सब कुछ जो जानना ज़रूरी है, कुछ भी नहीं जो ज़रूरी नहीं है।
पंपिंग अटैक कैसे काम करता है
AIT किसी भी ऐसे वेब या ऐप फ़ॉर्म का दुरुपयोग करता है जो मांग पर SMS भेजता है — जैसे साइन अप, लॉगिन, फ़ोन वेरिफ़िकेशन, "कोड दोबारा भेजें"। एक धोखाधड़ी करने वाला व्यक्ति हज़ारों या लाखों बार SMS का अनुरोध करने के लिए बॉट्स स्क्रिप्ट करता है, जो उन फ़ोन नंबरों को निशाना बनाते हैं जो उनके नियंत्रण में हैं या जो डिलीवरी चेन में किसी मिलीभगत करने वाले पक्ष (एक एग्रीगेटर या टर्मिनेटिंग ऑपरेटर जो रेवेन्यू शेयर लेता है) के माध्यम से रूट होते हैं। ब्रांड के प्रोवाइडर द्वारा भेजा गया प्रत्येक मैसेज एक बिल योग्य टर्मिनेशन शुल्क उत्पन्न करता है जो आंशिक रूप से धोखाधड़ी करने वाले के पास जाता है।
- एंट्री पॉइंट: कोई भी अन-ऑथेंटिकेटेड "मुझे एक SMS भेजें" एंडपॉइंट (OTP, verify, resend)।
- बॉट्स धोखाधड़ी करने वालों द्वारा नियंत्रित या मिलीभगत वाले नंबर रेंज पर भारी मात्रा में रिक्वेस्ट भेजते हैं।
- डिलीवरी चेन में रेवेन्यू-शेयर कोल्यूशन वॉल्यूम को पेआउट में बदल देता है।
- ब्रांड भुगतान करता है; किसी वास्तविक उपयोगकर्ता को कभी कोई वैल्यू नहीं मिलती।
धोखाधड़ी की इकोनॉमिक्स — क्यों AIT एक बिजनेस है
AIT एक रेवेन्यू-शेयर धोखाधड़ी है। यह तभी काम करती है जब टर्मिनेशन चेन में कोई व्यक्ति — एक बेईमान एग्रीगेटर या एक ऑपरेटर जो अनदेखी करने को तैयार हो — ट्रैफिक जेनरेट करने वाले पक्ष के साथ बढ़ा हुआ टर्मिनेशन शुल्क साझा करता है। हाई-कॉस्ट इंटरनेशनल नंबर रेंज विशेष रूप से आकर्षक होती है क्योंकि प्रत्येक पंप किए गए मैसेज में बांटने के लिए एक बड़ा शुल्क होता है। ग्रे रूट्स इसके स्वाभाविक माध्यम हैं, क्योंकि स्वीकृत ऑपरेटर-डायरेक्ट रूट्स की निगरानी और रिकॉन्साइल किया जाता है।
- इसे मोनेटाइज करने के लिए टर्मिनेटिंग चेन में मिलीभगत की आवश्यकता होती है।
- हाई-कॉस्ट डेस्टिनेशन रेंज प्रति मैसेज धोखाधड़ी करने वाले का हिस्सा बढ़ा देती है।
- ग्रे रूट्स पसंदीदा और मिलान करने में कठिन माध्यम हैं।
- इंडस्ट्रियलाइज्ड स्केल — Juniper Research ने 2023 में अंतरराष्ट्रीय A2P SMS के ~18% के बराबर ज्ञात AIT का अनुमान लगाया था।
उद्योग को इससे कितना नुकसान होता है
अनुमान कार्यक्षेत्र के अनुसार बदलते रहते हैं, इसलिए सावधानी से उल्लेख करें। Juniper Research (मार्च 2024 में प्रकाशित, VOX Solutions के साथ) ने 2023 में उद्यमों के लिए AIT और SMS ट्रैशिंग की वैश्विक लागत लगभग USD 8.5 बिलियन बताई थी, और अनुमान है कि 2027 तक यह लागत लगभग USD 23.4 बिलियन रहेगी। संदर्भ के लिए, CFCA Global Fraud Loss Survey 2023 ने कुल टेलीकॉम धोखाधड़ी का अनुमान लगभग USD 38.95 बिलियन लगाया था।
- Juniper Research: 2023 में उद्यमों के लिए ~USD 8.5B लागत; 2027 तक ~USD 23.4B।
- CFCA 2023: कुल टेलीकॉम धोखाधड़ी ~USD 38.95B.
