---
title: "短信泵送欺诈：AIT的运作方式与防范措施"
description: "短信泵送（SMS pumping）欺诈，又称人为虚增流量（AIT）：攻击如何实施、有哪些预警信号，以及机器人拦截、国家白名单、多维度限流、花费熔断等分层控制措施，帮助出海企业避免为虚假验证码短信买单，保护短信预算不被白白消耗。"
canonical: "https://omnichannels.ai/zh/blog/sms-pumping-fraud-prevention/"
language: "zh"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
category: "sms"
primaryQuery: "sms pumping fraud"
keywords: ["人为虚增流量", "短信泵送是什么", "验证码短信欺诈防范", "短信泵送检测", "短信地域白名单", "验证码限流", "IRSF短信"]
published: "2026-10-09"
author: "OmniChannels.ai Editorial Team"
reviewer: "BroadNet Messaging Solutions Team"
readingMinutes: 9
answer: "短信泵送，又称人为虚增流量（AIT），是一种欺诈手段：机器人触发您的应用，向同伙能从落地费中分成的号码发送短信（通常是验证码）。每条消息都由您付费，却没有任何真实用户受益。请分层防范：在发送任何短信之前拦截机器人，只允许您服务的国家，按号码、号段、IP和设备限流，设置花费上限，并在验证转化率下降时告警。"
takeaways: ["短信泵送会利用任何无需登录就能发送短信的功能，例如注册验证码、密码重置、邀请，或“把链接发给我”的表单。", "攻击者从目标号码的落地收入中获利，所以即使没有任何真实用户请求这些消息，企业依然要付费。", "最有力的单一信号是验证转化率：输入的验证码数除以发送的验证码数，并按国家和号码前缀来跟踪。", "各项控制措施分层使用效果最好：发送前的机器人防护、目的地白名单、多维度限流、花费熔断和监控。", "MITRE ATT&CK将短信泵送列为技术T1496.003，并建议在发送短信的表单上启用CAPTCHA保护。"]
faq: 
  - q: "什么是短信泵送欺诈？"
    a: "短信泵送，即人为虚增流量（AIT），是攻击者利用机器人，让企业向他们控制或能从中获利的手机号码发送大量短信（通常是一次性密码）的欺诈手段。投递链路上的某一方会与攻击者分享由此产生的落地收入。企业为每条消息付费，却没有任何真实用户去完成验证。"
  - q: "怎样判断自己正在遭受短信泵送？"
    a: "留意短信量上升，但完成的注册或登录并没有相应增加。典型迹象包括：发往您客户很少的国家的流量，大量请求发往号段相同或数字连续的号码，请求来自不断更换的IP地址并呈突发状，以及某个国家或号段的验证转化率崩溃，而其他国家保持正常。"
  - q: "CAPTCHA能阻止短信泵送吗？"
    a: "CAPTCHA会提高自动化的成本，MITRE ATT&CK也建议在发送短信的表单上使用，但单靠它还不够。有些攻击者会使用打码服务或人工农场。请把机器人挑战或风险评分，与国家白名单、按号码、号段、IP和设备的限流以及花费上限结合起来，这样被绕过的挑战就不会变成一张无上限的账单。"
  - q: "为了阻止短信泵送，应该封锁整个国家吗？"
    a: "只启用您有真实用户的国家，而不是一开始全部放开、遭到攻击后再封锁。对于已启用但存在一定欺诈的国家，请采用更严格的限制、号段级别的封锁或更强的挑战，而不是整体封锁。新增国家的请求应通过与业务需求挂钩的简短审批流程。"
  - q: "我的短信服务商可以替我阻止短信泵送吗？"
    a: "服务商可以在目的地限制、送达数据和异常监控方面提供帮助，但它无法看到验证码是否被使用，而这恰恰是最明确的欺诈信号。谁可以触发短信，是由您的应用控制的。因此，有效的防范既需要产品内的控制措施，也需要与服务商共享的信号。"
  - q: "短信泵送和IRSF是一回事吗？"
    a: "二者相关。国际收入分成欺诈（IRSF）是一种更广泛的做法：向某些号码段制造流量，使有人能从落地收入中分成。短信泵送则是把这一模式应用于由应用触发的短信。GSMA在其互联互通安全工作中，将短信流量的人为虚增与其他A2P短信绕行和欺诈风险归为一类。"
sources: 
  - title: "资源劫持：短信泵送（T1496.003）— MITRE ATT&CK"
    url: "https://attack.mitre.org/techniques/T1496/003/"
  - title: "互联互通安全 — GSMA"
    url: "https://www.gsma.com/solutions-and-impact/technologies/security/cybersecurity-knowledge-base/interworking-security/"
  - title: "NIST SP 800-63B：身份验证与验证器管理"
    url: "https://pages.nist.gov/800-63-4/sp800-63b.html"
---

