# Che cos'è il pumping SMS / traffico gonfiato artificialmente (AIT)?

> Il traffico artificialmente gonfiato (AIT), noto anche come SMS pumping o frode SMS toll, è una truffa in cui dei bot inviano enormi quantità di SMS con codice monouso e di verifica dall'app o dal sito web di un marchio. I messaggi non raggiungono mai utenti reali; i truffatori, che agiscono in collusione nella catena di distribuzione, si limitano a riscuotere le tariffe di terminazione per ogni messaggio. Tu paghi la bolletta degli SMS, loro si prendono la loro parte.

- URL canonico: https://www.broadnet.me/it/answers/what-is-sms-pumping
- Lingua: it
- Ultima revisione: 2026-09-27
- Editore: BroadNet (https://www.broadnet.me)

## Come funziona un attacco di pumping

AIT sfrutta qualsiasi modulo web o app che invii un SMS su richiesta: registrazione, accesso, verifica del numero di telefono, "codice di reinvio". Un truffatore crea script per dei bot che richiedono l'invio di migliaia o milioni di SMS, prendendo di mira numeri di telefono appartenenti a intervalli controllati o instradati tramite un soggetto complice nella catena di consegna (un aggregatore o un operatore di terminazione che riceve una quota dei ricavi). Ogni messaggio inviato dal fornitore del marchio genera una tariffa di terminazione fatturabile che, in parte, finisce nelle tasche del truffatore.

- Punto di ingresso: qualsiasi endpoint non autenticato "inviami un SMS" (OTP, verifica, reinvia).
- I bot generano richieste di massa verso intervalli di numeri controllati da truffatori o in collusione.
- La collusione sulla ripartizione dei ricavi nella catena di distribuzione trasforma il volume in profitto.
- Il marchio paga; nessun utente reale riceve mai alcun valore.

## L'economia della frode: perché AIT è un'attività commerciale

L'AIT è una frode basata sulla condivisione dei ricavi. Funziona solo quando qualcuno nella catena di terminazione – un aggregatore disonesto o un operatore disposto a chiudere un occhio – condivide la tariffa di terminazione gonfiata con chi genera il traffico. Le gamme di numeri internazionali ad alto costo sono particolarmente attraenti perché ogni messaggio pompato comporta una tariffa maggiore da spartire. Le rotte grigie sono il canale naturale, poiché le rotte dirette con gli operatori, autorizzate, vengono monitorate e verificate.

- Richiede collusione nella catena di terminazione per monetizzare.
- Le destinazioni con costi elevati massimizzano il guadagno del truffatore per ogni messaggio.
- I percorsi grigi rappresentano il canale preferenziale, sebbene più difficile da conciliare.
- Scala industrializzata: Juniper Research ha stimato che l'AIT conosciuto rappresentasse circa il 18% degli SMS A2P internazionali nel 2023.

## Quanto costa al settore

Le stime variano a seconda della portata, quindi è necessario citare le fonti con attenzione. Juniper Research (pubblicato a marzo 2024, con VOX Solutions) ha stimato il costo globale delle frodi informatiche e dello spam via SMS per le aziende a circa 8,5 miliardi di dollari nel 2023, prevedendo che tale costo si attesti ancora intorno ai 23,4 miliardi di dollari entro il 2027. A titolo di confronto, il CFCA Global Fraud Loss Survey 2023 ha stimato il totale delle frodi nel settore delle telecomunicazioni a circa 38,95 miliardi di dollari.

- Juniper Research: costo per le imprese pari a circa 8,5 miliardi di dollari nel 2023; circa 23,4 miliardi di dollari entro il 2027.
- CFCA 2023: frode totale nel settore delle telecomunicazioni ~38,95 miliardi di dollari.
- Attribuisci a ciascun numero la sua fonte e l'anno di origine: gli ambiti di applicazione variano.

