Compartir :
Introducción
Un nuevo tipo de fraude está ganando terreno en los servicios web que utilizan la verificación de identidad por SMS OTP. Se llama SMS PUMPING" o "Tráfico inflado artificialmente". Los estafadores generan grandes volúmenes de SMS desde aplicaciones móviles o sitios web mediante el envío masivo de códigos de verificación. Según un estudio de Mobilesquared, este fraude representó más del 20% del tráfico mundial SMS profesionales en 2022. Descubra cómo puede protegerse de este tipo de fraude y cómo smsmode© puede ayudar.
¿Cómo funciona el bombeo SMS ?
Los estafadores utilizan diversos métodos, incluidos los bots, para generar solicitudes falsas a través de SMS. Por ejemplo, crean cuentas falsas en una aplicación o sitio web, solicitan la actualización de contraseñas, hacen clic en "olvidé mi contraseña", etc. Aprovechan la presencia de un campo de entrada de número de teléfono para recibir un código de acceso de un solo uso (OTP), un enlace de descarga o cualquier otro tipo de contenido enviado por SMS. Si no se vigila este formulario de verificación, los estafadores pueden aprovecharlo para generar tráfico fraudulento de SMS desde su cuenta.
En la mayoría de los casos, los atacantes utilizan su bot para rellenar masivamente un campo o formulario con el fin de "validar" estas cuentas falsas, lo que desencadena el envío de un SMS.
Los SMS se envían a números sobre los que los estafadores tienen "control", lo que les permite obtener una parte de los ingresos generados por este tráfico de SMS inflado artificialmente.
Si sufre un ataque de este tipo, como propietario de la aplicación, probablemente se verá obligado a pagar la factura del envío de los mensajes. El objetivo de este fraude es ganar dinero, no robar información.
Hay dos formas de obtener beneficios de este tipo de fraude:
Caso 1
Los defraudadores se benefician de un operador/agregador cómplice, con el que han concluido un acuerdo de reparto de ingresos. SMS Generan envíos masivos de a estos operadores y se reparten los ingresos entre ellos.
Caso 2
Un operador/agregador es explotado sin saberlo por los defraudadores.
En el segundo caso, los pequeños operadores o agregadores son pagados por los grandes por el volumen de tráfico que pueden dejar pasar. Por tanto, un defraudador puede crear una empresa falsa y prometer un gran volumen de tráfico (que él mismo fabricará). Es posible que el pequeño operador o agregador no intente conocer el origen del tráfico y acabe apoyando el fraude.
Como puede verse, en ambos casos, este tipo de fraude es más probable entre los operadores más pequeños. También es frecuente que estas anomalías de tráfico se originen en destinos lejanos (de Francia, nótese), ya que algunos destinos internacionales tienen costes de entrega más elevados y, por tanto, son más rentables para los defraudadores (y más costosos para las empresas víctimas).
Pero no sólo las empresas salen perdiendo. El fraude en la autenticación OTP es un problema para todo el ecosistema del correo electrónico.
Los operadores y agregadores difícilmente pueden actuar sin la validación de sus clientes, lo que reduce el margen de actuación contra este fraude y provoca una pérdida de credibilidad y una legítima frustración para sus clientes afectados.
¿Cómo determinar si es víctima de un ataque?
Este fraude puede pasar totalmente desapercibido y sólo resultar evidente tras comparar el volumen de mensajes entregados con el número de autenticaciones reales.
Sin embargo, hay varias cosas que pueden ponerle sobre aviso:
- Un pico de mensajes enviados a números adyacentes (por ejemplo, +33611111110, +33611111111, +33611111112, +33611111113, etc.) y, por tanto, controlados por el mismo operador de red móvil.
- Un gran número de ciclos de verificación infructuosos (descenso acusado del índice de conversión).
- Un gran volumen de SMS enviados a destinos en los que tiene poca o ninguna presencia.
¿Qué se puede hacer para protegerse?
Aunque no existe una protección milagrosa contra este nuevo tipo de fraude, las empresas pueden aplicar algunas buenas prácticas de prevención y detección que pueden reducir significativamente estos ataques. La participación del cliente es esencial para combatir eficazmente el fraudeEsto se debe a que ninguna solución de los proveedores puede garantizar una eficacia del 100% contra estos ataques. smsmode© puede ayudarle a aplicar estas prácticas recomendadas y también proporcionar una serie de funciones para limitar drásticamente el fraude.
