--- title: "SMS Pumping Dolandırıcılığı: AIT ve Nasıl Durdurulur" description: "SMS pumping dolandırıcılığı veya yapay şişirilmiş trafik (AIT): saldırıların işleyişi, uyarı işaretleri ve sahte SMS için ödeme yapmayı durduran katmanlı kontroller." canonical: "https://omnichannels.ai/tr/blog/sms-pumping-fraud-prevention/" language: "tr" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "sms" primaryQuery: "sms pumping fraud" keywords: ["yapay şişirilmiş trafik", "sms pumping nedir", "otp dolandırıcılığı önleme", "sms pumping tespiti", "sms coğrafi izinler", "otp hız sınırlama", "irsf sms"] published: "2026-10-09" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 9 answer: "Yapay şişirilmiş trafik (AIT) olarak da bilinen SMS pumping, botların uygulamanızı, bir suç ortağının sonlandırma ücretlerinden pay aldığı numaralara, genellikle OTP'ler olmak üzere SMS göndermeye tetiklediği bir dolandırıcılıktır. Her mesajın bedelini siz ödersiniz ve hiçbir gerçek kullanıcı yarar görmez. Katmanlar halinde durdurun: SMS gönderilmeden önce botları engelleyin, yalnızca hizmet verdiğiniz ülkelere izin verin, numara, önek, IP ve cihaza göre hız sınırlayın, harcamayı sınırlayın ve düşen doğrulama dönüşümünde uyarı verin." takeaways: ["SMS pumping, kayıt OTP'leri, parola sıfırlamaları, davetler veya 'bağlantıyı bana gönder' formları gibi SMS gönderen kimliği doğrulanmamış her özelliği istismar eder.", "Saldırgan hedef numaralardaki sonlandırma gelirinden kâr eder; dolayısıyla mesajları hiçbir gerçek kullanıcı talep etmemiş olsa da işletme öder.", "En güçlü tekil sinyal doğrulama dönüşümüdür: girilen kodların gönderilen kodlara bölümü; ülke ve numara öneki bazında izlenir.", "Kontroller katmanlı çalıştığında en iyi sonucu verir: gönderimden önce bot savunması, hedef izin listeleri, çok boyutlu hız sınırları, harcama devre kesicileri ve izleme.", "MITRE ATT&CK, SMS pumping'i T1496.003 tekniği olarak listeler ve SMS gönderen formlarda CAPTCHA koruması önerir."] faq: - q: "SMS pumping dolandırıcılığı nedir?" a: "SMS pumping ya da yapay şişirilmiş trafik (AIT), saldırganların botlar kullanarak bir işletmeye, kontrol ettikleri veya kâr sağladıkları telefon numaralarına çok sayıda SMS, genellikle tek kullanımlık şifre göndertmesi dolandırıcılığıdır. İletim zincirindeki bir taraf ortaya çıkan sonlandırma gelirini saldırganla paylaşır. İşletme her mesajın bedelini öderken hiçbir gerçek kullanıcı doğrulama yapmaz." - q: "SMS pumping'e maruz kalıp kalmadığımı nasıl anlarım?" a: "Tamamlanan kayıtlarda veya oturum açmalarda karşılığı olmayan bir SMS hacmi artışına bakın. Tipik işaretler; az müşterinizin olduğu ülkelere giden trafik, aynı öneke veya ardışık hanelere sahip numaralara çok sayıda istek, dönen IP adreslerinden gelen patlamalı istekler ve diğer ülkeler normal kalırken tek bir ülke veya önek için çöken doğrulama dönüşümüdür." - q: "CAPTCHA SMS pumping'i durdurur mu?" a: "CAPTCHA otomasyonun maliyetini artırır ve MITRE ATT&CK bunu SMS gönderen formlarda önerir, ancak tek başına yeterli değildir. Bazı saldırganlar çözüm hizmetleri veya insan çiftlikleri kullanır. Aşılan bir meydan okumanın sınırsız bir faturaya dönüşmemesi için bot meydan okumasını veya risk puanını, ülke izin listeleri, numara, önek, IP ve cihaz başına hız sınırları ve harcama üst sınırlarıyla birleştirin." - q: "SMS pumping'i durdurmak için tüm ülkeleri engellemeli miyim?" a: "Her şeyle başlayıp bir saldırıdan sonra engellemek yerine, yalnızca gerçek kullanıcılarınızın bulunduğu ülkeleri etkinleştirin. Bir miktar dolandırıcılığın olduğu etkin ülkelerde tam