## Segnali di rilevamento: come capire se si sta subendo un'iniezione

L'AIT lascia un'impronta digitale distintiva perché il traffico è progettato per generare commissioni, non utenti. L'indizio più evidente è un picco di richieste OTP/di verifica che non si traducono in registrazioni, accessi o altre attività successive: volume di invio elevato, coinvolgimento quasi nullo. I numeri gonfiati spesso non esistono sulla rete, quindi le ricevute di consegna vengono restituite con codici di abbonato assente. Monitorare il rapporto tra invio e conversione per destinazione è spesso la metrica più rivelatrice.

- Impennata di richieste di OTP senza conversione in registrazioni/accessi.
- Il traffico si è improvvisamente concentrato in paesi o intervalli di numeri insoliti.
- Modelli di utilizzo basati sull'automazione, sia in base all'orario che ai picchi di attività.
- Basso tasso di successo del DLR (codici di abbonato assente) sui poligoni di tiro.

## Difese lato mittente: ciò che il marchio controlla

Poiché l'AIT inizia dall'endpoint del marchio stesso, la prima linea di difesa si trova lì. Limita la frequenza e aggiungi CAPTCHA o il rilevamento di bot agli endpoint OTP. Applica controlli geografici e di velocità: blocca o contesta le richieste di verifica verso destinazioni che non servi. Convalida il numero di destinazione con HLR Lookup prima dell'invio; i numeri manipolati spesso non funzionano. Ove possibile, sposta i flussi ad alto rischio verso app di autenticazione o verifica silenziosa della rete, che eliminano completamente gli SMS manipolati.

- Limitazione della frequenza delle richieste e rilevamento di CAPTCHA/bot sugli endpoint OTP.
- Limiti geografici/di velocità; blocca le destinazioni che non servi.
- Pre-validazione HLR e liste di blocco per intervalli di numeri.
- Migrare i flussi ad alto rischio alla verifica tramite chiamata rapida o alla verifica silenziosa della rete.

## Difese lato rete: ciò che l'operatore e il firewall controllano

Sul lato rete, un firewall SMS e il monitoraggio delle rotte individuano ciò che il marchio non riesce a rilevare. Il firewall rileva concentrazioni anomale di richieste OTP e anomalie di destinazione e può limitare o bloccare i flussi sospetti, mentre la riconciliazione delle rotte smaschera le rotte non ufficiali e le fasce di prezzo elevate su cui si basa AIT. Operare su rotte dirette autorizzate dall'operatore, anziché su rotte non ufficiali, elimina il canale preferito dai truffatori e produce ricevute di consegna accurate e confermate dal dispositivo, che rendono più facile individuare le frodi.

- Rilevamento di anomalie a livello di firewall su OTP e modelli di destinazione.
- Riconciliazione dei percorsi con i percorsi non ufficiali di superficie e le zone ad alto costo.
- L'instradamento diretto dell'operatore elimina il canale di comunicazione non ufficiale su cui si basa AIT.
- I sistemi DLR accurati rendono visibile il traffico generato in modo fraudolento e mai letto.

## Come BroadNet aiuta

Il prodotto OTP di BroadNet (/products/myotp) include di default la protezione AIT: limitazione della velocità per MSISDN, per IP e per dispositivo; pre-validazione HLR; blocco automatico degli intervalli MCC/MNC senza precedenti di successo nella consegna nel tuo account; e un modello di rilevamento AIT addestrato su schemi di attacco cross-customer. In combinazione con il routing diretto dell'operatore, riduce lo spazio in cui il traffico pompato può nascondersi ed essere monetizzato.

- Limitazione della velocità per MSISDN, IP e dispositivo per impostazione predefinita.
- Pre-validazione HLR + blocco automatico degli intervalli non recapitabili.
- Modello di rilevamento AIT basato su schemi tra clienti.
- Instradamento diretto dell'operatore + DLR onesti per smascherare il traffico manipolato.