SMS La autenticación de dos factores (2FA) se ha convertido en una forma muy extendida de mejorar la seguridad. SMS Sin embargo, estos 2FA deben optimizarse y su proveedor debe garantizar un alto nivel de seguridad.
Control IP
Añade comprobaciones adicionales de los identificadores de IP, usuario o dispositivo cuando un nuevo usuario crea una cuenta (ISP/proxy/TOR/proveedor de nube, etc.). Esto permitirá identificar comportamientos sospechosos y actuar antes de que el estafador solicite el envío de un mensaje.
También puedes limitar el número de intentos de solicitud de SMS desde la misma dirección IP o el mismo dispositivo e incluir una latencia en las solicitudes, por ejemplo, un restablecimiento de contraseña por hora, etc.
Supervisión y detección de VPN
Aunque hay casos de uso legítimo para las VPN, los atacantes seguramente utilizarán una, aunque sólo sea para eludir un bloqueo de dirección IP. Existen muchas soluciones para la detección de VPN.
Detección de bots
SMSEs probable que los estafadores utilicen bots para generar un gran volumen de .Utilizar una función como CAPTCHA puede ayudar a detectar y evitar que los bots repitan las solicitudes.
Implantación de una "auditoría previa
SMS Evite que el envío de un su primer y único dispositivo de autenticación. Este tipo de proceso sin duda añade un paso a la creación y, por tanto, un poco de fricción para los usuarios legítimos, peropuede disuadir a los scripts automatizados y bots. Por ejemplo, puedes asegurarte de que tus usuarios confirman su dirección de correo electrónico antes que su número de teléfono.
Establecer límites de servidores y tarifas de servicio
Asegúrese de que su aplicación no enviará más de un mensaje cada X segundos al mismo rango o prefijo de número de móvil. Establezca límites de caudal por usuario, IP o ID de dispositivo.
Puede establecer reglas que restrinjan el número de peticiones permitidas desde una dirección IP o usuario específico durante un periodo determinado implementando módulos en su servidor web como Nginx y Apache para limitar la tasa o frecuencia de peticiones a su servidor.
Establecer límites de envío
Puede establecer varios tipos de límites en colaboración con el gestor de su cuenta smsmode©:
- Límites mensuales para evitar la sobrefacturación
- Límites diarios para añadir una capa de supervisión. smsmode© le enviará alertas por cada nivel superado.
- Limitación del número de SMS enviados por minuto como medida preventiva.
Establecer retrasos exponenciales entre los intentos de verificación
Establecer retardos exponenciales entre las solicitudes realizadas utilizando el mismo número de teléfono es una forma eficaz de evitar los envíos masivos. Puede que no impidan el fraude, pero pueden ralentizar a los atacantes lo suficiente como para que decidan que no merece la pena atacar tu aplicación.
Aplicación de autorizaciones geográficas para restringir los países de destino
Revise las zonas geográficas en las que es posible la autenticación en su aplicación y desactive todos los destinos no elegibles para sus servicios (la mayoría de los casos se dan en países en los que las marcas no están presentes).
También puede crear una lista de autorizaciones o bloqueos automáticos en función de los códigos de país del número de teléfono.
Compruebe el número de teléfono antes de enviar con smsmode©
Utilice nuestra Búsqueda API para obtener toda la información sobre el número de teléfono utilizado para la autenticación (prefijo del país, tipo de número, red, etc.).
También puede automatizar esta solicitud API. Lookup puede ayudarle a identificar al operador u operadores responsables de un tráfico excesivo (consciente o inconscientemente) y bloquearlos.
Supervise los índices de conversión de los códigos de acceso de un solo uso (OTP) y cree alertas
Cree una alerta en su herramienta de supervisión interna para la tasa de conversión de autenticación (es decir, número de PEP validados por los usuarios finales / número de PEP enviados). Si observas que esta tasa empieza a descender de forma anormal, especialmente si las solicitudes OTP proceden de un país inesperado, activa una alerta para una revisión manual.
Un análisis de los DLR recibidos de smsmode© puede permitirle bloquear el servicio si sospecha de uno o varios números.
¿Qué debe hacer si sospecha que se ha producido un fraude en su cuenta smsmode?
Envíe un correo electrónico a smsmode
con los siguientes datos:
ID de cuenta :
Canal(es) afectado(s) :
Rango de fecha y hora :
SMS País de destino para :
Descripción de la actividad :
Prueba nuestra plataforma SMS y obtén 20 créditos de prueba gratis, sin compromiso.
