简短回答
要阻止短信盗刷欺诈，需限制谁能触发 OTP、触发频率以及发往哪些国家。按手机号、IP、设备和会话限流；只允许发往您服务的国家；发送前加入机器人防护；放慢重发速度；并在实际输入验证码的比例下降时发出告警。同时请服务商封堵被滥用的号段。
什么是短信盗刷
短信盗刷（SMS pumping),GSMA 称之为流量人为虚增（AIT),指机器人向注册、登录或重置表单提交成千上万个手机号。终端侧的某一方与欺诈者分成每条短信的收入。验证码从未被输入，企业却要为每条短信付费。
预警信号
- OTP 发送量上升，但注册或登录量没有相应增长。
- 流量流向您并不服务的国家。
- 请求使用连续或高度相似的号码。
- 验证完成率（已输入验证码数除以已发送验证码数）下降，常常集中在一两个国家。
应部署的管控措施
- 设置与客户群相匹配的目的地国家白名单。
- 按手机号、IP 地址、设备和会话限流。
- 在发送任何短信之前加入 CAPTCHA 或设备校验。
- 对重发请求采用指数退避。
- 按国家跟踪完成率，并在下降时告警。
- 与服务商一起按目的地设置消费上限和提醒。
遭遇攻击时
每天复核各目的地的支出，立即封堵受影响的国家或号段，并请服务商在其侧同步封堵。把部分用户转到 WhatsApp 身份验证模板或身份验证器 App 可以降低风险，但没有任何渠道能完全免疫；语音 OTP 和闪呼同样可能被用于分成欺诈。