engel yerine daha sıkı sınırlar, önek düzeyinde engeller veya daha güçlü bir meydan okuma kullanın. Yeni ülke taleplerini iş ihtiyacına bağlı kısa bir onay sürecinden geçirin." - q: "SMS sağlayıcım SMS pumping'i benim yerime durdurabilir mi?" a: "Bir sağlayıcı hedef kısıtlamaları, iletim verisi ve anomali izlemesi konusunda yardımcı olabilir, ancak bir kodun kullanılıp kullanılmadığını göremez; bu en net dolandırıcılık sinyalidir. Kimin SMS tetikleyebileceğini uygulamanız denetler. Etkili önleme bu yüzden ürününüzdeki kontrolleri ve sağlayıcınızla paylaşılan sinyalleri gerektirir." - q: "SMS pumping, IRSF ile aynı şey mi?" a: "İlişkilidirler. Uluslararası gelir paylaşımı dolandırıcılığı (IRSF), birinin sonlandırma gelirinden pay aldığı numara aralıklarına trafik üretmenin daha geniş uygulamasıdır. SMS pumping bu modeli uygulama tetiklemeli SMS'e uygular. GSMA, birlikte çalışabilirlik güvenliği çalışmasında SMS trafiğinin yapay şişirilmesini diğer A2P SMS bypass ve dolandırıcılık riskleriyle birlikte gruplar." sources: - title: "Kaynak Ele Geçirme: SMS Pumping (T1496.003) — MITRE ATT&CK" url: "https://attack.mitre.org/techniques/T1496/003/" - title: "Birlikte Çalışabilirlik Güvenliği — GSMA" url: "https://www.gsma.com/solutions-and-impact/technologies/security/cybersecurity-knowledge-base/interworking-security/" - title: "NIST SP 800-63B: Kimlik Doğrulama ve Doğrulayıcı Yönetimi" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" --- # SMS Pumping Dolandırıcılığı: AIT ve Nasıl Durdurulur Canonical: https://omnichannels.ai/tr/blog/sms-pumping-fraud-prevention/ Language: tr Publisher: OmniChannels.ai by BroadNet Technologies Bu rehber, bir kullanıcının girdiği telefon numarasına SMS gönderen herhangi bir özellik işleten mühendisler, ürün sahipleri ve dolandırıcılık ekipleri için hazırlandı. [OTP mesajları rehberimizden](/blog/otp-authentication-messages-guide/) daha derine iner: pumping saldırılarının nasıl kurulduğu, hangi sinyallerin bunları erken ortaya çıkardığı ve gerçek müşterileri engellemeden faturayı durduran kontrollerin nasıl tasarlanacağı. ## SMS pumping nedir ve kim kâr eder? Yapay şişirilmiş trafik (AIT) olarak da bilinen SMS pumping, bir saldırganın uygulamanızı, iletilen her mesajdan birinin para kazanacağı şekilde seçilmiş numaralara SMS göndermeye zorladığı bir dolandırıcılıktır. MITRE ATT&CK bunu T1496.003 tekniği olarak kataloglar ve kontrol ettikleri numaraları edinip onlara büyük hacimde mesaj tetikleyen saldırganları tanımlar. Ekonomi, davranışı açıklar. Her A2P SMS, iletim zinciri boyunca hedef şebekeye ödenen bir sonlandırma ücreti taşır. Bu zincirdeki bir taraf ya da bir numara aralığını kontrol eden biri bu geliri saldırganla paylaştığında, her sahte OTP onlar için gelir, sizin için maliyet olur. Saldırganın mesajlarınızın gerçek bir kişiye ulaşmasına veya okunmasına ihtiyacı yoktur. ## Bir SMS pumping saldırısı nasıl işler? Tipik bir saldırı beş adımı izler ve bir adım engellenirse saldırgan uyum sağlar. 1. **Oturum açmış hesap olmadan çalışan bir SMS tetikleyicisi bulun**: kayıt, giriş OTP'si, parola sıfırlama, telefon doğrulama, "uygulama bağlantısını bana SMS ile gönder", tavsiye davetleri veya pazarlama çift opt-in'i. 2. **Gelir getiren aralıklarda hedef numaralar edinin**; genellikle sonlandırma ücretlerinin yüksek olduğu ve hedef işletmenin az gerçek kullanıcısının bulunduğu ülkelerde. 3. Basit sınırlardan kaçınmak için IP adreslerini, cihaz parmak izlerini ve kullanıcı aracılarını döndürerek betikler veya botlarla **istekleri otomatikleştirin.