什么是 SMS pumping，为什么会让您多花钱
SMS pumping，又称流量虚增，会滥用任何按请求发送短信的入口：注册、登录、重置密码或「给我发送链接」输入框。机器人把号码填入攻击者参与收益分成的号段，反复请求验证码却从不完成验证。每一条短信都会向您计费。
由于短信确实已送达，这种攻击很难在送达报告中发现。它表现为验证码转化率下降、发往您未服务国家的请求增多，以及支出增长快于注册量。
计算器如何估算盗刷占比
盗刷请求永远不会产生已验证用户。如果真实用户的验证成功率是 80%，而您观察到的转化率为 70%，则约有 12.5% 的请求属于盗刷（1 减去 70 除以 80）。除非您输入自己测得的占比，否则计算器使用该差距，并将估算上限设为 95%。
每次请求会发送 1 加重发率条消息。短信成本采用我们公布的各国费率，并按每种方案所达到的量级档位对各运营商取平均。盗刷流量可以按您自己的国家分布计价，也可以按我们价目表中最贵十个国家的平均值计价，因为攻击者往往把流量导向高成本目的地。
- 所有数字均为估算；风险评分是启发式指标，而非概率
- 真实用户转化率、WhatsApp 触达率和风控效果都是可调整的假设
- 短信费率不含税，也不构成报价
纯短信、WhatsApp 优先与 WhatsApp 优先加风控
WhatsApp 优先是先用 WhatsApp 身份验证模板发送验证码，未触达的用户再回退到短信，并按各市场 Meta 的认证消息费率计费。用于盗刷的号码很少开通 WhatsApp，因此在该模型中它们的请求仍会回退到短信：WhatsApp 优先降低的是真实用户的成本，真正止住浪费的是风控措施。
第三种方案在 WhatsApp 优先的基础上加入防盗刷措施，并扣除您预计能拦截的盗刷请求比例。语音验证码仅作为回退选项展示；语音价格按需报价，请联系销售团队获取报价。
示例：每月 100,000 次验证码请求
某金融科技公司每月发送 100,000 次验证码请求：50% 发往阿联酋，30% 发往沙特阿拉伯，20% 发往埃及，重发率为 20%。其转化率为 70%，真实用户为 80%，因此约 12.5% 的请求是盗刷。按我们公布的费率，纯短信方案每月约 $1,830，其中约 $229 花在盗刷短信上，每位已验证用户成本为 $0.026。
WhatsApp 优先触达 80% 的真实用户后，支出降至约 $1,613，每位已验证用户 $0.023。再加入可拦截 90% 盗刷请求的风控措施，则降至约 $1,379，即每位已验证用户 $0.020。如果盗刷流量改为发往最贵的国家，纯短信方案每月的浪费将达到约 $950。
阻止 SMS pumping 的风控措施
结果下方的检查清单会根据您的回答，按紧迫程度对这些措施排序，并标出您已具备的措施。最有效的单项措施通常是只允许向您服务的国家发送验证码。
- 验证码发送的国家白名单（地域权限）
- 按手机号、IP、设备和会话限流，并设置重发冷却时间
- 按国家和号段监控转化率，设置告警和自动暂停
- 在「发送验证码」按钮前部署机器人检测
- 封禁连号和被滥用的号段，并设置每日支出告警