定义
短信泵（SMS pumping）是一种欺诈手段：机器人通过企业的注册或登录表单，向欺诈者控制的号码触发大量短信（通常是 OTP 验证码），欺诈者从落地收入中分成，而企业却在为无人使用的消息付费。
攻击者找到一个会发送短信的公开表单（注册、登录、“重新发送验证码”、密码重置），然后提交成千上万个号码，这些号码所在的号段中有共谋方可从每条落地消息中获利。这些验证码从未被输入。GSMA 将此称为流量虚增（artificial inflation of traffic）：企业承担了被推高的 A2P 短信费用，却没有获得任何价值。
预警信号：OTP 发送量突然上升，而注册量没有相应增长；流量流向您不提供服务的国家；号码连续或相似；以及验证完成率（已输入验证码数除以已发送验证码数）下降。
防御措施：按手机号、IP、设备和会话限速；设置与客户所在地相匹配的国家白名单；发送前进行机器人防护（CAPTCHA 或设备证明）；重发时采用指数退避；以及按国家监控验证完成率并设置告警。把验证迁移到 WhatsApp 身份验证模板或基于应用的验证器也能降低风险敞口，但没有哪个渠道能完全免疫。
短信泵对国际线路的冲击最大；遭遇攻击期间，请每天复核各目的地的支出，并请服务商封堵受影响的号段。
示例
正常的一天：5,000 条 OTP，4,100 条被输入。遭遇攻击的一天：60,000 条 OTP，4,300 条被输入——多出来的流量大部分流向了两个意料之外的国家。