---
title: "SMS pumping: come funziona la frode AIT e come fermarla"
description: "SMS pumping, o traffico gonfiato artificialmente (AIT), spiegato: come funzionano gli attacchi, i segnali d'allarme e i controlli per non pagare SMS falsi."
canonical: "https://omnichannels.ai/it/blog/sms-pumping-fraud-prevention/"
language: "it"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
category: "sms"
primaryQuery: "sms pumping fraud"
keywords: ["sms pumping", "traffico gonfiato artificialmente", "frode sms otp", "prevenire frodi otp", "rilevare sms pumping", "limitare paesi di invio sms", "rate limiting otp", "irsf sms"]
published: "2026-10-09"
author: "OmniChannels.ai Editorial Team"
reviewer: "BroadNet Messaging Solutions Team"
readingMinutes: 9
answer: "L'SMS pumping, detto anche traffico gonfiato artificialmente (AIT), è una frode in cui dei bot inducono la vostra app a inviare SMS, di solito OTP, verso numeri per i quali un complice incassa una quota delle tariffe di terminazione. Pagate ogni messaggio e nessun utente reale ne trae beneficio. Fermatelo a più livelli: bloccate i bot prima di qualsiasi invio, abilitate solo i paesi che servite, limitate la frequenza per numero, prefisso, IP e dispositivo, fissate tetti di spesa e create avvisi sul calo della conversione delle verifiche."
takeaways: ["L'SMS pumping sfrutta qualsiasi funzione non autenticata che invia un SMS, come OTP di registrazione, reimpostazioni della password, inviti o moduli \"inviami il link\".", "L'attaccante guadagna dai ricavi di terminazione sui numeri di destinazione, quindi l'azienda paga anche se nessun utente reale ha richiesto i messaggi.", "Il segnale singolo più forte è la conversione delle verifiche: codici inseriti divisi per codici inviati, monitorata per paese e per prefisso numerico.", "I controlli funzionano meglio a più livelli: difesa dai bot prima dell'invio, liste di destinazioni consentite, limiti di frequenza su più dimensioni, interruttori di spesa e monitoraggio.", "MITRE ATT&CK classifica l'SMS pumping come tecnica T1496.003 e raccomanda la protezione CAPTCHA sui moduli che inviano SMS."]
faq: 
  - q: "Che cos'è la frode SMS pumping?"
    a: "L'SMS pumping, o traffico gonfiato artificialmente (AIT), è una frode in cui gli attaccanti usano bot per far inviare a un'azienda grandi quantità di SMS, di solito password monouso, verso numeri di telefono che controllano o da cui traggono profitto. Un soggetto della catena di consegna condivide con l'attaccante i ricavi di terminazione risultanti. L'azienda paga ogni messaggio mentre nessun utente reale verifica mai nulla."
  - q: "Come capisco se sono vittima di SMS pumping?"
    a: "Cercate un volume di SMS in crescita senza un aumento corrispondente di registrazioni o accessi completati. I segnali tipici sono traffico verso paesi in cui avete pochi clienti, molte richieste verso numeri con lo stesso prefisso o con cifre sequenziali, richieste a raffica da indirizzi IP che ruotano e conversione delle verifiche in crollo per un paese o un prefisso mentre gli altri restano normali."
  - q: "Il CAPTCHA ferma l'SMS pumping?"
    a: "Il CAPTCHA aumenta il costo dell'automazione e MITRE ATT&CK lo raccomanda sui moduli che inviano SMS, ma da solo non basta. Alcuni attaccanti usano servizi di risoluzione o farm di persone. Combinate una sfida anti-bot o un punteggio di rischio con liste di paesi consentiti, limiti di frequenza per numero, prefisso, IP e dispositivo e tetti di spesa, in modo che una sfida aggirata non diventi un conto illimitato."
  - q: "Devo bloccare interi paesi per fermare l'SMS pumping?"
    a: "Abilitate solo i paesi in cui avete utenti reali, invece di partire da tutto e bloccare dopo un attacco. Per i paesi abilitati con qualche frode, usate limiti più stretti, blocchi a livello di prefisso o una sfida più forte al posto di un blocco totale. Valutate le richieste di nuovi paesi con un breve processo di approvazione legato a un'esigenza di business."
  - q: "Il mio provider SMS può fermare l'SMS pumping al posto mio?"
    a: "Un provider può aiutare con restrizioni sulle destinazioni, dati di consegna e monitoraggio delle anomalie, ma non può vedere se un codice è stato usato, che è il segnale di frode più chiaro. È la vostra applicazione a controllare chi può attivare un SMS. Una prevenzione efficace richiede quindi controlli nel vostro prodotto e segnali condivisi con il provider."
  - q: "L'SMS pumping è la stessa cosa dell'IRSF?"
    a: "Sono fenomeni correlati. L'International Revenue Share Fraud (IRSF) è la pratica più ampia di generare traffico verso intervalli di numeri per i quali qualcuno incassa una quota dei ricavi di terminazione. L'SMS pumping applica quel modello agli SMS attivati da applicazioni. La GSMA raggruppa l'aumento artificiale del traffico SMS con altri rischi di bypass e frode degli SMS A2P nel proprio lavoro sulla sicurezza dell'interworking."
sources: 
  - title: "Resource Hijacking: SMS Pumping (T1496.003) — MITRE ATT&CK"
    url: "https://attack.mitre.org/techniques/T1496/003/"
  - title: "Interworking Security — GSMA"
    url: "https://www.gsma.com/solutions-and-impact/technologies/security/cybersecurity-knowledge-base/interworking-security/"
  - title: "NIST SP 800-63B: Authentication and Authenticator Management"
    url: "https://pages.nist.gov/800-63-4/sp800-63b.html"
---

