SMS-пампинг: как работает AIT-фрод и как его остановить

Это руководство для инженеров, владельцев продуктов и антифрод-команд, у которых есть любая функция, отправляющая SMS на номер, введённый пользователем. Оно глубже, чем наше руководство по OTP-сообщениям: как устроены атаки пампинга, какие сигналы выдают их на ранней стадии и как построить защиту, которая останавливает рост счёта и не блокирует реальных клиентов.

Что такое SMS-пампинг и кто на нём зарабатывает?

SMS-пампинг, или искусственно завышенный трафик (AIT), — это мошенничество, при котором злоумышленник заставляет ваше приложение отправлять SMS на номера, подобранные так, чтобы кто-то зарабатывал на каждом доставленном сообщении. MITRE ATT&CK описывает его как технику T1496.003: противник получает номера, которые контролирует, а затем запускает массовую отправку сообщений на них.

Экономика объясняет такое поведение. Каждое A2P SMS несёт плату за терминацию, которая передаётся по цепочке доставки до сети назначения. Когда участник цепочки или владелец диапазона номеров делится этим доходом со злоумышленником, каждый поддельный OTP-код (одноразовый код) становится доходом для него и расходом для вас. Злоумышленнику не нужно, чтобы сообщения дошли до реального человека или были прочитаны.

Как работает атака SMS-пампинга?

Типичная атака состоит из пяти шагов, и если один из них заблокирован, злоумышленник адаптируется.

1. Находит триггер SMS, который работает без авторизованной учётной записи: регистрация, OTP при входе, сброс пароля, подтверждение телефона, «отправьте ссылку на приложение по SMS», реферальные приглашения или двойное подтверждение согласия (double opt-in) в маркетинге.
2. Получает номера назначения в диапазонах, которые приносят доход, часто в странах с высокими тарифами на терминацию и с малым числом реальных пользователей целевого бизнеса.
3. Автоматизирует запросы с помощью скриптов или ботов, меняя IP-адреса, отпечатки устройств и user agent, чтобы обойти простые лимиты.
4. Распределяет нагрузку: множество номеров в одних и тех же префиксах или последовательные номера, с частотой чуть ниже очевидного порога оповещения.
5. Масштабирует или переключается: если трафик идёт, наращивает объём, часто ночью или в выходные, когда мониторинг слабее; если его блокируют, переходит на другую страну или другую точку отправки SMS.

Целью становится любая точка отправки SMS, доступная до аутентификации, а не только экран ввода OTP.

Каковы признаки атаки?

Самый надёжный сигнал — объём SMS растёт, а число завершённых действий нет. Отслеживайте эти показатели по каждой стране и каждому префиксу номера, а не только в сумме.

Задавайте пороги оповещений как отклонения от вашей собственной базовой линии для каждой страны и точки отправки. Нормальная конверсия зрелого рынка отличается от конверсии недавно запущенного, поэтому фиксированные глобальные значения дают ложные срабатывания.

Как предотвратить SMS-пампинг?

Используйте меры по уровням, чтобы обход одной из них не оставил вас без защиты. Цель в том, чтобы успешный злоумышленник мог создать лишь небольшие ограниченные расходы, прежде чем его остановят.

Уровень 1: остановите ботов до запуска SMS

• Проверка на бота или оценка риска на каждой форме, отправляющей SMS, как рекомендует MITRE с защитой CAPTCHA.
• Проверка целостности приложения для мобильных приложений, например Google Play Integrity и Apple App Attest, чтобы запросы приходили только от настоящей установки приложения.
• Требуйте предшествующего поведения: точка отправки SMS должна принимать запросы только из сессии, которая загрузила страницу или экран приложения, с действительным токеном, выданным сервером.

Уровень 2: контролируйте направления

• Список разрешённых стран, где у вас есть реальные пользователи. Новые страны подключаются только по явному бизнес-запросу.
• Блокируйте или проверяйте рискованные префиксы внутри разрешённых стран, если они демонстрируют признаки атаки.
• Валидируйте номера перед отправкой: корректная длина и формат для страны, а для потоков большого объёма — проверка типа линии или статуса через проверку номера (number lookup).

