Frode tramite SMS pumping: come funziona l'AIT e come le aziende possono contrastarla

In un normale flusso OTP, un utente reale inserisce un numero di telefono, richiede un codice di verifica, riceve l'SMS e inserisce il codice per continuare. L'invio massivo di SMS utilizza lo stesso meccanismo per uno scopo diverso.

Bot o script automatizzati attivano ripetutamente la richiesta di SMS. Invece di rappresentare utenti reali, le richieste inviano messaggi a numeri di telefono selezionati o controllati per la frode. Questi numeri possono apparire in intervalli, gruppi o altri schemi che difficilmente riflettono una normale acquisizione di clienti.

Il punto cruciale è l'intento: l'attaccante non sta cercando principalmente di ottenere un codice di verifica utile. L'obiettivo è generare traffico SMS a pagamento.

Ecco perché l'invio massivo di SMS viene comunemente classificato come traffico gonfiato artificialmente. Il traffico è reale dal punto di vista del sistema di messaggistica (un'applicazione ha richiesto messaggi e la rete li ha elaborati), ma la domanda sottostante da parte degli utenti è artificiale.

I punti di accesso più vulnerabili sono i flussi automatizzati che consentono a un numero di telefono di attivare un SMS con poca difficoltà, tra cui:

- OTP e verifica dell'account

- moduli di iscrizione e registrazione

- reimpostazione della password e recupero dell'account

- flussi di codice promozionale o download dell'app

- trigger di notifica e altri endpoint di messaggistica automatizzata

L'AIT è fortemente associato al traffico di verifica, ma le aziende non dovrebbero presumere che l'OTP sia l'unico obiettivo possibile. Qualsiasi flusso di lavoro pubblico in grado di generare automaticamente traffico SMS a pagamento può diventare interessante per un malintenzionato.

Comprendere gli aspetti economici dell'attacco rende più facile interpretare i segnali di allarme.

Il proprietario dell'applicazione paga per il traffico SMS che genera. In uno schema di "SMS pumping", l'attaccante indirizza tale traffico verso destinazioni in cui le entrate derivanti dai messaggi possono avvantaggiare le parti connesse alla gamma di numeri o al percorso di telecomunicazione a valle.

In pratica, gli accordi di condivisione dei ricavi possono coinvolgere i proprietari degli intervalli di numeri, gli aggregatori di SMS, gli operatori di rete mobile virtuale (MVNO) o altri partecipanti alla catena di distribuzione. Non tutti i fornitori o operatori in una determinata tratta sono consapevolmente coinvolti; alcuni possono essere sfruttati senza essere consapevoli della frode. Un'azienda dovrebbe quindi evitare di presumere che un operatore, un aggregatore o una destinazione ripetuti siano automaticamente complici.

Dal punto di vista dell'applicazione, tuttavia, il risultato è lo stesso: paga per messaggi che non rappresentano utenti reali o una domanda legittima.

Questo spiega anche perché un attacco di pumping possa privilegiare determinate destinazioni o blocchi di numeri anziché inviare chiamate in modo casuale all'intera base clienti. Un intervallo concentrato può essere economicamente vantaggioso per il truffatore, anche se dal punto di vista del proprietario dell'applicazione appare innaturale.

L'invio massivo di SMS può apparire come un'improvvisa esplosione, ma le moderne tecniche di automazione del traffico (AIT) possono anche essere distribuite in modo sufficientemente graduale da mimetizzarsi nel traffico ordinario. Il monitoraggio dovrebbe quindi concentrarsi sulle combinazioni di segnali piuttosto che su una singola soglia fissa.

1. Intervalli di numeri raggruppati o sequenziali. Un gruppo di richieste dirette a numeri di telefono adiacenti o strettamente correlati è un forte campanello d'allarme. Gli utenti legittimi di solito presentano una maggiore variabilità. Una concentrazione in un singolo prefisso, intervallo, operatore o paese di destinazione merita di essere indagata. Tuttavia, i team non dovrebbero basarsi solo sui numeri sequenziali, poiché gli hacker più sofisticati possono randomizzare le destinazioni tra diverse famiglie di numeri.

2. Modelli di richiesta regolari o automatici. La domanda umana è solitamente irregolare. I bot possono creare comportamenti insolitamente costanti: richieste di verifica che arrivano a intervalli regolari, volumi simili che si ripetono in periodi definiti o lo stesso flusso di lavoro che viene attivato con poche variazioni. L'automazione a basso volume può essere particolarmente difficile da notare perché potrebbe non generare mai un picco improvviso e significativo.

