Cos'è lo SMS pumping e perché vi costa
Lo SMS pumping, detto anche traffico gonfiato artificialmente, abusa di qualsiasi modulo che invia un SMS su richiesta: registrazione, accesso, reimpostazione della password o una casella “inviami un link”. I bot inseriscono numeri di telefono in intervalli sui quali l'attaccante condivide i ricavi, richiedono codici ripetutamente e non completano mai la verifica. Ogni messaggio viene addebitato a voi.
L'attacco è difficile da vedere nei rapporti di consegna perché i messaggi vengono consegnati. Emerge come calo della conversione OTP, aumento delle richieste verso paesi che non servite e spesa che cresce più in fretta delle registrazioni.
Come il calcolatore stima la quota pompata
Una richiesta pompata non finisce mai con un utente verificato. Se gli utenti genuini verificano l'80% delle volte e la vostra conversione osservata è il 70%, circa il 12,5% delle richieste è pompato (1 meno 70 diviso 80). Il calcolatore usa questa differenza, a meno che inseriate una quota misurata da voi, e limita la stima al 95%.
Ogni richiesta invia 1 più il vostro tasso di reinvio in messaggi. Il costo SMS usa le nostre tariffe pubblicate per paese, mediate tra gli operatori alla fascia di volume raggiunta da ciascuno scenario. Potete prezzare il traffico pompato al vostro mix di paesi, oppure alla media dei dieci paesi più costosi del nostro listino, perché gli attaccanti tendono a instradare il traffico verso destinazioni ad alto costo.
- Ogni cifra è una stima; il punteggio di rischio è un'euristica, non una probabilità
- Conversione degli utenti genuini, copertura di WhatsApp ed effetto dei controlli sono ipotesi che potete modificare
- Le tariffe SMS escludono le imposte e non sono un preventivo
Solo SMS, WhatsApp per primo e WhatsApp per primo con controlli
WhatsApp per primo invia il codice con un template di autenticazione WhatsApp e ripiega sull'SMS per gli utenti non raggiunti. Usa la tariffa di autenticazione di Meta per ogni mercato. I numeri usati per il pumping raramente hanno WhatsApp, quindi in questo modello le loro richieste ripiegano comunque sull'SMS: WhatsApp per primo abbassa il costo degli utenti genuini, e sono i controlli a fermare lo spreco.
Il terzo scenario aggiunge controlli antipumping oltre a WhatsApp per primo ed elimina la quota di richieste pompate che vi aspettate di fermare. L'OTP vocale è mostrato come opzione di fallback; la voce ha prezzo su richiesta, quindi contattate il team commerciale per un preventivo.
Esempio pratico: 100.000 richieste OTP al mese
Una fintech invia 100.000 richieste OTP al mese: il 50% verso gli EAU, il 30% verso l'Arabia Saudita e il 20% verso l'Egitto, con un tasso di reinvio del 20%. La sua conversione è il 70% contro l'80% degli utenti genuini, quindi circa il 12,5% delle richieste è pompato. Con solo SMS alle nostre tariffe pubblicate sono circa $1,830 al mese, dei quali circa $229 vanno a messaggi pompati, e $0.026 per utente verificato.
Con WhatsApp per primo che raggiunge l'80% degli utenti genuini, la spesa scende a circa $1,613 e $0.023 per utente verificato. Aggiungendo controlli che fermano il 90% delle richieste pompate si arriva a circa $1,379, ovvero $0.020 per utente verificato. Se invece il traffico pompato andasse ai paesi più costosi, lo spreco con solo SMS sarebbe di circa $950 al mese.
Controlli che fermano lo SMS pumping
La checklist sotto i risultati ordina questi controlli in base a ciò che le vostre risposte rendono più urgente e contrassegna quelli che avete già. Il singolo passo più efficace è di solito consentire gli invii OTP solo ai paesi che servite.
- Elenco di paesi consentiti (geo-permissions) per gli invii OTP
- Limiti di frequenza per numero di telefono, IP, dispositivo e sessione, con un tempo di attesa tra i reinvii
- Monitoraggio della conversione per paese e prefisso, con avvisi e pause automatiche
- Rilevamento dei bot davanti al pulsante di invio del codice
- Blocchi su numeri sequenziali e prefissi abusati, più avvisi di spesa giornalieri