Definição
SMS pumping é uma fraude em que bots disparam grandes quantidades de SMS, geralmente OTPs, a partir do formulário de cadastro ou login de uma empresa para números controlados pelo fraudador, que fica com parte da receita de terminação enquanto a empresa paga por mensagens que ninguém usa.
O atacante encontra um formulário público que envia SMS (cadastro, login, "reenviar código", redefinição de senha) e então submete milhares de números de telefone em faixas nas quais um parceiro conivente ganha receita a cada mensagem terminada. Os códigos nunca são digitados. A GSMA descreve isso como inflação artificial de tráfego: a empresa arca com custos inflados de SMS A2P sem nenhum valor agregado.
Sinais de alerta: um aumento repentino no volume de OTPs sem aumento correspondente nos cadastros, tráfego para países que você não atende, números sequenciais ou parecidos e queda na taxa de conclusão da verificação (códigos digitados divididos por códigos enviados).
Defesas: limites de taxa por número de telefone, IP, dispositivo e sessão; uma lista de países permitidos que corresponda a onde estão seus clientes; proteção contra bots (CAPTCHA ou atestação de dispositivo) antes do envio; back-off exponencial nos reenvios; e alertas sobre a taxa de conclusão por país. Migrar a verificação para modelos de autenticação do WhatsApp ou para apps autenticadores também reduz a exposição, embora nenhum canal seja imune.
O pumping atinge principalmente as rotas internacionais, então, durante um ataque, revise diariamente o gasto por destino e peça ao seu fornecedor que bloqueie as faixas afetadas.
Exemplo
Dia normal: 5.000 OTPs, 4.100 digitados. Dia do ataque: 60.000 OTPs, 4.300 digitados — a maior parte do tráfego extra foi para dois países inesperados.