l "SMS pumping", noto anche come traffico gonfiato artificialmente (AIT), è una frode in cui dei bot inviano grandi volumi di SMS con password monouso e di verifica a intervalli di numeri controllati da una parte complice, che intasca una parte della tariffa di terminazione. Gli operatori e le aziende contrastano questo fenomeno con la limitazione della frequenza di invio, la convalida del numero di telefono e un firewall SMS basato sull'apprendimento automatico.
Come funzionano realmente l'invio di SMS e l'AIT
Ogni modulo di registrazione pubblico, richiesta di OTP o pulsante "reinvia codice" è un modo per far pagare un'azienda per l'invio di un SMS. In un attacco AIT, un truffatore automatizza questa azione migliaia di volte, indirizzando il traffico verso intervalli di numeri di destinazione che controlla, o che sono controllati da un operatore complice. Nessun essere umano legge mai il codice. Il messaggio di verifica è il prodotto venduto e l'azienda proprietaria del modulo paga per ogni singolo SMS.
Secondo un'analisi del settore della messaggistica pubblicata dal Mobile Ecosystem Forum, i messaggi OTP e di verifica rappresentano circa l'89% del traffico A2P internazionale: ecco perché le password monouso sono la principale superficie di attacco per il pumping. Il formato è universale, l'invio è a pagamento e il pagamento è automatico.
L'aspetto economico: perché esiste il pompaggio
AIT è uno schema di condivisione dei ricavi mascherato da traffico. Un operatore disonesto o complice riceve commissioni di terminazione A2P per i messaggi che arrivano sui suoi intervalli; il truffatore che genera il traffico riceve una percentuale. Poiché la commissione viene addebitata per messaggio e la frode non produce alcun costo di consegna legittimo, l'incentivo è puramente legato al volume. La tabella seguente mostra chi beneficia a ogni hop.
| Festa | Ruolo nell'attacco | Incentivo |
|---|---|---|
| Truffatore / operatore di bot | Automatizza i trigger OTP sui moduli di destinazione | Quota di compartecipazione ai ricavi derivanti dalle penali di rescissione |
| Collusione / operatore fraudolento | Termina il traffico artificiale sulle sue linee | Ricavi di terminazione A2P gonfiati |
| L'impresa (la vittima) | È il proprietario del modulo di registrazione o OTP che viene utilizzato in modo improprio | Nessuno — paga per ogni invio fraudolento |
| Operatori di transito legittimi | Instradano il traffico in buona fede | Tariffe di transito ordinarie, rischio reputazionale |
I dati macroeconomici spiegano l'urgenza. Juniper Research prevede che le perdite globali dovute alle frodi via SMS raggiungeranno circa 71 miliardi di dollari nel 2026. Si stima che, nello specifico, le frodi informatiche abbiano raggiunto il picco di circa 2,1 miliardi di dollari nel 2023 e che siano in calo con il perfezionamento dei sistemi di rilevamento, ma questo "calo" è una conseguenza dell'implementazione di misure di controllo, non di una perdita di interesse da parte degli aggressori.
Segnali di rilevamento che rivelano un'attività di pompaggio
L'AIT non riproduce il comportamento umano, e questa è la sua debolezza. Un firewall o un modello antifrode che monitora i segnali corretti separa rapidamente una base di utenti reali da una bot farm.
- Crollo delle conversioni: un picco improvviso nell'invio di codici OTP con un tasso di inserimento o convalida dei codici prossimo allo zero.
- Concentrazione delle destinazioni: raggruppamento del traffico su un piccolo insieme di intervalli di numeri, prefissi o un singolo operatore estero che non ha alcun motivo commerciale per visualizzare il volume delle verifiche.
- Tempistiche automatiche: intervalli tra le richieste troppo regolari o picchi che seguono la programmazione di un bot anziché i ritmi circadiani umani.
- Nuova comparsa nell'intervallo: il traffico di verifica arriva improvvisamente su intervalli che il tuo prodotto non aveva mai raggiunto legittimamente prima.
- Variazione del costo per conversione: la metrica che collega tutti i dati: la spesa per ogni verifica riuscita aumenta, mentre il numero di verifiche riuscite rimane invariato.
Come fermarlo: una difesa a più livelli
Nessun singolo controllo è sufficiente. Il pompaggio viene interrotto sovrapponendo i sistemi di controllo igienico a livello aziendale ai controlli di rete di livello operativo.
