Qué es el SMS pumping y por qué le cuesta dinero
El SMS pumping, también llamado tráfico inflado artificialmente, abusa de cualquier formulario que envía un SMS bajo petición: registro, inicio de sesión, cambio de contraseña o un campo de «envíame un enlace». Los bots introducen números de rangos con los que el atacante comparte ingresos, piden códigos una y otra vez y nunca terminan la verificación. Cada mensaje se le factura a usted.
El ataque es difícil de ver en los informes de entrega porque los mensajes sí se entregan. Aparece como una caída de la conversión OTP, un aumento de solicitudes a países donde no opera y un gasto que crece más rápido que los registros.
Cómo estima la calculadora la cuota de pumping
Una solicitud fraudulenta nunca termina en un usuario verificado. Si los usuarios reales se verifican el 80 % de las veces y su conversión observada es del 70 %, alrededor del 12,5 % de las solicitudes son fraudulentas (1 menos 70 entre 80). La calculadora usa esa brecha salvo que introduzca una cuota medida por usted, y limita la estimación al 95 %.
Cada solicitud envía 1 mensaje más su tasa de reenvío. El coste SMS usa nuestras tarifas publicadas por país, promediadas entre operadores en el tramo de volumen de cada escenario. Puede valorar el tráfico fraudulento con su propio reparto por países o con la media de los diez países más caros de nuestra tarifa, porque los atacantes suelen dirigir el tráfico a destinos caros.
- Todas las cifras son estimaciones; la puntuación de riesgo es una heurística, no una probabilidad
- La conversión de usuarios reales, el alcance de WhatsApp y el efecto de los controles son supuestos modificables
- Las tarifas SMS no incluyen impuestos y no son una oferta
Solo SMS, WhatsApp primero y WhatsApp primero con controles
WhatsApp primero envía el código con una plantilla de autenticación de WhatsApp y pasa a SMS para los usuarios a los que no llega. Usa la tarifa de autenticación de Meta de cada mercado. Los números usados para pumping rara vez tienen WhatsApp, así que en este modelo sus solicitudes siguen pasando a SMS: WhatsApp primero reduce el coste de los usuarios reales y son los controles los que frenan la pérdida.
El tercer escenario añade controles anti-pumping a WhatsApp primero y elimina la cuota de solicitudes fraudulentas que espera frenar. El OTP por voz aparece como opción de respaldo; la voz tiene precio bajo consulta, así que contacte con ventas para una oferta.
Ejemplo práctico: 100.000 solicitudes de OTP al mes
Una fintech envía 100.000 solicitudes de OTP al mes: 50 % a los Emiratos Árabes Unidos, 30 % a Arabia Saudí y 20 % a Egipto, con un 20 % de reenvíos. Su conversión es del 70 % frente al 80 % de los usuarios reales, así que alrededor del 12,5 % de las solicitudes son fraudulentas. Con solo SMS a nuestras tarifas publicadas son unos 1.830 $ al mes, de los que unos 229 $ van a mensajes fraudulentos, y 0,026 $ por usuario verificado.
Con WhatsApp primero llegando al 80 % de los usuarios reales, el gasto baja a unos 1.613 $ y 0,023 $ por usuario verificado. Añadiendo controles que frenan el 90 % de las solicitudes fraudulentas queda en unos 1.379 $, o 0,020 $ por usuario verificado. Si el tráfico fraudulento fuera a los países más caros, la pérdida con solo SMS sería de unos 950 $ al mes.
Controles que detienen el SMS pumping
La lista bajo los resultados ordena estos controles según lo que sus respuestas hacen más urgente y marca los que ya tiene. La medida más eficaz suele ser permitir el envío de OTP solo a los países donde opera.
- Lista de países permitidos (geopermisos) para el envío de OTP
- Límites por número de teléfono, IP, dispositivo y sesión, con espera entre reenvíos
- Seguimiento de la conversión por país y prefijo, con alertas y pausas automáticas
- Detección de bots delante del botón de enviar código
- Bloqueo de números secuenciales y prefijos abusados, y alertas de gasto diarias