en los que un cómplice cobra por cada mensaje terminado. Los códigos nunca se introducen. La GSMA lo describe como inflado artificial de tráfico: la empresa asume costes inflados de SMS A2P sin obtener ningún valor añadido.
Señales de alerta: un aumento repentino del volumen de OTP sin el correspondiente aumento de registros, tráfico hacia países en los que no se opera, números secuenciales o similares y una caída de la tasa de verificación completada (códigos introducidos entre códigos enviados).
Defensas: límites de frecuencia por número de teléfono, IP, dispositivo y sesión; una lista de países permitidos que coincida con la ubicación de los clientes; protección contra bots (CAPTCHA o atestación del dispositivo) antes de enviar; espera exponencial en los reenvíos; y alertas sobre la tasa de verificación completada por país. Trasladar la verificación a plantillas de autenticación de WhatsApp o a autenticadores basados en app también reduce la exposición, aunque ningún canal es inmune.
El pumping afecta sobre todo a las rutas internacionales, por lo que durante un ataque conviene revisar a diario el gasto por destino y pedir al proveedor que bloquee los rangos afectados.
Ejemplo
Día normal: 5.000 OTP, 4.100 introducidos. Día del ataque: 60.000 OTP, 4.300 introducidos; la mayor parte del tráfico adicional fue a dos países inesperados.