Definizione
L’SMS pumping è una frode in cui dei bot attivano un gran numero di SMS, di solito OTP, dal modulo di registrazione o accesso di un’azienda verso numeri controllati dal truffatore, che incassa una quota dei ricavi di terminazione mentre l’azienda paga messaggi che nessuno usa.
L’attaccante trova un modulo pubblico che invia un SMS (registrazione, accesso, “reinvia codice”, reimpostazione della password), poi invia migliaia di numeri di telefono in intervalli in cui un soggetto compiacente guadagna su ogni messaggio terminato. I codici non vengono mai inseriti. La GSMA lo descrive come gonfiaggio artificiale del traffico: l’impresa sostiene costi A2P SMS gonfiati senza valore aggiunto.
Segnali d’allarme: un aumento improvviso del volume di OTP senza un aumento corrispondente delle registrazioni, traffico verso paesi che non servite, numeri sequenziali o simili e un tasso di completamento della verifica in calo (codici inseriti diviso codici inviati).
Difese: limiti di frequenza per numero di telefono, IP, dispositivo e sessione; un elenco di paesi consentiti che corrisponda a dove si trovano i vostri clienti; protezione anti-bot (CAPTCHA o attestazione del dispositivo) prima dell’invio; backoff esponenziale sui reinvii; e avvisi sul tasso di completamento per paese. Spostare la verifica su template di autenticazione WhatsApp o su autenticatori basati su app riduce l’esposizione, anche se nessun canale è immune.
Il pumping colpisce soprattutto le rotte internazionali, quindi durante un attacco controllate ogni giorno la spesa per destinazione e chiedete al provider di bloccare gli intervalli interessati.
Esempio
Giorno normale: 5.000 OTP, 4.100 inseriti. Giorno dell’attacco: 60.000 OTP, 4.300 inseriti — la maggior parte del traffico in più è andata a due paesi inattesi.