# SMS pumping: come funziona la frode AIT e come fermarla

Canonical: https://omnichannels.ai/it/blog/sms-pumping-fraud-prevention/
Language: it
Publisher: OmniChannels.ai by BroadNet Technologies

Questa guida è pensata per ingegneri, product owner e team antifrode che gestiscono una qualsiasi funzione che invia SMS a un numero di telefono digitato da un utente. Approfondisce rispetto alla nostra [guida ai messaggi OTP](/it/blog/otp-authentication-messages-guide/): come sono costruiti gli attacchi di pumping, quali segnali li rivelano in anticipo e come progettare controlli che fermino il conto senza bloccare i clienti reali.

## Che cos'è l'SMS pumping e chi ne trae profitto?

L'SMS pumping, detto anche traffico gonfiato artificialmente (AIT), è una frode in cui un attaccante fa inviare alla vostra applicazione SMS verso numeri scelti in modo che qualcuno guadagni da ogni messaggio consegnato. MITRE ATT&CK lo cataloga come tecnica T1496.003, descrivendo avversari che ottengono numeri sotto il proprio controllo e poi attivano grandi volumi di messaggi verso di essi.

L'economia spiega il comportamento. Ogni SMS A2P comporta una tariffa di terminazione pagata lungo la catena di consegna fino alla rete di destinazione. Quando un soggetto di quella catena, o chi controlla un intervallo di numeri, condivide quel ricavo con l'attaccante, ogni OTP falso diventa un guadagno per lui e un costo per voi. All'attaccante non serve che i vostri messaggi arrivino a una persona reale, né che li legga.

## Come funziona un attacco di SMS pumping?

Un attacco tipico segue cinque passaggi e l'attaccante si adatta se uno di essi viene bloccato.

1. **Trovare un trigger di SMS** che funzioni senza un account autenticato: registrazione, OTP di accesso, reimpostazione della password, verifica del telefono, "inviami il link dell'app via SMS", inviti di presentazione o double opt-in di marketing.
2. **Ottenere numeri di destinazione** in intervalli che generano ricavi, spesso in paesi dove le tariffe di terminazione sono alte e in cui l'azienda bersaglio ha pochi utenti reali.
3. **Automatizzare le richieste** con script o bot, ruotando indirizzi IP, impronte dei dispositivi e user agent per eludere limiti semplici.
4. **Distribuire il carico**: molti numeri negli stessi prefissi, o numeri sequenziali, a una frequenza appena sotto qualsiasi soglia di allarme evidente.
5. **Scalare o cambiare**: se il traffico passa, aumentare il volume, spesso di notte o nei weekend quando il monitoraggio è ridotto; se viene bloccato, spostarsi su un altro paese o su un altro endpoint che invia SMS.