3. Attività durante i periodi di scarsa supervisione. I tentativi di frode possono essere pianificati per i periodi in cui meno persone monitorano attivamente i dashboard operativi, come ad esempio durante la notte o in altre ore con ridotto personale. Il traffico notturno di per sé non è sospetto, ma questo schema è uno dei motivi per cui i controlli antifrode dovrebbero funzionare in modo continuativo anziché dipendere dal fatto che qualcuno noti un dashboard.

4. Traffico senza verifiche corrispondenti o risultati commerciali. Se il volume degli SMS aumenta ma le verifiche completate, le registrazioni, gli accessi, gli acquisti o altre azioni previste dagli utenti non aumentano di pari passo, il traffico merita attenzione. Un divario crescente tra i messaggi inviati e le azioni degli utenti andate a buon fine è spesso più utile del solo volume di invio.

5. Geografia, operatori o rotte inaspettati. Un improvviso aumento proveniente da paesi, prefissi o rotte che non corrispondono alla normale base clienti dell'azienda può indicare un abuso. Le anomalie geografiche diventano più significative quando si presentano insieme a un basso tasso di conversione, a numeri raggruppati o a tempistiche di richiesta insolite.

Questi segnali dovrebbero essere considerati come elementi da approfondire, non come prove in sé. I modelli AIT più recenti possono inoltre completare una porzione maggiore del normale flusso utente o distribuire il traffico su più famiglie di numeri, rendendo meno affidabile il rilevamento basato su una singola regola.

Il danno più evidente è rappresentato dal costo degli SMS diretti. Ogni richiesta fraudolenta può generare un SMS a pagamento senza che si tratti di un cliente reale.

Ma l'impatto operativo va ben oltre.

L'AIT può distorcere le metriche di acquisizione e verifica aggiungendo richieste fasulle al funnel. I tassi di conversione possono diminuire anche quando il comportamento legittimo dei clienti non è cambiato. Il costo per utente verificato può aumentare. I report di messaggistica diventano più confusi, rendendo più difficile per i team di prodotto e operativi capire cosa sta realmente accadendo.

Gli attacchi su larga scala possono anche mettere sotto pressione l'infrastruttura di verifica e l'assistenza clienti. Se un'azienda reagisce con regole di blocco troppo ampie, gli utenti legittimi potrebbero rimanere coinvolti nella risposta e subire il rifiuto delle richieste, la ricezione ritardata degli OTP o l'impossibilità di accedere alle procedure di recupero dell'account.

Ciò crea il principale compromesso tra prevenzione delle frodi e controllo: i controlli devono essere sufficientemente rigorosi da ridurre il traffico artificiale senza però trasformare la normale verifica in un processo frustrante.

Non esiste un singolo controllo in grado di bloccare in modo affidabile ogni schema di AIT. Una difesa efficace combina restrizioni a livello applicativo con il monitoraggio del traffico e i dati di messaggistica.

1. Limita la frequenza delle azioni che attivano gli SMS. I limiti di frequenza dovrebbero essere implementati prima che un malintenzionato possa generare ripetutamente traffico a pagamento. Non limitarti a considerare solo il numero di telefono. A seconda dell'applicazione, i limiti possono considerare anche l'account, la sessione, il dispositivo, l'indirizzo IP, il prefisso di destinazione o altri attributi della richiesta. Controlli multipli rendono più difficile per un bot aggirare una singola regola semplicemente ruotando i numeri.

I limiti dovrebbero inoltre rispecchiare il reale percorso dell'utente. Un cliente legittimo potrebbe aver bisogno di riprovare, ma decine di richieste di codice in un breve lasso di tempo raramente rappresentano una normale esperienza di verifica.

2. Aggiungere delle restrizioni quando il comportamento diventa rischioso. Il traffico normale può proseguire attraverso il flusso standard, mentre un comportamento sospetto può innescare un ulteriore controllo, un periodo di attesa o un limite di richieste più stringente. Questo evita di applicare controlli di emergenza a ogni cliente legittimo.

3. Monitorare il comportamento di conversione dall'invio. Un SMS di verifica dovrebbe normalmente condurre a un passo successivo significativo. Monitorare la relazione tra le richieste di OTP, la verifica del codice avvenuta con successo, le registrazioni completate e altre azioni successive.

Un picco di traffico con un alto tasso di conversione potrebbe riflettere una campagna o un evento di lancio di un prodotto reale. Un picco simile, ma con pochissime verifiche completate, racconta una storia ben diversa.