# 短信泵送欺诈：AIT的运作方式与防范措施

Canonical: https://omnichannels.ai/zh/blog/sms-pumping-fraud-prevention/
Language: zh
Publisher: OmniChannels.ai by BroadNet Technologies

本指南面向运行任何“向用户输入的手机号发送短信”功能的工程师、产品负责人和风控团队。它比我们的[验证码消息指南](/blog/otp-authentication-messages-guide/)更深入：泵送攻击是如何构建的，哪些信号能及早暴露它们，以及如何设计既能止住账单、又不会拦下真实客户的控制措施。

## 什么是短信泵送？谁从中获利？

短信泵送，又称人为虚增流量（AIT），是攻击者让您的应用向特定号码发送短信的欺诈手段，这些号码经过挑选，使得每条被送达的消息都会让某人赚到钱。MITRE ATT&CK将其编目为技术T1496.003，描述了攻击者先取得自己控制的号码，再向这些号码触发大量消息的过程。

经济逻辑解释了这种行为。每条A2P短信都带有一笔落地费，沿着投递链路向下支付给目的地网络。当链路中的某一方，或控制某个号码段的人，把这笔收入与攻击者分成时，每条虚假验证码对他们来说是收入，对您来说是成本。攻击者并不需要您的消息送达真人，也不需要有人去阅读它们。

## 短信泵送攻击是如何实施的？

典型的攻击分为五步，如果其中一步被堵，攻击者会随之调整。

1. **找到一个无需登录账号即可使用的短信触发点：**注册、登录验证码、密码重置、手机验证、“把应用链接短信发给我”、推荐邀请，或营销双重opt-in。
2. **获取能带来收入的号段中的目标号码，**往往位于落地费较高、而目标企业几乎没有真实用户的国家。
3. **用脚本或机器人自动发起请求，**并轮换IP地址、设备指纹和User-Agent，以躲避简单的限制。
4. **分散负载：**在相同号段内使用大量号码，或使用连续号码，速率刚好低于任何明显的告警阈值。
5. **放大或切换：**如果流量畅通，就提高发送量，通常选在监控薄弱的夜间或周末；如果被封堵，就转向另一个国家或另一个发送短信的接口。

任何在身份验证之前就能访问的短信发送接口都是目标，而不仅仅是验证码页面。

## 有哪些预警信号？

最可靠的信号，是短信量增长而已完成的操作没有相应增长。请按国家和号码前缀来跟踪这些指标，而不仅仅看总量。

| 信号 | 表现 | 为什么重要 |
|---|---|---|
| 验证转化率下降 | 发送的验证码增加，输入的验证码没有增加 | 真实用户会输入验证码；机器人通常不会 |
| 新的或异常的目的地 | 发往您客户很少或没有的国家的流量 | 攻击者会选择高收益的号段 |
| 号段集中 | 大量请求发往前几位相同的号码 | 号码段是成块分配的 |
| 连续号码 | 请求发往+XX…001、…002、…003 | 脚本生成目标 |
| 突发时间规律 | 夜间、周末的激增，或呈稳定的机器节奏间隔 | 攻击者利用监控薄弱的时段 |
| 会话异常 | 在短信请求之前没有页面浏览或应用事件 | 机器人直接调用接口 |
| 重发滥用 | 每个号码有大量未验证的重发 | 每次重发都是又一条付费消息 |
| 每个已验证用户的花费上升 | 成本攀升而注册数保持平稳 | 直接衡量经济影响 |

