Fraude de SMS pumping: como funciona o AIT e como impedi-lo

Este guia é para engenheiros, product owners e equipes antifraude que operam qualquer recurso que envie SMS para um número digitado pelo usuário. Ele vai além do nosso guia de mensagens OTP: como os ataques de pumping são montados, quais sinais os revelam cedo e como projetar controles que interrompam a conta sem bloquear clientes reais.

O que é SMS pumping e quem lucra com ele?

O SMS pumping, também chamado de tráfego artificialmente inflado (AIT), é uma fraude em que um atacante faz sua aplicação enviar SMS a números escolhidos para que alguém ganhe dinheiro com cada mensagem entregue. O MITRE ATT&CK o cataloga como a técnica T1496.003, descrevendo adversários que obtêm números sob seu controle e depois disparam grandes volumes de mensagens para eles.

A economia explica o comportamento. Todo SMS A2P carrega uma tarifa de terminação paga ao longo da cadeia de entrega até a rede de destino. Quando uma parte dessa cadeia, ou quem controla uma faixa de numeração, divide essa receita com o atacante, cada OTP falso vira renda para ele e custo para você. O atacante não precisa que suas mensagens cheguem a uma pessoa real, nem que sejam lidas.

Como funciona um ataque de SMS pumping?

Um ataque típico segue cinco etapas, e o atacante se adapta se uma delas for bloqueada.

1. Encontrar um gatilho de SMS que funcione sem conta autenticada: cadastro, OTP de login, redefinição de senha, verificação de telefone, "envie o link do app por SMS", convites de indicação ou double opt-in de marketing.
2. Obter números de destino em faixas que geram receita, muitas vezes em países com tarifas de terminação altas e onde a empresa-alvo tem poucos usuários reais.
3. Automatizar as solicitações com scripts ou bots, alternando endereços IP, impressões digitais de dispositivo e user agents para driblar limites simples.
4. Distribuir a carga: muitos números dentro dos mesmos prefixos, ou números sequenciais, em um ritmo logo abaixo de qualquer limite de alerta óbvio.
5. Escalar ou trocar: se o tráfego flui, aumentar o volume, muitas vezes à noite ou nos fins de semana, quando o monitoramento é fraco; se for bloqueado, mudar para outro país ou outro endpoint que envia SMS.

Qualquer endpoint que envie SMS e seja acessível antes da autenticação é um alvo, não apenas a tela de OTP.

Quais são os sinais de alerta?

O sinal mais confiável é o volume de SMS crescer sem um crescimento correspondente de ações concluídas. Acompanhe esses indicadores por país e por prefixo de número, e não apenas no total.

Defina limites de alerta como desvios da sua própria linha de base para cada país e endpoint. Uma taxa de conversão normal em um mercado maduro será diferente da de um mercado recém-lançado, então números globais fixos geram falsos alarmes.

Como prevenir o SMS pumping?

Use controles em camadas, para que contornar um deles não deixe você exposto. O objetivo é que um atacante bem-sucedido só consiga gerar um custo pequeno e limitado antes de ser parado.

Camada 1: barrar bots antes de um SMS ser disparado

• Desafio contra bots ou pontuação de risco em todo formulário que envia SMS, como o MITRE recomenda com a proteção por CAPTCHA.
• Verificações de integridade do app para aplicativos móveis, como Google Play Integrity e Apple App Attest, para que as solicitações venham de uma instalação genuína do app.
• Exigir comportamento prévio: o endpoint de SMS só deve aceitar solicitações de uma sessão que carregou a página ou a tela do app, com um token válido emitido pelo servidor.

Camada 2: controlar os destinos

• Liste os países permitidos em que você tem usuários reais. Novos países exigem uma solicitação de negócio explícita.
• Bloqueie ou desafie prefixos de risco dentro de países permitidos quando apresentarem padrões de ataque.
• Valide os números antes de enviar: tamanho e formato corretos para o país e, em fluxos de alto volume, verificações de tipo de linha ou status por meio de uma consulta de número.