- प्रत्येक नंबर को उसके स्रोत और वर्ष के साथ जोड़ें — स्कोप अलग-अलग होते हैं।
डिटेक्शन सिग्नल्स — कैसे पता करें कि आपके साथ पंपिंग हो रही है
AIT एक विशिष्ट पहचान छोड़ता है क्योंकि यह ट्रैफिक फीस के लिए तैयार किया जाता है, यूजर्स के लिए नहीं। सबसे स्पष्ट संकेत OTP/वेरिफिकेशन अनुरोधों में होने वाली वह उछाल है जो साइनअप, लॉगिन या किसी भी डाउनस्ट्रीम गतिविधि में नहीं बदलती — यानी हाई सेंड वॉल्यूम, लेकिन लगभग शून्य एंगेजमेंट। पंप किए गए नंबर अक्सर नेटवर्क पर मौजूद नहीं होते हैं, इसलिए डिलीवरी रिपोर्ट 'undelivered' के रूप में 'absent-subscriber' कोड के साथ आती है। डेस्टिनेशन के अनुसार 'send-to-conversion' पर नज़र रखना अक्सर सबसे महत्वपूर्ण मेट्रिक होता है।
- साइन अप/लॉगिन कन्वर्जन के बिना OTP रिक्वेस्ट में उछाल।
- ट्रैफ़िक अचानक असामान्य देशों या नंबर रेंज में केंद्रित हो जाना।
- ऑटोमेशन-आधारित समय-दर-समय और बर्स्ट पैटर्न।
- पंप किए गए रेंज पर कम DLR सफलता (absent-subscriber कोड)।
सेंडर-साइड डिफेंस — जिसे ब्रांड नियंत्रित करता है
चूंकि AIT ब्रांड के अपने एंडपॉइंट से शुरू होता है, इसलिए सुरक्षा की पहली पंक्ति वहीं है। OTP एंडपॉइंट्स पर रेट-लिमिट लागू करें और CAPTCHA या बॉट-डिटेक्शन जोड़ें। जियो और वेलोसिटी कंट्रोल लागू करें — उन गंतव्यों के लिए वेरिफिकेशन अनुरोधों को ब्लॉक या चैलेंज करें जहां आप सेवा नहीं देते हैं। भेजने से पहले HLR लुकअप के साथ डेस्टिनेशन नंबर को वैलिडेट करें; पंप किए गए नंबर अक्सर विफल हो जाते हैं। जहाँ संभव हो, हाई-रिस्क फ़्लो को ऑथेंटिकेटर ऐप्स या साइलेंट नेटवर्क वेरिफ़िकेशन पर ले जाएँ, जो पंप किए जा सकने वाले SMS को पूरी तरह से हटा देते हैं।
- OTP एंडपॉइंट्स पर रेट लिमिटिंग के साथ CAPTCHA/बॉट डिटेक्शन।
- Geo/velocity सीमाएं; उन डेस्टिनेशन को ब्लॉक करें जिन्हें आप सर्विस नहीं देते हैं।
- HLR प्री-वैलिडेशन और नंबर-रेंज ब्लॉकलिस्ट।
- हाई-रिस्क फ्लो को फ्लैश-कॉल या साइलेंट नेटवर्क वेरिफिकेशन पर माइग्रेट करें।
नेटवर्क-साइड सुरक्षा — जिसे ऑपरेटर और फ़ायरवॉल नियंत्रित करते हैं
