Краткий ответ
Чтобы остановить SMS-пампинг, ограничьте, кто может запрашивать OTP-код (одноразовый код), как часто и в какие страны. Ставьте лимиты запросов на номер телефона, IP-адрес, устройство и сессию; разрешайте только страны, в которых вы работаете; добавьте защиту от ботов до отправки; замедляйте повторные отправки; и настройте оповещение, если доля реально введённых кодов падает. Попросите провайдера заблокировать диапазоны, через которые идёт злоупотребление.
Что такое SMS-пампинг
SMS-пампинг (SMS pumping), который GSMA называет искусственным завышением трафика (AIT), происходит, когда боты отправляют тысячи номеров телефонов в форму регистрации, входа или сброса пароля. Сторона на принимающем конце делит выручку с каждого сообщения с мошенником. Коды никто не вводит, а бизнес платит за каждое сообщение.
Признаки атаки
- Объём OTP растёт, а число регистраций и входов остаётся прежним.
- Трафик уходит в страны, в которых вы не работаете.
- Запросы идут с последовательных или очень похожих номеров.
- Доля завершённых верификаций (введённые коды, делённые на отправленные) падает, часто в одной-двух странах.
Какие меры внедрить
- Настройте белый список стран назначения, который соответствует вашей клиентской базе.
- Ограничьте частоту запросов на номер телефона, IP-адрес, устройство и сессию.
- Добавьте CAPTCHA или аттестацию устройства до отправки любого SMS.
- Используйте экспоненциальную задержку (exponential back-off) для запросов на повторную отправку.
- Отслеживайте долю завершённых верификаций по странам и настройте оповещения о её падении.
- Вместе с провайдером задайте лимиты расходов и оповещения по каждому направлению.
Что делать во время атаки
Ежедневно проверяйте расходы по направлениям, сразу блокируйте затронутые страны или диапазоны и попросите провайдера заблокировать их на его стороне. Перевод части пользователей на аутентификационные шаблоны (authentication) в WhatsApp или приложения-аутентификаторы снижает риск, но ни один канал не защищён полностью: голосовой OTP и flash-звонки тоже можно использовать для мошенничества с разделом выручки.