O que é SMS pumping e por que ele custa caro
SMS pumping, também chamado de tráfego inflado artificialmente, abusa de qualquer formulário que envia SMS sob demanda: cadastro, login, redefinição de senha ou um campo de "receber link". Bots digitam números de faixas em que o atacante divide receita, pedem códigos repetidamente e nunca concluem a verificação. Cada mensagem é cobrada de você.
O ataque é difícil de ver nos relatórios de entrega porque as mensagens são entregues. Ele aparece como queda na conversão de OTP, aumento de solicitações para países que você não atende e um gasto que cresce mais rápido que os cadastros.
Como a calculadora estima a participação do pumping
Uma solicitação fraudulenta nunca termina em um usuário verificado. Se usuários reais se verificam em 80% das vezes e sua conversão observada é de 70%, cerca de 12,5% das solicitações são fraudulentas (1 menos 70 dividido por 80). A calculadora usa essa diferença, a menos que você informe uma participação medida, e limita a estimativa a 95%.
Cada solicitação envia 1 mensagem mais sua taxa de reenvio. O custo de SMS usa nossas tarifas publicadas por país, com média entre operadoras na faixa de volume de cada cenário. Você pode precificar o tráfego fraudulento pela sua distribuição por país ou pela média dos dez países mais caros da nossa tabela, já que atacantes costumam direcionar o tráfego para destinos caros.
- Todos os números são estimativas; a pontuação de risco é uma heurística, não uma probabilidade
- Conversão de usuários reais, alcance do WhatsApp e efeito dos controles são premissas que você pode mudar
- Tarifas de SMS sem impostos e não são uma proposta
Só SMS, WhatsApp primeiro e WhatsApp primeiro com controles
WhatsApp primeiro envia o código com um modelo de autenticação do WhatsApp e recorre ao SMS para usuários não alcançados. Usa a tarifa de autenticação da Meta para cada mercado. Números usados para pumping raramente têm WhatsApp, então neste modelo suas solicitações continuam caindo no SMS: WhatsApp primeiro reduz o custo de usuários reais, e são os controles que param a perda.
O terceiro cenário adiciona controles anti-pumping ao WhatsApp primeiro e remove a participação de solicitações fraudulentas que você espera barrar. O OTP por voz aparece como opção de contingência; voz tem preço sob consulta, então fale com vendas para uma proposta.
Exemplo prático: 100.000 solicitações de OTP por mês
Uma fintech envia 100.000 solicitações de OTP por mês: 50% para os Emirados Árabes Unidos, 30% para a Arábia Saudita e 20% para o Egito, com 20% de reenvios. A conversão é de 70% contra 80% de usuários reais, então cerca de 12,5% das solicitações são fraudulentas. Em só SMS pelas nossas tarifas publicadas, são cerca de US$ 1.830 por mês, dos quais cerca de US$ 229 vão para mensagens fraudulentas, e US$ 0,026 por usuário verificado.
Com WhatsApp primeiro alcançando 80% dos usuários reais, o gasto cai para cerca de US$ 1.613 e US$ 0,023 por usuário verificado. Com controles que barram 90% das solicitações fraudulentas, fica em cerca de US$ 1.379, ou US$ 0,020 por usuário verificado. Se o tráfego fraudulento fosse para os países mais caros, a perda em só SMS seria de cerca de US$ 950 por mês.
Controles que impedem o SMS pumping
O checklist abaixo dos resultados ordena esses controles pelo que suas respostas tornam mais urgente e marca os que você já tem. A medida isolada mais eficaz costuma ser permitir o envio de OTP apenas para os países que você atende.
- Lista de países permitidos (geopermissões) para envio de OTP
- Limites por número de telefone, IP, dispositivo e sessão, com espera entre reenvios
- Monitoramento da conversão por país e prefixo, com alertas e pausas automáticas
- Detecção de bots antes do botão de enviar código
- Bloqueio de números sequenciais e prefixos abusados, e alertas diários de gasto