Risposta breve
Per fermare le frodi di SMS pumping, limitate chi può attivare un OTP, con quale frequenza e verso quali paesi. Limitate la frequenza delle richieste per numero di telefono, IP, dispositivo e sessione; consentite solo i paesi che servite; aggiungete una protezione anti-bot prima dell’invio; rallentate i reinvii; e avvisate quando cala la quota di codici effettivamente inseriti. Chiedete al provider di bloccare gli intervalli di numeri abusati.
Cos’è l’SMS pumping
L’SMS pumping, che la GSMA chiama artificial inflation of traffic (AIT), avviene quando bot inviano migliaia di numeri di telefono a un modulo di registrazione, accesso o reimpostazione. Un soggetto sul lato di terminazione condivide con il truffatore i ricavi di ogni messaggio. I codici non vengono mai inseriti e l’azienda paga ogni messaggio.
Segnali d’allarme
- Il volume di OTP cresce senza una crescita corrispondente di registrazioni o accessi.
- Il traffico va verso paesi che non servite.
- Le richieste usano numeri sequenziali o molto simili.
- Il tasso di completamento della verifica (codici inseriti diviso codici inviati) cala, spesso in uno o due paesi.
Controlli da mettere in atto
- Impostate un elenco di paesi di destinazione consentiti che corrisponda alla vostra base clienti.
- Limitate la frequenza per numero di telefono, indirizzo IP, dispositivo e sessione.
- Aggiungete un CAPTCHA o un’attestazione del dispositivo prima di inviare qualsiasi SMS.
- Usate un backoff esponenziale sulle richieste di reinvio.
- Monitorate il tasso di completamento per paese e impostate avvisi sui cali.
- Impostate con il provider tetti di spesa e avvisi per destinazione.
Durante un attacco
Controllate ogni giorno la spesa per destinazione, bloccate subito i paesi o gli intervalli interessati e chiedete al provider di bloccarli anche dal suo lato. Spostare una parte degli utenti su template di autenticazione WhatsApp o su app di autenticazione riduce l’esposizione, ma nessun canale è immune: anche l’OTP vocale e le flash call possono essere sfruttati per frodi con ripartizione dei ricavi.