请以各国家、各接口自身的基线偏差来设定告警阈值。成熟市场的正常转化率，会不同于新上线的市场，所以固定的全局数字会产生误报。

## 如何防范短信泵送？

请分层使用各项控制措施，这样绕过其中一层不会让您完全暴露。目标是让得手的攻击者在被制止之前，只能产生一小笔有上限的成本。

### 第1层：在触发短信之前拦截机器人

- 在每个发送短信的表单上使用**机器人挑战或风险评分**，正如MITRE建议的CAPTCHA保护。
- 为移动应用提供**应用完整性校验**，例如Google Play Integrity和Apple App Attest，使请求必须来自真实安装的应用。
- **要求有此前的行为：**短信接口只应接受来自已加载过页面或应用界面、并持有服务器签发的有效令牌的会话的请求。

### 第2层：控制目的地

- 将您有真实用户的**国家加入白名单。**新增国家需要明确的业务申请。
- 在允许的国家内，对表现出攻击模式的**风险号段进行封锁或挑战。**
- 发送前**校验号码：**符合该国家的长度和格式；对于高并发流程，还可以通过[号码查询](/blog/hlr-lookup-number-validation/)检查线路类型或状态。

### 第3层：多维度限流

按手机号、号段、IP地址和网络、设备、会话进行限制，并同时设置短窗口和长窗口。只按手机号限流，在攻击者轮换号码时会失效；只按IP限流，在对方轮换代理时会失效。

### 第4层：花费熔断

- 按国家和接口设置**每日和每小时的花费上限。**
- 当发送量超过正常水平的若干倍时，**自动暂停**该目的地，并通知专人复核。

### 第5层：验证设计

- 如NIST SP 800-63B对带外验证器的描述，**每个会话一个验证码**、有效期短、仅可使用一次。
- **逐步拉长的重发延迟**，以及重发次数的硬性上限。
- 在您的用户具备条件时，**提供邮件链接或WhatsApp身份验证模板等替代方案**，让短信不是唯一的途径。
- **不要为不需要手机验证的低风险操作发送短信。**

### 第6层：监控与响应

按国家和号段建立验证转化率、发送量和花费的看板并每天复查，同时备有一份应急手册，写明谁可以封锁某个国家或暂停某个接口，以及多快能做到。

## 实战示例：迪拜一个分类信息平台遭遇攻击

“Souq Rafiq”（虚构）是一个分类信息平台，在注册时发送短信验证码。它的用户大多在阿联酋、沙特阿拉伯和埃及，但注册表单接受任何国家区号。

- **发现：**周五晚上，发往某个遥远国家的验证码量增长到三倍。该国家的验证转化率降到接近零，而阿联酋的转化率没有变化。请求针对的是共用同一前缀的号码。
- **即时响应：**值班工程师按应急手册禁用了该目的地，并临时增加了一个号段封锁。
- **加固：**团队改用国家白名单，在注册表单上加入机器人挑战和会话令牌，引入按号码、IP和设备的限制，并为每个国家设置每日花费上限。
- **后续：**一周后，攻击者开始试探仍然没有任何挑战的密码重置表单。花费上限在几分钟内暂停了流量；团队把同样的控制措施用到那里，并审计了每一个发送短信的接口。

## 常见错误与局限

- **只保护验证码页面，**而密码重置、邀请和下载链接表单依然敞开。
- **因为表单组件默认如此，就默认允许所有国家。**
- **只依赖单一控制措施，**比如CAPTCHA，却没有上限。
- **只关注总发送量。**攻击会隐藏在汇总数字里。
- **封锁范围过大，**把真实的出差或外籍用户拒之门外。在您服务的市场，优先采用挑战和更严格的限制，而不是一刀切的封禁。
- **局限：**没有任何控制措施是万无一失的；攻击者会不断适应。行业损失估算差异很大，且大多来自厂商，所以请通过每个已验证用户的花费来衡量自己的风险敞口，而不是依赖醒目的数字。

## OmniChannels.ai 如何提供帮助

OmniChannels.ai支持通过带一键、零点击和复制验证码的WhatsApp身份验证模板、通过BroadNet Technologies运营商直连网络送达的短信，以及[语音](/channels/voice/)，来发送[验证码和事务类通知](/solutions/otp-notifications/)。HLR与号码查询可帮助您在发送前检查号码，带汇总与高级视图、筛选和CSV导出的送达报告，则帮助您按目的地和状态复盘流量。计费采用预付费钱包。验证码发送与送达Webhook的说明见公开的[REST API](/developers/)文档。