## Difese AIT: lato mittente vs. lato rete

|  | Lato mittente (il marchio) | Lato rete (operatore / firewall) |
|---|---|---|
| Limitazione della frequenza + CAPTCHA sugli endpoint OTP | Sì | No |
| Blocklist geo/velocità + intervalli di numerazione | Sì | Sì |
| Pre-validazione HLR prima dell'invio | Sì | No |
| Rilevamento delle anomalie del firewall + limitazione della velocità | No | Sì |
| Instradamento diretto dell'operatore + DLR affidabili | No | Sì |
| Spostare il flusso fuori dagli SMS (authenticator / verifica silenziosa) | Sì | No |

## Domande frequenti

### L'AIT è la stessa cosa del "SMS pumping" e della "frode SMS toll"?

Sì, sono nomi diversi per la stessa frode. "AIT" (Artificially Inflated Traffic, traffico gonfiato artificialmente) è il termine usato nel mondo degli operatori/aggregatori; "SMS pumping" e "SMS toll fraud" sono più comuni nel settore aziendale/sviluppatori. Il meccanismo è identico.

### Chi trae effettivamente profitto dall'AIT?

Una parte collusa nella catena di terminazione — in genere un aggregatore disonesto o un operatore che riceve una quota dei ricavi — si spartisce le commissioni di terminazione gonfiate con chiunque generi il traffico bot. Ecco perché AIT si concentra sugli intervalli di traffico ad alto costo e sulle rotte grigie.

### Come faccio a sapere se la mia azienda è vittima di un attacco informatico?

Monitora il tasso di conversione per destinazione. Un'impennata nell'invio di codici OTP o di verifica che non produce registrazioni o accessi, soprattutto se concentrata in paesi insoliti con un basso tasso di ricezione, è la classica firma dell'AIT (Anti-Intrusion Treatment).

### Un CAPTCHA da solo è sufficiente a fermare l'AIT?

È utile, ma non sufficiente. I bot più sofisticati aggirano i CAPTCHA più deboli, quindi una difesa efficace integra i CAPTCHA con limitazioni di frequenza, controlli geografici/di velocità, pre-validazione HLR, blacklist di intervalli numerici e rilevamento tramite firewall di rete.

### Il passaggio a un'app di autenticazione o alla verifica silenziosa elimina l'AIT?

Per quei flussi, in larga misura sì: se non c'è un SMS da attivare, non c'è nulla da inviare. Le app di verifica silenziosa e autenticazione basate sulla rete eliminano completamente l'invio di SMS, anche se molte aziende hanno ancora bisogno degli SMS come soluzione di ripiego.

### In che modo il routing diretto dell'operatore aiuta a contrastare l'AIT?

AIT si basa su percorsi non ufficiali e intervalli di prezzo elevati, difficili da verificare, e le relative ricevute di consegna falsificate nascondono traffico manipolato. L'instradamento diretto dell'operatore convoglia il traffico su percorsi autorizzati e verificati, con ricevute accurate confermate dal dispositivo, riducendo lo spazio in cui il traffico manipolato può nascondersi.

## Correlati

- [Servizio OTP / 2FA](https://www.broadnet.me/it/products/otp)
- [Che cos'è un firewall SMS?](https://www.broadnet.me/it/answers/what-is-sms-firewall)
- [Che cos'è un percorso grigio?](https://www.broadnet.me/it/answers/what-is-grey-route-sms)
- [Tutte le risposte](https://www.broadnet.me/it/answers)
- [Cos'è la IRSF (International Revenue Share Fraud)?](https://www.broadnet.me/it/answers/what-is-irsf)
- [Cos'è l'OTP?](https://www.broadnet.me/it/answers/what-is-otp)
- [Come posso ridurre i costi dell'OTP?](https://www.broadnet.me/it/answers/how-to-reduce-otp-costs)
- [Che cos'è una ricerca HLR?](https://www.broadnet.me/it/answers/what-is-hlr-lookup)
- [Cos'è la verifica Flash Call?](https://www.broadnet.me/it/answers/what-is-flash-call-verification)
- [MyOTP](https://www.broadnet.me/it/products/myotp)
- [HLR Lookup](https://www.broadnet.me/it/products/hlr-lookup)
- [OTP service](https://www.broadnet.me/it/products/otp)