Определение
SMS-пампинг — это мошенничество, при котором боты массово запускают отправку SMS, как правило OTP-кодов, через форму регистрации или входа компании на номера, которые контролирует злоумышленник. Он получает долю дохода от терминации, а компания платит за сообщения, которые никому не нужны.
Злоумышленник находит публичную форму, которая отправляет SMS (регистрация, вход, «отправить код повторно», сброс пароля), и вводит в неё тысячи номеров из диапазонов, где соучастник получает доход за каждое терминированное сообщение. Коды никогда не вводятся. GSMA описывает это как искусственное завышение трафика (artificial inflation of traffic): компания несёт завышенные расходы на A2P SMS без добавленной ценности.
Признаки атаки: резкий рост объёма OTP без соответствующего роста числа регистраций, трафик в страны, где вы не работаете, последовательные или похожие номера и падающая доля завершённых проверок (введённые коды, делённые на отправленные).
Способы защиты: лимиты на число запросов для номера телефона, IP-адреса, устройства и сессии; белый список стран, который соответствует географии ваших клиентов; защита от ботов (CAPTCHA или аттестация устройства) до отправки; экспоненциальная задержка при повторных отправках; оповещения по доле завершённых проверок в разрезе стран. Перенос верификации на аутентификационные шаблоны (authentication) WhatsApp или в приложения-аутентификаторы тоже снижает риск, хотя ни один канал не защищён полностью.
Пампинг сильнее всего бьёт по международным маршрутам, поэтому во время атаки ежедневно проверяйте расходы по направлениям и просите провайдера заблокировать затронутые диапазоны.
Пример
Обычный день: 5 000 OTP, введено 4 100. День атаки: 60 000 OTP, введено 4 300 — основная часть дополнительного трафика ушла в две неожиданные страны.