Resposta curta
Para barrar fraude de SMS pumping, limite quem pode disparar um OTP, com que frequência e para quais países. Limite pedidos por número, IP, dispositivo e sessão; libere só os países atendidos; use proteção antibot antes do envio; espace os reenvios; e crie alertas quando cair a taxa de códigos digitados. Peça ao fornecedor que bloqueie faixas abusadas.
O que é SMS pumping
O SMS pumping, que a GSMA chama de inflação artificial de tráfego (AIT), acontece quando bots enviam milhares de números de telefone a um formulário de cadastro, login ou redefinição de senha. Alguém na ponta de terminação divide com o fraudador a receita de cada mensagem. Os códigos nunca são digitados, e a empresa paga por todas as mensagens.
Sinais de alerta
- O volume de OTP sobe sem aumento equivalente de cadastros ou logins.
- O tráfego vai para países que você não atende.
- Os pedidos usam números sequenciais ou muito parecidos.
- A taxa de verificação (códigos digitados divididos por códigos enviados) cai, muitas vezes em um ou dois países.
Controles para implementar
- Defina uma lista de países de destino permitidos que corresponda à sua base de clientes.
- Limite a taxa por número de telefone, endereço IP, dispositivo e sessão.
- Adicione um CAPTCHA ou atestado do dispositivo antes de enviar qualquer SMS.
- Use back-off exponencial nos pedidos de reenvio.
- Acompanhe a taxa de verificação por país e crie alertas para quedas.
- Combine com seu fornecedor tetos de gasto e alertas por destino.
Durante um ataque
Revise o gasto por destino diariamente, bloqueie na hora os países ou faixas afetados e peça ao fornecedor que também os bloqueie do lado dele. Migrar parte dos usuários para modelos de autenticação do WhatsApp ou apps autenticadores reduz a exposição, mas nenhum canal é imune: OTP por voz e flash call também podem ser usados em fraudes de compartilhamento de receita.