Camada 3: limites de taxa em várias dimensões

Limite por número de telefone, por prefixo, por endereço IP e rede, por dispositivo e por sessão, com janelas curtas e longas. Um limite apenas por número falha quando os atacantes alternam números; um limite apenas por IP falha quando eles alternam proxies.

Camada 4: disjuntores de gasto

• Tetos de gasto diários e por hora por país e por endpoint.
• Pausa automática de um destino quando o volume excede um múltiplo do nível normal, com uma pessoa acionada para revisar.

Camada 5: desenho da verificação

• Um código por sessão, validade curta, uso único, como a NIST SP 800-63B descreve para autenticadores fora de banda.
• Atrasos progressivos de reenvio e um limite máximo rígido de reenvios.
• Ofereça alternativas, como links por e-mail ou modelos de autenticação do WhatsApp onde seus usuários os tenham, para que o SMS não seja o único caminho.
• Não envie SMS para ações de baixo risco que não precisam de verificação por telefone.

Camada 6: monitoramento e resposta

Painéis de conversão de verificação, volume e gasto por país e prefixo, revisados diariamente, além de um runbook que diga quem pode bloquear um país ou pausar um endpoint e com que rapidez.

Exemplo prático: um marketplace de Dubai sob ataque

O "Souq Rafiq" (fictício), um marketplace de classificados, envia OTPs por SMS no cadastro. Seus usuários estão em sua maioria nos Emirados Árabes Unidos, na Arábia Saudita e no Egito, mas o formulário de cadastro aceita qualquer código de país.

• Detecção: em uma sexta-feira à noite, o volume de OTP para um país distante triplica. A conversão de verificação desse país cai para perto de zero, enquanto a dos Emirados permanece inalterada. As solicitações miram números com prefixo comum.
• Resposta imediata: o engenheiro de plantão usa o runbook para desativar esse destino e adiciona um bloqueio temporário de prefixo.
• Reforço: a equipe passa para uma lista de países permitidos, adiciona um desafio contra bots e um token de sessão ao formulário de cadastro, introduz limites por número, IP e dispositivo e define tetos de gasto diários por país.
• Acompanhamento: uma semana depois, o atacante testa o formulário de redefinição de senha, que ainda não tinha desafio. O teto de gasto pausa o tráfego em minutos; a equipe aplica os mesmos controles ali e audita todos os endpoints que enviam SMS.

Erros comuns e limites

• Proteger apenas a tela de OTP enquanto redefinição de senha, convites e formulários de link de download ficam abertos.
• Permitir todos os países por padrão porque a biblioteca de formulários faz isso.
• Confiar em um único controle, como o CAPTCHA, sem tetos.
• Observar apenas o volume total. Os ataques se escondem nos números agregados.
• Bloquear de forma ampla demais e deixar de fora usuários legítimos em viagem ou expatriados. Prefira desafios e limites mais rígidos a proibições gerais nos mercados que você atende.
• Limites: nenhum controle é completo; os atacantes se adaptam. As estimativas de perdas do setor variam muito e vêm sobretudo de fornecedores, então meça sua própria exposição pelo gasto por usuário verificado em vez de confiar em números de manchete.

Como a OmniChannels.ai ajuda

A OmniChannels.ai oferece OTP e notificações transacionais por modelos de autenticação do WhatsApp, com OTP one-tap, zero-tap e copy-code, por SMS entregue pela conectividade da BroadNet Technologies com as operadoras e por voz. A consulta HLR e de números ajuda a verificar os números antes do envio, e os relatórios de entrega, com visões resumida e avançada, filtros e exportação em CSV, ajudam a analisar o tráfego por destino e status. A cobrança é feita por carteira pré-paga. O envio de OTP e os webhooks de entrega estão documentados na API REST pública.