Traffico gonfiato artificialmente: individuazione e difesa.

Il traffico gonfiato artificialmente è la frode che ha trasformato l'approvvigionamento di servizi di messaggistica aziendale in un settore ostile. Il meccanismo è semplice: uno script richiede verifiche OTP dal flusso di registrazione pubblico di un'azienda, indirizzandole a intervalli di numeri di cellulare in cui una parte della catena di consegna – un aggregatore, un rivenditore disonesto, occasionalmente un dipendente di un piccolo operatore – intasca una parte della tariffa di terminazione. L'azienda paga per messaggi reali, recapitati, ma completamente inutili. La portata del fenomeno non è trascurabile: una piattaforma social globale ha dichiarato pubblicamente le sue perdite annuali dovute al traffico gonfiato artificialmente a circa 60 milioni di dollari quando ha deciso di bloccarlo nel 2023, e da allora gli organismi di settore hanno classificato il traffico gonfiato artificialmente tra le principali minacce ai ricavi nella messaggistica A2P. Ogni mittente di OTP ad alto volume ora si adegua a questa pratica; ci si aspetta che ogni operatore e fornitore della catena abbia una risposta.

Come funziona la pompa

1. 1L'attaccante individua una vulnerabilità non autenticata che attiva l'invio di un SMS (ad esempio, un modulo di registrazione, un flusso di accesso tramite telefono, un endpoint per l'invio di un codice) e automatizza le richieste verso di essa.
2. 2I numeri bersaglio vengono scelti da intervalli che l'attaccante monetizza: una parte complice a valle guadagna un ricavo per ogni messaggio terminato, che viene poi condiviso con chiunque generi il volume.
3. 3I codici non vengono mai inseriti. Il tasso di conversione sugli intervalli interessati è praticamente nullo, ma ogni messaggio è fatturabile e la maggior parte viene effettivamente consegnata.
4. 4Il volume viene modellato in modo da apparire plausibile: distribuito nell'arco delle ore, mescolato con il traffico organico e ruotato tra diverse fasce orarie, proprio per eludere i falsi allarmi di picchi di traffico.

Le ragioni economiche spiegano la persistenza del fenomeno. La terminazione A2P internazionale nei corridoi interessati comporta commissioni talmente elevate che anche una minima percentuale di tangenti ripaga ampiamente i costi della botnet, e le lunghe catene di aggregatori consentono a ogni intermediario di negare l'origine delle richieste.

I segnali di rilevamento che funzionano

• Crollo della conversione per intervallo di destinazione: la caratteristica distintiva. La conversione organica OTP si attesta tra il 70% e il 95% a seconda del flusso; gli intervalli AIT sono prossimi allo zero. La conversione deve essere misurata per prefisso, per operatore, per corridoio, non come una media globale che diluisce il segnale.
• Raggruppamento per intervalli di numeri: picchi concentrati in prefissi MSISDN ristretti, spesso intervalli con poca o nessuna storia organica precedente con la base di utenti dell'azienda.
• Impronte digitali lato richiesta: tentativi di registrazione con indirizzi IP di data center, firme di browser headless, geografia impossibile (richieste da un paese, numeri da un altro senza sovrapposizione di utenti) e velocità per IP o dispositivo che non viene prodotta da un essere umano.
• Assenza totale di attività: nessuna creazione di sessione, nessuna installazione dell'app, nessuna attività successiva da parte del numero "verificato". Un utente verificato che non esiste è la causa della frode, visibile nelle analisi del prodotto.
• Anomalie HLR: numeri che non riescono a trovare i risultati della ricerca HLR, risultano permanentemente irraggiungibili o appartengono a intervalli riassegnati ai servizi anziché agli abbonati.

Il rilevamento richiede entrambi i lati del filo

L'azienda visualizza i dati di conversione e la telemetria lato richiesta; il fornitore e l'operatore visualizzano i dati di routing, il comportamento degli intervalli e i modelli tra i clienti: un intervallo AIT utilizzato su un'azienda può ricomparire su un'altra nel giro di pochi giorni. Nessuna delle due prospettive è sufficiente da sola, motivo per cui le implementazioni efficaci le integrano: l'azienda fornisce i risultati di conversione per messaggio o per intervallo, e i modelli del fornitore li correlano con i segnali a livello di routing per assegnare un punteggio alle destinazioni prima dell'invio della campagna successiva. Si tratta di un problema di machine learning nel senso stretto e utile del termine – punteggio supervisionato sui risultati di conversione etichettati – non di una parola d'ordine: il modello classifica gli intervalli di destinazione in base alla probabilità di frode e il livello di routing limita o sfida la coda.

Le difese commerciali che tengono

• Limita la frequenza e verifica innanzitutto la superficie della richiesta: limiti di velocità per IP, dispositivo e numero, e un CAPTCHA o una prova di lavoro sui flussi di reinvio. Il milione di messaggi più economici sono quelli che non vengono mai inviati.
• Limiti di destinazione nel contratto: massimali giornalieri per prefisso e per paese con interruzione automatica, in modo che un intervallo di traffico elevato si autolimiti invece di funzionare per un intero ciclo di fatturazione.
• Termini commerciali legati alle conversioni: clausole di recupero dei costi per il traffico verso intervalli con tassi di conversione inferiori a una soglia concordata, oppure prezzi a consumo per il traffico di verifica laddove il fornitore lo preveda.
• Trasparenza del percorso e diritti di audit: il diritto contrattuale di sapere quali partner a valle hanno gestito il traffico verso un intervallo contestato, trasformando la negabilità in responsabilità.
• Trattenuta sui corridoi anomali: termini di accordo che ritardano il pagamento del volume segnalato dai modelli di entrambe le parti fino all'arrivo dei dati di conversione.

Perché gli operatori dovrebbero interessarsene tanto quanto le imprese

Per un operatore è allettante considerare l'AIT come un problema di qualcun altro: il traffico è fatturabile e i ricavi derivanti dalla terminazione sono reali. Il bilancio a medio termine, tuttavia, dice il contrario. L'AIT è la causa diretta della migrazione dei maggiori mittenti di OTP verso chiamate flash, autenticazione di rete silenziosa ed e-mail; innesca contestazioni sulle fatture che compromettono i rapporti con i grossisti; e le autorità di regolamentazione interpretano sempre più spesso l'AIT tollerato come una violazione delle norme a tutela dei consumatori. Un operatore le cui rotte in entrata sono noti canali AIT sta barattando la propria quota di mercato A2P per pochi trimestri di volume gonfiato. La soluzione risiede nello stesso punto del resto della strumentazione antifrode: modelli comportamentali al confine che valutano l'A2P in entrata per intervallo e per mittente, e una rigorosa verifica dei partner sulle interconnessioni attraverso cui arriva il traffico.

Letture correlate

• Monetizzazione degli SMS A2P nel 2026: dove si verificano perdite di entrate
• Perché i messaggi OTP non vengono recapitati e come risolvere i problemi di consegna
• Percorsi diretti contro percorsi grigi negli SMS A2P
• Glossario — cos'è l'OTP, cos'è la monetizzazione A2P
• Pagine prodotto — SMS antifrode per operatori e ricerca HLR