Qualsiasi endpoint che invia SMS e sia raggiungibile prima dell'autenticazione è un bersaglio, non solo la schermata dell'OTP.

## Quali sono i segnali d'allarme?

Il segnale più affidabile è un volume di SMS che cresce senza una crescita corrispondente di azioni completate. Monitorate questi indicatori per paese e per prefisso numerico, non solo in totale.

| Segnale | Come si presenta | Perché conta |
|---|---|---|
| Calo della conversione delle verifiche | I codici inviati salgono, quelli inseriti no | Gli utenti reali inseriscono i codici; i bot di solito no |
| Destinazioni nuove o insolite | Traffico verso paesi con pochi o nessun cliente | Gli attaccanti scelgono intervalli ad alto ricavo |
| Concentrazione per prefisso | Molte richieste a numeri che condividono le prime cifre | Gli intervalli di numeri sono assegnati in blocchi |
| Numeri sequenziali | Richieste a +XX…001, …002, …003 | Generazione automatica dei bersagli |
| Tempistica a raffica | Picchi di notte, nei weekend o a intervalli regolari da macchina | Gli attaccanti sfruttano i periodi di monitoraggio ridotto |
| Anomalie di sessione | Nessuna visualizzazione di pagina o evento dell'app prima della richiesta di SMS | I bot chiamano direttamente l'endpoint |
| Abuso del rinvio | Molti rinvii per numero, tutti non verificati | Ogni rinvio è un altro messaggio a pagamento |
| Aumenta la spesa per utente verificato | Il costo sale mentre le registrazioni restano ferme | Misura diretta dell'impatto finanziario |

Impostate le soglie di allarme come scostamenti dalla vostra base di riferimento per ogni paese ed endpoint. Un tasso di conversione normale per un mercato maturo sarà diverso da quello di un mercato appena lanciato, quindi numeri globali fissi producono falsi allarmi.

## Come si previene l'SMS pumping?

Usate controlli a più livelli, in modo che aggirarne uno non vi lasci esposti. L'obiettivo è che un attaccante riuscito possa generare solo un costo ridotto e limitato prima di essere fermato.

### Livello 1: fermare i bot prima che venga attivato un SMS

- **Sfida anti-bot o punteggio di rischio** su ogni modulo che invia SMS, come raccomanda MITRE con la protezione CAPTCHA.
- **Controlli di integrità dell'app** per le app mobili, come Google Play Integrity e Apple App Attest, in modo che le richieste debbano provenire da un'installazione autentica dell'app.
- **Richiedere un comportamento precedente**: l'endpoint dell'SMS dovrebbe accettare solo richieste da una sessione che ha caricato la pagina o la schermata dell'app, con un token valido emesso dal server.

### Livello 2: controllare le destinazioni

- **Lista dei paesi consentiti** in cui avete utenti reali. I nuovi paesi richiedono una richiesta di business esplicita.
- **Bloccare o sfidare prefissi a rischio** all'interno dei paesi consentiti quando mostrano schemi di attacco.
- **Validare i numeri** prima dell'invio: lunghezza e formato corretti per il paese e, per i flussi ad alto volume, controlli sul tipo di linea o sullo stato tramite [number lookup](/it/blog/hlr-lookup-number-validation/).

### Livello 3: limiti di frequenza su più dimensioni

Limitate per numero di telefono, per prefisso, per indirizzo IP e rete, per dispositivo e per sessione, con finestre brevi e lunghe. Un limite sul solo numero di telefono fallisce quando gli attaccanti ruotano i numeri; un limite sul solo IP fallisce quando ruotano i proxy.

