--- title: "Fraude de SMS pumping: cómo funciona el AIT y cómo frenarlo" description: "Fraude de SMS pumping o tráfico inflado artificialmente (AIT): cómo funcionan los ataques, señales de alerta y controles por capas para no pagar SMS falsos." canonical: "https://omnichannels.ai/es/blog/sms-pumping-fraud-prevention/" language: "es" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "sms" primaryQuery: "sms pumping fraud" keywords: ["tráfico inflado artificialmente", "fraude sms pumping", "prevención de fraude otp", "detección de sms pumping", "restricciones geográficas sms", "limitación de frecuencia otp", "fraude irsf sms"] published: "2026-10-09" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 9 answer: "El SMS pumping, o tráfico inflado artificialmente (AIT), es un fraude en el que bots hacen que su aplicación envíe SMS, normalmente OTP, a números cuyo cómplice cobra parte de las tarifas de terminación. Usted paga cada mensaje sin beneficio real. Se frena por capas: bloquee los bots antes de enviar, permita solo los países que atiende, limite la frecuencia por número, prefijo, IP y dispositivo, ponga topes de gasto y alerte cuando caiga la conversión de verificación." takeaways: ["El SMS pumping explota cualquier función no autenticada que envíe un SMS: OTP de registro, restablecimiento de contraseña, invitaciones o formularios de «envíame el enlace».", "El atacante se beneficia de los ingresos de terminación de los números de destino, así que la empresa paga aunque ningún usuario real haya pedido esos mensajes.", "La señal individual más fuerte es la conversión de verificación: códigos introducidos divididos entre códigos enviados, medida por país y por prefijo de número.", "Los controles funcionan mejor por capas: defensa contra bots antes del envío, listas de destinos permitidos, límites de frecuencia en varias dimensiones, cortacircuitos de gasto y monitorización.", "MITRE ATT&CK recoge el SMS pumping como la técnica T1496.003 y recomienda protección CAPTCHA en los formularios que envían SMS."] faq: - q: "¿Qué es el fraude de SMS pumping?" a: "El SMS pumping, o tráfico inflado artificialmente (AIT), es un fraude en el que los atacantes usan bots para que una empresa envíe grandes cantidades de SMS, normalmente contraseñas de un solo uso, a números que controlan o de los que se benefician. Un participante de la cadena de entrega comparte con el atacante los ingresos de terminación. La empresa paga cada mensaje mientras ningún usuario legítimo verifica nada." - q: "¿Cómo sé si estoy sufriendo SMS pumping?" a: "Busque un volumen de SMS que crece sin un aumento equivalente de registros o inicios de sesión completados. Las señales típicas son tráfico hacia países donde tiene pocos clientes, muchas solicitudes a números con el mismo prefijo o dígitos consecutivos, ráfagas desde direcciones IP rotativas y una conversión de verificación que se hunde en un país o prefijo mientras los demás siguen normales." - q: "¿Basta un CAPTCHA para frenar el SMS pumping?" a: "El CAPTCHA encarece la automatización y MITRE ATT&CK lo recomienda en los formularios que envían SMS, pero por sí solo no basta. Algunos atacantes usan servicios de resolución o granjas de personas. Combine un desafío antibot o una puntuación de riesgo con listas de países permitidos, límites por número, prefijo, IP y dispositivo, y topes de gasto, para que un desafío superado no se convierta en una factura ilimitada." - q: "¿Debo bloquear países enteros para frenar el SMS pumping?" a: "Active solo los países donde tenga usuarios reales, en lugar de abrirlo todo y bloquear después de un ataque. En los países activados con algo de fraude, use límites más estrictos, bloqueos por prefijo o un desafío más fuerte en vez de un bloqueo total. Revise las solicitudes de nuevos países mediante un breve proceso de aprobación vinculado a una necesidad de negocio." - q: "¿Puede mi proveedor de SMS frenar el SMS pumping por mí?" a: "Un proveedor puede ayudar con restricciones de destino, datos de entrega y vigilancia de anomalías, pero no puede ver si se usó un código, que es la señal de fraude más clara. Su aplicación controla quién puede desencadenar un SMS. Por tanto, una prevención eficaz exige controles en su producto y señales compartidas con su proveedor." - q: "¿El SMS pumping es lo mismo que el IRSF?" a: "Están relacionados. El fraude de reparto de ingresos internacional (IRSF) es la práctica más amplia de generar tráfico hacia rangos de números cuyo titular cobra parte de los ingresos de terminación. El SMS pumping aplica ese modelo a los SMS desencadenados por aplicaciones. GSMA agrupa el aumento artificial del tráfico de SMS con otros riesgos de bypass y fraude del SMS A2P en su trabajo sobre seguridad de la interconexión." sources: - title: "Resource Hijacking: SMS Pumping (T1496.003) — MITRE ATT&CK" url: "https://attack.mitre.org/techniques/T1496/003/" - title: "Interworking Security — GSMA" url: "https://www.gsma.com/solutions-and-impact/technologies/security/cybersecurity-knowledge-base/interworking-security/" - title: "NIST SP 800-63B: autenticación y gestión de autenticadores" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" --- # Fraude de SMS pumping: cómo funciona el AIT y cómo frenarlo Canonical: https://omnichannels.ai/es/blog/sms-pumping-fraud-prevention/ Language: es Publisher: OmniChannels.ai by BroadNet Technologies Esta guía está dirigida a ingenieros, responsables de producto y equipos antifraude que gestionan cualquier función que envíe SMS a un número de teléfono introducido por el usuario. Va más allá de nuestra [guía de mensajes OTP](/es/blog/otp-authentication-messages-guide/): cómo se construyen los ataques de pumping, qué señales los delatan pronto y cómo diseñar controles que frenen la factura sin bloquear a los clientes reales. ## ¿Qué es el SMS pumping y quién se beneficia? El SMS pumping, también llamado tráfico inflado artificialmente (AIT), es un fraude en el que un atacante hace que su aplicación envíe SMS a números elegidos para que alguien gane dinero con cada mensaje entregado. MITRE ATT&CK lo cataloga como la técnica T1496.003 y describe a adversarios que obtienen números que controlan y después desencadenan grandes volúmenes de mensajes hacia ellos. La economía del esquema explica el comportamiento. Cada SMS A2P lleva una tarifa de terminación que se paga a lo largo de la cadena de entrega hasta la red de destino. Cuando un participante de esa cadena, o quien controla un rango de números, comparte esos ingresos con el atacante, cada OTP falso es un ingreso para ellos y un coste para usted. Al atacante no le hace falta que sus mensajes lleguen a una persona real ni que se lean. ## ¿Cómo funciona un ataque de SMS pumping? Un ataque típico sigue cinco pasos, y el atacante se adapta si alguno se bloquea. 1. **Encontrar un desencadenante de SMS** que funcione sin una cuenta con sesión iniciada: registro, OTP de acceso, restablecimiento de contraseña, verificación de teléfono, «envíame el enlace de la app», invitaciones de referidos o doble opt-in de marketing. 2. **Obtener números de destino** en rangos que generan ingresos, a menudo en países donde las tarifas de terminación son altas y donde la empresa objetivo tiene pocos usuarios reales. 3. **Automatizar las solicitudes** con scripts o bots, rotando direcciones IP, huellas de dispositivo y agentes de usuario para esquivar límites sencillos. 4. **Repartir la carga**: muchos números dentro de los mismos prefijos, o números consecutivos, a un ritmo justo por debajo de cualquier umbral de alerta evidente. 5. **Escalar o cambiar**: si el tráfico fluye, aumentar el volumen, a menudo de noche o en fin de semana, cuando la vigilancia es escasa; si se bloquea, pasar a otro país o a otro punto de envío de SMS. Cualquier punto de envío de SMS accesible antes de la autenticación es un objetivo, no solo la pantalla del OTP. ## ¿Cuáles son las señales de alerta? La señal más fiable es que el volumen de SMS crece sin un crecimiento equivalente de las acciones completadas. Siga estos indicadores por país y por prefijo de número, no solo en total. | Señal | Qué aspecto tiene | Por qué importa | |---|---|---| | Cae la conversión de verificación | Suben los códigos enviados, no los introducidos | Los usuarios reales introducen los códigos; los bots, normalmente no | | Destinos nuevos o inusuales | Tráfico a países con pocos o ningún cliente | Los atacantes eligen rangos con altos ingresos | | Concentración por prefijo | Muchas solicitudes a números con las mismas primeras cifras | Los rangos de numeración se asignan en bloques | | Números consecutivos | Solicitudes a +XX…001, …002, …003 | Generación automatizada de objetivos | | Horarios en ráfagas | Picos de noche, en fin de semana o a intervalos constantes de máquina | Los atacantes aprovechan los periodos de poca vigilancia | | Anomalías de sesión | Sin páginas vistas ni eventos de la app antes de la solicitud de SMS | Los bots llaman directamente al punto de acceso | | Abuso de reenvíos | Muchos reenvíos por número, todos sin verificar | Cada reenvío es otro mensaje de pago | | Sube el gasto por usuario verificado | El coste crece mientras los registros se mantienen | Medida directa del impacto económico | Fije los umbrales de alerta como desviaciones respecto a su propia referencia para cada país y cada punto de acceso. Una conversión normal en un mercado consolidado será distinta de la de uno recién lanzado, así que los umbrales globales fijos producen falsas alarmas. ## ¿Cómo se previene el SMS pumping? Use controles por capas, de modo que saltarse uno no le deje expuesto. El objetivo es que un atacante que tenga éxito solo pueda generar un coste pequeño y limitado antes de ser detenido. ### Capa 1: detener los bots antes de que se envíe un SMS - **Desafío antibot o puntuación de riesgo** en cada formulario que envíe SMS, como recomienda MITRE con la protección CAPTCHA. - **Comprobaciones de integridad