Уровень 3: лимиты по нескольким параметрам

Ограничивайте запросы по номеру телефона, по префиксу, по IP-адресу и сети, по устройству и по сессии, с короткими и длинными окнами. Лимит только по номеру не работает, если злоумышленники меняют номера; лимит только по IP не работает, если они меняют прокси.

Уровень 4: автоматические отключатели по расходам

• Суточные и почасовые лимиты расходов по каждой стране и точке отправки.
• Автоматическая приостановка направления, когда объём превышает его обычный уровень в несколько раз, с оповещением человека для проверки.

Уровень 5: дизайн верификации

• Один код на сессию, короткий срок действия, одноразовое использование, как описывает NIST SP 800-63B для внеполосных аутентификаторов.
• Растущие задержки между повторными отправками и жёсткий предел их числа.
• Предложите альтернативы, например ссылки по e-mail или аутентификационные шаблоны WhatsApp (authentication), если они есть у ваших пользователей, чтобы SMS не был единственным путём.
• Не отправляйте SMS для действий с низким риском, которым не нужна проверка телефона.

Уровень 6: мониторинг и реагирование

Дашборды конверсии верификации, объёма и расходов по странам и префиксам, которые просматриваются ежедневно, а также регламент действий, где указано, кто может заблокировать страну или приостановить точку отправки и как быстро.

Пример из практики: маркетплейс в Дубае под атакой

«Souq Rafiq» (вымышленный пример) — маркетплейс объявлений, отправляющий SMS с OTP-кодами при регистрации. Его пользователи в основном находятся в ОАЭ, Саудовской Аравии и Египте, но форма регистрации принимает любой код страны.

• Обнаружение: в пятницу вечером объём OTP в одну далёкую страну вырастает втрое. Конверсия верификации для этой страны падает почти до нуля, а в ОАЭ остаётся прежней. Запросы направлены на номера с общим префиксом.
• Немедленная реакция: дежурный инженер по регламенту отключает это направление и добавляет временную блокировку префикса.
• Усиление защиты: команда переходит на список разрешённых стран, добавляет в форму регистрации проверку на бота и токен сессии, вводит лимиты по номеру, IP и устройству и задаёт суточные лимиты расходов по каждой стране.
• Последующие действия: через неделю злоумышленник проверяет форму сброса пароля, в которой всё ещё не было проверки. Лимит расходов останавливает трафик за несколько минут; команда применяет те же меры и там и проводит аудит всех точек отправки SMS.

Типичные ошибки и ограничения

• Защита только экрана OTP, пока формы сброса пароля, приглашений и ссылок на скачивание остаются открытыми.
• Все страны разрешены по умолчанию, потому что так настроена библиотека форм.
• Опора на одну меру, например CAPTCHA, без лимитов расходов.
• Наблюдение только за общим объёмом. Атаки прячутся внутри суммарных цифр.
• Слишком широкая блокировка, из-за которой не могут войти настоящие путешествующие пользователи или экспаты. На рынках, где вы работаете, лучше использовать проверки и более жёсткие лимиты, а не полные запреты.
• Ограничения: ни одна мера не даёт полной защиты; злоумышленники адаптируются. Отраслевые оценки потерь сильно различаются и в основном исходят от вендоров, поэтому оценивайте собственный риск по расходам на одного верифицированного пользователя, а не по громким цифрам.

Как помогает OmniChannels.ai

OmniChannels.ai поддерживает OTP и транзакционные уведомления через аутентификационные шаблоны WhatsApp (authentication) с OTP-кодами в форматах one-tap, zero-tap и copy-code, через SMS, доставляемые по операторским каналам BroadNet Technologies, и через голосовой канал. HLR и проверка номера помогают проверять номера перед отправкой, а отчёты о доставке (DLR) со сводным и расширенным видом, фильтрами и экспортом в CSV позволяют анализировать трафик по направлениям и статусам. Расчёты ведутся через предоплаченный кошелёк. Отправка OTP и вебхуки доставки описаны в открытой документации REST API.