### Livello 4: interruttori di spesa

- **Tetti di spesa giornalieri e orari** per paese ed endpoint.
- **Pausa automatica** di una destinazione quando il volume supera un multiplo del suo livello normale, con una persona avvisata per la verifica.

### Livello 5: progettazione della verifica

- **Un codice per sessione**, validità breve, monouso, come descrive NIST SP 800-63B per gli autenticatori out-of-band.
- **Ritardi progressivi sui rinvii** e un tetto rigido ai rinvii.
- **Offrire alternative** come link via email o template di autenticazione WhatsApp dove i vostri utenti li hanno, così l'SMS non è l'unica strada.
- **Non inviare SMS per azioni a basso rischio** che non richiedono la verifica del telefono.

### Livello 6: monitoraggio e risposta

Dashboard di conversione delle verifiche, volume e spesa per paese e prefisso, consultate ogni giorno, più un runbook che indichi chi può bloccare un paese o mettere in pausa un endpoint e con quale rapidità.

## Esempio pratico: un marketplace di Dubai sotto attacco

"Souq Rafiq" (nome di fantasia), un marketplace di annunci, invia OTP via SMS in fase di registrazione. I suoi utenti sono per lo più negli Emirati Arabi Uniti, in Arabia Saudita e in Egitto, ma il modulo di registrazione accetta qualsiasi prefisso internazionale.

- **Rilevamento:** un venerdì sera il volume di OTP verso un paese lontano triplica. La conversione delle verifiche per quel paese scende quasi a zero, mentre quella degli EAU non cambia. Le richieste puntano a numeri con un prefisso comune.
- **Risposta immediata:** l'ingegnere di reperibilità usa il runbook per disabilitare quella destinazione e aggiunge un blocco temporaneo del prefisso.
- **Rafforzamento:** il team passa a una lista di paesi consentiti, aggiunge una sfida anti-bot e un token di sessione al modulo di registrazione, introduce limiti per numero, IP e dispositivo e fissa tetti di spesa giornalieri per paese.
- **Seguito:** una settimana dopo l'attaccante sonda il modulo di reimpostazione della password, che era ancora privo di sfida. Il tetto di spesa mette in pausa il traffico in pochi minuti; il team applica gli stessi controlli anche lì e verifica ogni endpoint che invia SMS.

## Errori comuni e limiti

- **Proteggere solo la schermata dell'OTP** lasciando aperti i moduli di reimpostazione della password, di invito e di invio del link di download.
- **Consentire tutti i paesi per impostazione predefinita** perché lo fa la libreria del modulo.
- **Affidarsi a un solo controllo**, come il CAPTCHA, senza tetti.
- **Osservare solo il volume totale.** Gli attacchi si nascondono nei numeri aggregati.
- **Bloccare in modo troppo ampio** escludendo utenti genuini in viaggio o espatriati. Preferite sfide e limiti più stretti ai divieti generalizzati nei mercati che servite.
- **Limiti:** nessun controllo è completo; gli attaccanti si adattano. Le stime di perdita del settore variano molto e provengono per lo più dai fornitori, quindi misurate la vostra esposizione tramite la spesa per utente verificato invece di affidarvi alle cifre sui titoli.

## Come vi aiuta OmniChannels.ai

OmniChannels.ai supporta [OTP e notifiche transazionali](/solutions/otp-notifications/) tramite template di autenticazione WhatsApp, con OTP one-tap, zero-tap e copy-code, tramite SMS consegnati sulla connettività con gli operatori di BroadNet Technologies e tramite [voce](/channels/voice/). HLR e number lookup vi aiutano a controllare i numeri prima dell'invio, e i rapporti di consegna, con viste di sintesi e avanzate, filtri ed esportazione CSV, vi aiutano a rivedere il traffico per destinazione e stato. La fatturazione avviene tramite un portafoglio prepagato. L'invio degli OTP e i webhook di consegna sono documentati nella [REST API](/developers/) pubblica.