Todo lo que vale la pena saber, nada que no lo sea.
Cómo funciona un ataque de bombeo
AIT abusa de cualquier formulario web o aplicación que envíe un SMS a petición: registro, inicio de sesión, verificación telefónica, "reenvío de código". Un estafador programa bots para solicitar ese SMS miles o millones de veces, dirigiéndose a números de teléfono dentro de rangos que controla o que pasan por un intermediario en la cadena de entrega (un agregador u operador de terminación que recibe una parte de los ingresos). Cada mensaje que envía el proveedor de la marca genera una tarifa de terminación facturable que, en parte, va a parar al estafador.
- Punto de entrada: cualquier punto final no autenticado de "enviarme un SMS" (OTP, verificación, reenvío).
- Los bots generan solicitudes masivas a rangos de números controlados por estafadores o en connivencia con ellos.
- La colusión en el reparto de ingresos en la cadena de distribución convierte el volumen en ganancias.
- La marca paga; ningún usuario real recibe ningún beneficio.
La economía del fraude: por qué AIT es un negocio
AIT es un fraude de reparto de ingresos. Solo funciona cuando alguien en la cadena de terminación —un agregador deshonesto o un operador dispuesto a hacer la vista gorda— comparte la tarifa de terminación inflada con la parte que genera el tráfico. Los rangos de números internacionales de alto costo son especialmente atractivos porque cada mensaje reenviado conlleva una tarifa mayor para repartir. Las rutas grises son el conducto natural, ya que las rutas directas del operador autorizadas se supervisan y concilian.
- Requiere colusión en la cadena de terminación para monetizar.
- Los destinos de alto coste maximizan la ganancia del estafador por cada mensaje.
- Las rutas grises son el conducto preferido, pero más difícil de conciliar.
- Escala industrializada: Juniper Research estimó que la AIT conocida representaba aproximadamente el 18 % de los SMS A2P internacionales en 2023.
Lo que le cuesta a la industria
Las estimaciones varían según el alcance, así que cite con precaución. Juniper Research (publicado en marzo de 2024, con VOX Solutions) estimó el costo global de AIT y el desvío de SMS para las empresas en aproximadamente 8.500 millones de dólares en 2023, y proyectó que aún costaría alrededor de 23.400 millones de dólares para 2027. A modo de contexto, la Encuesta Global de Pérdidas por Fraude de la CFCA de 2023 estimó el fraude total en telecomunicaciones en aproximadamente 38.950 millones de dólares.
- Juniper Research: Coste aproximado para las empresas de 8.500 millones de dólares en 2023; 23.400 millones de dólares en 2027.
- CFCA 2023: fraude total en telecomunicaciones ~USD 38,95 mil millones.
- Atribuya cada número a su fuente y año; los alcances varían.
Señales de detección: cómo saber si te están manipulando
AIT deja una huella distintiva porque el tráfico está diseñado para generar comisiones, no usuarios. La señal más clara es un pico en las solicitudes de OTP/verificación que no se traducen en registros, inicios de sesión ni ninguna otra actividad posterior: alto volumen de envíos, interacción casi nula. Los números inflados a menudo no existen en la red, por lo que las confirmaciones de entrega se devuelven como no entregados con códigos de suscriptor ausente. Monitorear la conversión de envíos por destino suele ser la métrica más reveladora.
- Aumento repentino en las solicitudes de OTP sin conversión a registro/inicio de sesión.
- El tráfico se concentró repentinamente en países o rangos de números inusuales.
- La automatización moldeó los patrones de actividad según la hora del día y los picos de actividad.
- Baja tasa de éxito de DLR (códigos de suscriptor ausente) en los rangos de bombeo.
Defensas del remitente: lo que controla la marca
Dado que AIT comienza en el propio punto final de la marca, la primera línea de defensa ya está ahí. Limite la velocidad y añada CAPTCHA o detección de bots a los puntos finales de OTP. Aplique controles geográficos y de velocidad: bloquee o impugne las solicitudes de verificación a destinos que no atiende. Valide el número de destino con HLR Lookup antes de enviarlo; los números manipulados suelen fallar. Siempre que sea posible, traslade los flujos de alto riesgo a aplicaciones de autenticación o verificación silenciosa de la red, que eliminan por completo los SMS manipulados.
- Limitación de velocidad y detección de CAPTCHA/bots en los puntos finales de OTP.
- Límites geográficos/de velocidad; bloquee los destinos a los que no presta servicio.
- Prevalidación HLR y listas de bloqueo de rangos numéricos.
- Migrar los flujos de alto riesgo a la verificación de red mediante llamada instantánea o en modo silencioso.
Defensas del lado de la red: qué controlan el operador y el firewall.
En la red, un cortafuegos SMS y la monitorización de rutas detectan lo que la marca pasa por alto. El cortafuegos detecta concentraciones anormales de solicitudes OTP y anomalías en el destino, y puede limitar o bloquear flujos sospechosos, mientras que la conciliación de rutas expone las rutas grises y los rangos de alto coste de los que depende AIT. Operar a través de rutas autorizadas directamente del operador, en lugar de rutas grises, elimina el conducto preferido del estafador y proporciona confirmaciones de entrega precisas y confirmadas por el terminal, lo que facilita la detección del fraude.
- Detección de anomalías a nivel de firewall en patrones de OTP y destino.
- Conciliación de rutas para cubrir rutas grises y zonas de alto coste.
- El enrutamiento directo del operador elimina el conducto de ruta gris en el que se basa AIT.
- Los sistemas DLR precisos hacen visible el tráfico pesado que nunca se registra.
Cómo ayuda BroadNet
El producto OTP de BroadNet (/products/myotp) incluye protección AIT activada por defecto: limitación de velocidad por MSISDN, por IP y por dispositivo; prevalidación HLR; bloqueo automático de rangos MCC/MNC sin historial de éxito de entrega en su cuenta; y un modelo de detección AIT entrenado con patrones de ataque entre clientes. Combinado con el enrutamiento directo del operador, reduce el margen de maniobra para ocultar y monetizar el tráfico manipulado.
- Limitación de velocidad por MSISDN, IP y dispositivo de forma predeterminada.
- Prevalidación HLR + bloqueo automático de rangos sin entrega.
- Modelo de detección AIT basado en patrones entre clientes.
- Enrutamiento directo del operador + DLR honestos para detectar el tráfico manipulado.
Defensas AIT: lado del remitente frente al lado de la red
| Lado del remitente (la marca) | Lado de la red (operador / firewall) | |
|---|---|---|
| Limitación de velocidad + CAPTCHA en puntos finales OTP | — | |
| Listas de bloqueo por geografía/velocidad + rango numérico | ||
| Prevalidación HLR antes de enviar | — | |
| Detección de anomalías en el firewall + limitación de velocidad | — | |
| Enrutamiento directo del operador + DLR honestos | — | |
| Sacar el flujo del SMS (autenticador / verificación silenciosa) | — |