नेटवर्क साइड पर, एक SMS फ़ायरवॉल और रूट मॉनिटरिंग उन चीज़ों को पकड़ लेते हैं जिन्हें ब्रांड मिस कर देता है। फ़ायरवॉल असामान्य OTP-request कंसंट्रेशन और डेस्टिनेशन विसंगतियों का पता लगाता है और संदिग्ध फ्लो को थ्रॉटल या ब्लॉक कर सकता है, जबकि रूट रिकॉन्सिलिएशन उन ग्रे रूट्स और हाई-कॉस्ट रेंज को उजागर करता है जिन पर AIT निर्भर करता है। ग्रे रूट्स के बजाय अधिकृत ऑपरेटर-डायरेक्ट रूट्स पर काम करने से धोखाधड़ी करने वालों का पसंदीदा माध्यम खत्म हो जाता है और सटीक, हैंडसेट-कन्फर्म डिलीवरी रिपोर्ट मिलती है जिससे पंपिंग को पहचानना आसान हो जाता है।
- OTP और डेस्टिनेशन पैटर्न पर फ़ायरवॉल-लेवल एनोमली डिटेक्शन।
- ग्रे रूट्स और हाई-कॉस्ट रेंज को उजागर करने के लिए रूट रिकॉन्सिलिएशन।
- ऑपरेटर-डायरेक्ट रूटिंग उस ग्रे-रूट माध्यम को हटा देती है जिस पर AIT निर्भर करता है।
- सटीक DLR पंप किए गए और कभी न पढ़े जाने वाले ट्रैफिक को दृश्यमान बनाते हैं।
BroadNet कैसे मदद करता है
BroadNet का OTP प्रोडक्ट (/products/myotp) डिफ़ॉल्ट रूप से AIT सुरक्षा के साथ आता है: प्रति-MSISDN, प्रति-IP और प्रति-डिवाइस रेट लिमिटिंग; HLR प्री-वैलिडेशन; आपके अकाउंट में ऐतिहासिक डिलीवरी सफलता न होने वाले MCC/MNC रेंज का ऑटो-ब्लॉक; और क्रॉस-कस्टमर अटैक पैटर्न पर प्रशिक्षित एक AIT-डिटेक्शन मॉडल। ऑपरेटर-डायरेक्ट रूटिंग के साथ मिलकर, यह उस जगह को सीमित कर देता है जहाँ पंप किए गए ट्रैफिक को छिपाया और मुद्रीकृत किया जा सकता है।
- डिफ़ॉल्ट रूप से MSISDN, IP और डिवाइस के आधार पर रेट लिमिटिंग।
- HLR प्री-वैलिडेशन + बिना डिलीवरी वाले रेंज का ऑटो-ब्लॉक।
- क्रॉस-कस्टमर पैटर्न पर आधारित AIT-डिटेक्शन मॉडल।
- ऑपरेटर-डायरेक्ट रूटिंग + पम्प किए गए ट्रैफिक को उजागर करने के लिए ईमानदार DLRs।
AIT सुरक्षा: सेंडर-साइड बनाम नेटवर्क-साइड
| सेंडर-साइड (ब्रांड) | नेटवर्क-साइड (ऑपरेटर / फ़ायरवॉल) | |
|---|---|---|
| OTP endpoints पर Rate limiting + CAPTCHA | — | |
| Geo/velocity + नंबर-रेंज ब्लॉकलिस्ट | ||
| भेजने से पहले HLR प्री-वैलिडेशन | — | |
| फ़ायरवॉल विसंगति का पता लगाना + थ्रॉटलिंग | — | |
| ऑपरेटर-डायरेक्ट रूटिंग + सटीक DLRs | — | |
| फ्लो को SMS (ऑथेंटिकेटर / साइलेंट वेरिफाई) से हटाएँ | — |