Per i flussi basati su OTP, il API di verifica TopMessage È in grado di gestire la generazione, l'invio, la convalida del codice OTP, i tentativi controllati e la reportistica di verifica all'interno di un unico processo di verifica.

4. Utilizzare i controlli sui numeri in modo selettivo. La convalida dei numeri può aiutare a identificare alcune destinazioni palesemente di scarsa qualità o inadatte, ma non deve essere considerata una soluzione AIT completa.

La convalida di base del formato non è in grado di stabilire se un numero formattato correttamente appartenga a una truffa. Informazioni più avanzate sulla raggiungibilità, sull'operatore o sul tipo di linea possono fornire segnali utili, ma questi controlli hanno un costo e gli hacker più esperti possono adattarsi.

La domanda giusta è se il controllo aggiuntivo fornisca una riduzione del rischio sufficiente per il traffico protetto. Per un'analisi più approfondita di questo compromesso, vedere Validazione del numero di telefono per gli SMS: quando i controlli preliminari all'invio sono davvero utili.

5. Limitare il traffico che non ha una ragione d'essere aziendale. Se un'azienda non ha utenti o esigenze operative in una determinata destinazione, consentire un traffico di verifica illimitato in quella zona crea un'esposizione non necessaria.

Le restrizioni geografiche, di operatore, di prefisso o di flusso di lavoro possono essere utili se basate su reali esigenze aziendali e riviste regolarmente. Evitate blocchi generalizzati permanenti basati su un singolo episodio, a meno che non siano giustificati da una valida analisi di fattibilità.

Quando si verifica un traffico sospetto, il primo compito è contenerlo senza distruggere prove utili.

Inizia identificando il flusso di lavoro che genera i messaggi. Confronta il periodo interessato con il traffico di riferimento recente, i tassi di conversione, i paesi di destinazione, i prefissi, gli operatori e i tempi di richiesta. Cerca gruppi di numeri, schemi di richiesta ricorrenti e attributi condivisi da richieste sospette.

Successivamente, riducete l'esposizione utilizzando il controllo più efficace e mirato. Ciò potrebbe significare abbassare temporaneamente i limiti delle richieste, limitare un percorso o un'area geografica, aggiungere una verifica al modulo interessato o sospendere uno specifico trigger automatico.

Prima di apportare modifiche sostanziali, è fondamentale conservare i log. I team di sicurezza, prodotto, operazioni e finanza potrebbero aver bisogno degli stessi dati in seguito per capire quando è iniziato l'attacco, quanto traffico ha generato e se le misure di mitigazione hanno funzionato.

Dopo aver contenuto l'incidente, evitate di ripristinare semplicemente la vecchia configurazione. Identificate quale controllo mancava e aggiungete il monitoraggio per la stessa modalità di guasto. L'obiettivo non è solo quello di bloccare un singolo incidente, ma di ridurre al minimo il tempo che intercorre tra il comportamento anomalo e la successiva risposta automatizzata.

I vecchi schemi di invio massivo di SMS erano spesso facili da riconoscere: picchi di traffico evidenti e blocchi di numeri simili. Questi segnali sono ancora utili, ma da soli non bastano.

Le frodi AIT possono estendersi nel tempo, verso destinazioni, operatori, dispositivi e sessioni. Gli aggressori possono anche imitare parti di comportamenti legittimi. Ciò significa che un programma di frode efficace dovrebbe confrontare diversi segnali: volume di traffico, velocità delle richieste, modelli numerici, geografia, conversione, dati storici e contesto del flusso di lavoro oggetto della frode.

I controlli più utili sono anche stratificati. I limiti di frequenza riducono la velocità con cui gli abusi possono diffondersi. L'attrito basato sul rischio rende più difficile l'automazione. I report di verifica mettono in luce il divario tra i messaggi inviati e gli utenti che effettivamente completano il processo. Le informazioni sulla destinazione e sul numero possono fornire un contesto aggiuntivo laddove la convenienza economica lo giustifichi.

La frode del "SMS pumping" è in definitiva un problema di domanda artificiale. L'azienda paga per attività di messaggistica che sembrano sufficientemente valide da essere inserite nel sistema, ma che non rappresentano un cliente reale.

La migliore difesa non è quindi una singola lista nera perfetta. È un flusso di lavoro di messaggistica che riconosce il comportamento normale dell'utente, si accorge quando il traffico smette di corrispondere a tale comportamento e può intervenire prima che le richieste artificiali si trasformino in un conto salato.