de la app** en aplicaciones móviles, como Google Play Integrity y Apple App Attest, para que las solicitudes procedan de una instalación genuina. - **Exigir un comportamiento previo**: el punto de envío de SMS solo debe aceptar solicitudes de una sesión que haya cargado la página o la pantalla de la app, con un token válido emitido por el servidor. ### Capa 2: controlar los destinos - **Lista de países permitidos** donde tenga usuarios reales. Los países nuevos requieren una solicitud de negocio explícita. - **Bloquear o desafiar los prefijos de riesgo** dentro de los países permitidos cuando muestren patrones de ataque. - **Validar los números** antes de enviar: longitud y formato correctos para el país y, en flujos de gran volumen, comprobaciones del tipo de línea o de su estado mediante una [consulta de números](/es/blog/hlr-lookup-number-validation/). ### Capa 3: límites de frecuencia en varias dimensiones Limite por número de teléfono, por prefijo, por dirección IP y red, por dispositivo y por sesión, con ventanas cortas y largas. Un límite solo por número falla cuando los atacantes rotan números; uno solo por IP falla cuando rotan proxies. ### Capa 4: cortacircuitos de gasto - **Topes de gasto diarios y por hora** por país y por punto de acceso. - **Pausa automática** de un destino cuando el volumen supera un múltiplo de su nivel normal, con aviso a una persona para que lo revise. ### Capa 5: diseño de la verificación - **Un código por sesión**, de validez corta y un solo uso, como describe NIST SP 800-63B para los autenticadores fuera de banda. - **Esperas progresivas entre reenvíos** y un límite máximo de reenvíos. - **Ofrecer alternativas** como enlaces por correo o plantillas de autenticación de WhatsApp cuando sus usuarios las tengan, para que el SMS no sea la única vía. - **No enviar SMS para acciones de bajo riesgo** que no necesiten verificar el teléfono. ### Capa 6: monitorización y respuesta Paneles de conversión de verificación, volumen y gasto por país y prefijo, revisados a diario, y un procedimiento que indique quién puede bloquear un país o pausar un punto de acceso y con qué rapidez. ## Ejemplo práctico: un marketplace de Dubái bajo ataque «Souq Rafiq» (nombre ficticio), un portal de anuncios clasificados, envía OTP por SMS en el registro. Sus usuarios están sobre todo en los Emiratos Árabes Unidos, Arabia Saudí y Egipto, pero el formulario de registro acepta cualquier prefijo de país. - **Detección:** un viernes por la noche, el volumen de OTP hacia un país lejano se triplica. La conversión de verificación de ese país cae casi a cero, mientras la de los Emiratos no cambia. Las solicitudes apuntan a números con un prefijo común. - **Respuesta inmediata:** el ingeniero de guardia sigue el procedimiento para desactivar ese destino y añade un bloqueo temporal del prefijo. - **Refuerzo:** el equipo pasa a una lista de países permitidos, añade un desafío antibot y un token de sesión al formulario de registro, introduce límites por número, IP y dispositivo, y fija topes de gasto diarios por país. - **Seguimiento:** una semana después, el atacante prueba el formulario de restablecimiento de contraseña, que seguía sin desafío. El tope de gasto pausa el tráfico en minutos; el equipo aplica allí los mismos controles y audita todos los puntos de envío de SMS. ## Errores habituales y límites - **Proteger solo la pantalla del OTP** mientras el restablecimiento de contraseña, las invitaciones y los formularios de enlace de descarga siguen abiertos. - **Permitir todos los países por defecto** porque lo hace la biblioteca del formulario. - **Depender de un solo control**, como el CAPTCHA, sin topes. - **Vigilar solo el volumen total.** Los ataques se esconden dentro de las cifras agregadas. - **Bloquear de forma demasiado amplia** y dejar fuera a usuarios legítimos que viajan o son expatriados. Es preferible usar desafíos y límites más estrictos que prohibiciones generales en los mercados que atiende. - **Límites:** ningún control es completo; los atacantes se adaptan. Las estimaciones de pérdidas del sector varían mucho y proceden sobre todo de proveedores, así que mida su propia exposición mediante el gasto por usuario verificado en lugar de fiarse de cifras de titular. ## Cómo ayuda OmniChannels.ai OmniChannels.ai admite [OTP y notificaciones transaccionales](/es/solutions/otp-notifications/) mediante plantillas de autenticación de WhatsApp, con OTP de un toque, sin toque (zero-tap) y de copia de código, mediante SMS entregados por la conectividad con operadores de BroadNet Technologies y mediante [voz](/es/channels/voice/). La consulta HLR y de numeración le ayuda a verificar los números antes de enviar, y los informes de entrega, con vistas resumida y avanzada, filtros y exportación a CSV, le ayudan a revisar el tráfico por destino y estado. La facturación funciona con un monedero prepago. El envío de OTP y los webhooks de entrega están documentados en la [API REST](/developers/) pública.