短信泵送欺诈：AIT的运作方式与防范措施

本指南面向运行任何“向用户输入的手机号发送短信”功能的工程师、产品负责人和风控团队。它比我们的验证码消息指南更深入：泵送攻击是如何构建的，哪些信号能及早暴露它们，以及如何设计既能止住账单、又不会拦下真实客户的控制措施。

什么是短信泵送？谁从中获利？

短信泵送，又称人为虚增流量（AIT），是攻击者让您的应用向特定号码发送短信的欺诈手段，这些号码经过挑选，使得每条被送达的消息都会让某人赚到钱。MITRE ATT&CK将其编目为技术T1496.003，描述了攻击者先取得自己控制的号码，再向这些号码触发大量消息的过程。

经济逻辑解释了这种行为。每条A2P短信都带有一笔落地费，沿着投递链路向下支付给目的地网络。当链路中的某一方，或控制某个号码段的人，把这笔收入与攻击者分成时，每条虚假验证码对他们来说是收入，对您来说是成本。攻击者并不需要您的消息送达真人，也不需要有人去阅读它们。

短信泵送攻击是如何实施的？

典型的攻击分为五步，如果其中一步被堵，攻击者会随之调整。

1. **找到一个无需登录账号即可使用的短信触发点：**注册、登录验证码、密码重置、手机验证、“把应用链接短信发给我”、推荐邀请，或营销双重opt-in。
2. **获取能带来收入的号段中的目标号码，**往往位于落地费较高、而目标企业几乎没有真实用户的国家。
3. **用脚本或机器人自动发起请求，**并轮换IP地址、设备指纹和User-Agent，以躲避简单的限制。
4. **分散负载：**在相同号段内使用大量号码，或使用连续号码，速率刚好低于任何明显的告警阈值。
5. **放大或切换：**如果流量畅通，就提高发送量，通常选在监控薄弱的夜间或周末；如果被封堵，就转向另一个国家或另一个发送短信的接口。

任何在身份验证之前就能访问的短信发送接口都是目标，而不仅仅是验证码页面。

有哪些预警信号？

最可靠的信号，是短信量增长而已完成的操作没有相应增长。请按国家和号码前缀来跟踪这些指标，而不仅仅看总量。

请以各国家、各接口自身的基线偏差来设定告警阈值。成熟市场的正常转化率，会不同于新上线的市场，所以固定的全局数字会产生误报。

如何防范短信泵送？

请分层使用各项控制措施，这样绕过其中一层不会让您完全暴露。目标是让得手的攻击者在被制止之前，只能产生一小笔有上限的成本。

第1层：在触发短信之前拦截机器人

• 在每个发送短信的表单上使用机器人挑战或风险评分，正如MITRE建议的CAPTCHA保护。
• 为移动应用提供应用完整性校验，例如Google Play Integrity和Apple App Attest，使请求必须来自真实安装的应用。
• **要求有此前的行为：**短信接口只应接受来自已加载过页面或应用界面、并持有服务器签发的有效令牌的会话的请求。

第2层：控制目的地

• 将您有真实用户的**国家加入白名单。**新增国家需要明确的业务申请。
• 在允许的国家内，对表现出攻击模式的风险号段进行封锁或挑战。
• 发送前**校验号码：**符合该国家的长度和格式；对于高并发流程，还可以通过号码查询检查线路类型或状态。

第3层：多维度限流

按手机号、号段、IP地址和网络、设备、会话进行限制，并同时设置短窗口和长窗口。只按手机号限流，在攻击者轮换号码时会失效；只按IP限流，在对方轮换代理时会失效。

第4层：花费熔断

• 按国家和接口设置每日和每小时的花费上限。
• 当发送量超过正常水平的若干倍时，自动暂停该目的地，并通知专人复核。

第5层：验证设计

• 如NIST SP 800-63B对带外验证器的描述，每个会话一个验证码、有效期短、仅可使用一次。
• 逐步拉长的重发延迟，以及重发次数的硬性上限。
• 在您的用户具备条件时，提供邮件链接或WhatsApp身份验证模板等替代方案，让短信不是唯一的途径。
• 不要为不需要手机验证的低风险操作发送短信。

第6层：监控与响应

按国家和号段建立验证转化率、发送量和花费的看板并每天复查，同时备有一份应急手册，写明谁可以封锁某个国家或暂停某个接口，以及多快能做到。

实战示例：迪拜一个分类信息平台遭遇攻击

“Souq Rafiq”（虚构）是一个分类信息平台，在注册时发送短信验证码。它的用户大多在阿联酋、沙特阿拉伯和埃及，但注册表单接受任何国家区号。

• **发现：**周五晚上，发往某个遥远国家的验证码量增长到三倍。该国家的验证转化率降到接近零，而阿联酋的转化率没有变化。请求针对的是共用同一前缀的号码。
• **即时响应：**值班工程师按应急手册禁用了该目的地，并临时增加了一个号段封锁。
• **加固：**团队改用国家白名单，在注册表单上加入机器人挑战和会话令牌，引入按号码、IP和设备的限制，并为每个国家设置每日花费上限。
• **后续：**一周后，攻击者开始试探仍然没有任何挑战的密码重置表单。花费上限在几分钟内暂停了流量；团队把同样的控制措施用到那里，并审计了每一个发送短信的接口。

常见错误与局限

• **只保护验证码页面，**而密码重置、邀请和下载链接表单依然敞开。
• 因为表单组件默认如此，就默认允许所有国家。
• **只依赖单一控制措施，**比如CAPTCHA，却没有上限。
• **只关注总发送量。**攻击会隐藏在汇总数字里。
• **封锁范围过大，**把真实的出差或外籍用户拒之门外。在您服务的市场，优先采用挑战和更严格的限制，而不是一刀切的封禁。
• **局限：**没有任何控制措施是万无一失的；攻击者会不断适应。行业损失估算差异很大，且大多来自厂商，所以请通过每个已验证用户的花费来衡量自己的风险敞口，而不是依赖醒目的数字。

OmniChannels.ai 如何提供帮助

OmniChannels.ai支持通过带一键、零点击和复制验证码的WhatsApp身份验证模板、通过BroadNet Technologies运营商直连网络送达的短信，以及语音，来发送验证码和事务类通知。HLR与号码查询可帮助您在发送前检查号码，带汇总与高级视图、筛选和CSV导出的送达报告，则帮助您按目的地和状态复盘流量。计费采用预付费钱包。验证码发送与送达Webhook的说明见公开的REST API文档。