** 4. **Yükü yayın**: aynı öneklerde çok sayıda numara veya ardışık numaralar; belirgin herhangi bir uyarı eşiğinin hemen altında bir hızla. 5. **Ölçekleyin veya geçiş yapın**: trafik akıyorsa, genellikle izlemenin zayıf olduğu gece veya hafta sonları hacmi artırın; engellenirse başka bir ülkeye ya da başka bir SMS gönderen uç noktaya geçin. Kimlik doğrulamadan önce erişilebilen herhangi bir SMS gönderen uç nokta, yalnızca OTP ekranı değil, bir hedeftir. ## Uyarı işaretleri nelerdir? En güvenilir sinyal, SMS hacminin tamamlanan eylemlerdeki büyümeyle eşleşmeden artmasıdır. Bu göstergeleri yalnızca toplamda değil, ülke ve numara öneki bazında izleyin. | Sinyal | Neye benzer | Neden önemli | |---|---|---| | Doğrulama dönüşümü düşer | Gönderilen kodlar artar, girilen kodlar artmaz | Gerçek kullanıcılar kod girer; botlar genellikle girmez | | Yeni veya olağandışı hedefler | Az müşterinizin olduğu veya hiç olmadığı ülkelere trafik | Saldırganlar yüksek gelirli aralıkları seçer | | Önek yoğunlaşması | İlk haneleri paylaşan numaralara çok sayıda istek | Numara aralıkları bloklar halinde tahsis edilir | | Ardışık numaralar | +XX…001, …002, …003 numaralarına istekler | Hedeflerin betikle üretilmesi | | Patlama zamanlaması | Gece, hafta sonları veya sabit makine benzeri aralıklarda sıçramalar | Saldırganlar düşük izleme dönemlerini kullanır | | Oturum anomalileri | SMS isteğinden önce sayfa görüntüleme veya uygulama olayı yok | Botlar uç noktayı doğrudan çağırır | | Yeniden gönderim istismarı | Numara başına çok sayıda doğrulanmamış yeniden gönderim | Her yeniden gönderim ücretli bir mesaj daha demektir | | Doğrulanan kullanıcı başına harcama artar | Kayıtlar sabit kalırken maliyet tırmanır | Mali etkinin doğrudan ölçüsü | Uyarı eşiklerini, her ülke ve uç nokta için kendi referans değerinizden sapmalar olarak belirleyin. Olgun bir pazar için normal bir dönüşüm oranı, yeni açılmış bir pazardan farklı olacaktır; bu yüzden sabit küresel rakamlar yanlış alarmlar üretir. ## SMS pumping nasıl önlenir? Birini aşmak sizi açıkta bırakmasın diye kontrolleri katmanlar halinde kullanın. Amaç, başarılı bir saldırganın durdurulmadan önce yalnızca küçük, sınırlı bir maliyet üretebilmesidir. ### 1. Katman: SMS tetiklenmeden önce botları durdurun - MITRE'nin CAPTCHA koruması ile önerdiği gibi, SMS gönderen her formda **bot meydan okuması veya risk puanlaması.** - Mobil uygulamalar için Google Play Integrity ve Apple App Attest gibi **uygulama bütünlüğü kontrolleri**; böylece istekler gerçek bir uygulama kurulumundan gelmek zorundadır. - **Önceki davranışı zorunlu kılın**: SMS uç noktası yalnızca sayfayı veya uygulama ekranını yüklemiş, sunucunun verdiği geçerli bir token'a sahip bir oturumdan gelen istekleri kabul etmelidir. ### 2. Katman: Hedefleri denetleyin - Gerçek kullanıcılarınızın bulunduğu **ülkeleri izin listesine alın.** Yeni ülkeler açık bir iş talebi gerektirir. - İzin verilen ülkeler içinde saldırı örüntüleri gösteren **riskli önekleri engelleyin veya sınayın.** - Göndermeden önce **numaraları doğrulayın**: ülkeye uygun uzunluk ve biçim, yüksek hacimli akışlar için ayrıca bir [numara sorgulama](/blog/hlr-lookup-number-validation/) ile hat türü veya durum kontrolleri. ### 3. Katman: Birden fazla boyutta hız sınırları Kısa ve uzun pencerelerle telefon numarası, önek, IP adresi ve ağ, cihaz ve oturum başına sınırlayın. Yalnızca telefon numarası üzerinden sınır, saldırganlar numaraları döndürdüğünde başarısız olur; yalnızca IP üzerinden sınır, vekil sunucuları döndürdüklerinde başarısız olur. ### 4. Katman: Harcama devre kesicileri - Ülke ve uç nokta başına **günlük ve saatlik harcama üst sınırları.** - Hacim normal seviyesinin bir katını aştığında, incelemek üzere bir kişiye çağrı gönderilerek bir hedefin **otomatik olarak duraklatılması.** ### 5. Katman: Doğrulama tasarımı - NIST SP 800-63B'nin bant dışı doğrulayıcılar için anlattığı gibi, **oturum başına bir kod**, kısa geçerlilik, tek kullanım. - **Kademeli yeniden gönderim gecikmeleri** ve yeniden gönderimlerde kesin bir üst sınır. - SMS tek yol olmasın diye, kullanıcılarınızda mevcutsa e-posta bağlantıları veya WhatsApp kimlik doğrulama şablonları gibi **alternatifler sunun.** - Telefon doğrulaması gerektirmeyen **düşük riskli eylemler için SMS göndermeyin.** ### 6. Katman: İzleme ve yanıt Ülke ve önek başına doğrulama dönüşümü, hacim ve harcama panoları; günlük gözden geçirilir, artı bir ülkeyi kimin engelleyebileceğini veya bir uç noktayı kimin duraklatabileceğini ve bunu ne kadar hızlı yapabileceğini belirten bir el kitabı. ## Uygulamalı örnek: Saldırı altındaki bir Dubai pazaryeri Kurgusal bir ilan pazaryeri olan "Souq Rafiq", kayıtta SMS OTP gönderiyor. Kullanıcıları çoğunlukla BAE'de, Suudi Arabistan'da ve Mısır'da, ancak kayıt formu herhangi bir ülke kodunu kabul ediyor. - **Tespit:** bir cuma gecesi, uzak bir ülkeye giden OTP hacmi üç katına çıkıyor. O ülke için doğrulama dönüşümü sıfıra yaklaşırken BAE dönüşümü değişmiyor. İstekler ortak bir öneki paylaşan numaraları hedefliyor. - **Anında yanıt:** nöbetçi mühendis el kitabını kullanarak o hedefi devre dışı bırakıyor ve geçici bir önek engeli ekliyor. - **Sağlamlaştırma:** ekip bir ülke izin listesine geçiyor, kayıt formuna bir bot meydan okuması ve oturum token'ı ekliyor, numara, IP ve cihaz başına sınırlar getiriyor ve ülke başına günlük harcama üst sınırları belirliyor. - **Takip:** bir hafta sonra saldırgan, hâlâ meydan okuması olmayan parola sıfırlama formunu yokluyor. Harcama üst sınırı trafiği dakikalar içinde duraklatıyor; ekip aynı kontrolleri oraya da uyguluyor ve SMS gönderen her uç noktayı denetliyor. ## Yaygın hatalar ve sınırlar - Parola sıfırlama, davet ve indirme bağlantısı formları açık kalırken **yalnızca OTP ekranını korumak.** - Form kütüphanesi öyle yaptığı için **varsayılan olarak tüm ülkelere izin vermek.** - Üst sınır olmadan, CAPTCHA gibi **tek bir kontrole güvenmek.** - **Yalnızca toplam hacmi izlemek.** Saldırılar toplam rakamların içinde saklanır. - **Çok geniş engelleyip** seyahat eden veya gurbetçi gerçek kullanıcıları dışarıda bırakmak. Hizmet verdiğiniz pazarlarda toptan yasaklar yerine meydan okumaları ve daha sıkı sınırları tercih edin. - **Sınırlar:** hiçbir kontrol eksiksiz değildir; saldırganlar uyum sağlar. Sektör kayıp tahminleri çok farklıdır ve çoğunlukla tedarikçilerden gelir; bu yüzden manşet rakamlara güvenmek yerine kendi maruziyetinizi doğrulanan kullanıcı başına harcama üzerinden ölçün. ## OmniChannels.ai nasıl yardımcı olur? OmniChannels.ai; tek dokunuşlu, sıfır dokunuşlu ve kod kopyalama OTP'li WhatsApp kimlik doğrulama şablonları üzerinden, BroadNet Technologies'in operatör bağlantısıyla iletilen SMS üzerinden ve [sesli arama](/channels/voice/) üzerinden [OTP ve işlemsel bildirimleri](/solutions/otp-notifications/) destekler. HLR ve numara sorgulama, göndermeden önce numaraları kontrol etmenize; özet ve gelişmiş görünümleri, filtreleri ve CSV dışa aktarımı olan iletim raporları ise trafiği hedef ve duruma göre gözden geçirmenize yardımcı olur. Faturalama ön ödemeli bir cüzdan üzerinden yürür. OTP gönderimi ve iletim webhook'ları herkese açık [REST API](/developers/) içinde belgelenmiştir.