- Limita la frequenza di invio sia tramite modulo che tramite API, per IP, dispositivo, account e intervallo di destinazione. Limita i reinvii dell'OTP e aggiungi un backoff esponenziale in modo che un singolo utente non possa generare invii illimitati.
- Verifica il numero prima di inviare il messaggio: utilizza un servizio di verifica in tempo reale del numero (HLR) per bloccare gli intervalli non validi, non assegnati o ad alto rischio prima ancora che diventino messaggi a pagamento.
- Aggiungi un controllo alle registrazioni sospette: una semplice verifica tramite bot sul modulo elimina l'automazione su cui si basa l'AIT.
- Implementa un firewall SMS sul lato operatore: consulta il firewall SMS di BroadNet (/operators/sms-firewall), che valuta ogni invio in base alla reputazione dell'ID mittente, alla reputazione del percorso e a parametri di riferimento comportamentali.
- Esegui un rilevamento continuo delle frodi tramite machine learning: i modelli anti-frode SMS di BroadNet correlano la velocità di trasmissione, la similarità del contenuto e la sovrapposizione dei destinatari tra mittenti e percorsi per individuare gli attacchi adattivi che le regole statiche non riescono a rilevare.
Secondo le previsioni di Juniper Research, la quota di traffico A2P nazionale proveniente da reti non protette (white-routing) aumenterà dall'80,6% nel 2024 all'86,5% entro il 2029, risultato diretto dell'azione di firewall e registri che bloccano il traffico non protetto e fraudolento. Il fenomeno del "pumping" (ovvero l'utilizzo di reti non protette) si riduce quando la rete viene monitorata.
Cosa possono fare le imprese questa settimana
Non è necessario essere un operatore per difendersi. Modella prima la tua esposizione: usa lo strumento di stima dei costi OTP per vedere quanto costerebbe un picco di traffico elevato rispetto ai tuoi volumi attuali, quindi riduci i limiti di reinvio e aggiungi la convalida del numero prima dell'invio. Quando invii codici di verifica, instradali attraverso un provider che esegue firewall e rilevamento delle frodi in linea: il servizio OTP delivery di BroadNet applica entrambi prima che un messaggio lasci la piattaforma. Se desideri un riepilogo del concetto in una pagina, la nostra risposta su cosa sia l'AIT è un'ottima introduzione da condividere internamente.
Domande frequenti
Qual è la differenza tra SMS pumping e AIT?
Descrivono la stessa frode. Il termine "SMS pumping" enfatizza l'azione: automatizzare l'invio di codici OTP o di verifica per aumentare il volume di chiamate fatturabili. "Artificially Inflated Traffic (AIT)" è il termine utilizzato nel settore per indicare il traffico risultante. In pratica, le espressioni vengono utilizzate in modo intercambiabile per indicare i messaggi di verifica generati da bot il cui unico scopo è quello di generare ricavi di terminazione.
Perché le password monouso sono l'obiettivo principale delle tecniche di antiterrorismo?
Poiché i messaggi OTP e di verifica rappresentano circa l'89% del traffico A2P internazionale (Mobile Ecosystem Forum), il modulo OTP è il trigger di fatturazione più comune a cui uno sconosciuto può accedere senza autenticazione. Un pulsante pubblico "invia codice" consente a un malintenzionato di generare messaggi a pagamento su richiesta, che è esattamente il meccanismo di base necessario per uno schema di pump and dump.
È sufficiente limitare la frequenza di trasmissione per fermare l'invio massivo di SMS?
È utile, ma non sufficiente. La limitazione della frequenza rallenta un singolo attore, mentre gli attacchi distribuiti diffondono le richieste su molti IP, dispositivi e account per rimanere entro i limiti per fonte. Bloccare in modo affidabile le frodi AIT richiede la limitazione della frequenza, la convalida del numero, un firewall lato rete e un sistema di punteggio per le frodi comportamentali che correli l'attività tra le diverse fonti.
Le frodi legate all'AIT (Advertising Standards and Technology) miglioreranno o peggioreranno nel 2026?
Le perdite specifiche per le frodi AIT sono in calo rispetto al picco di circa 2,1 miliardi di dollari raggiunto nel 2023 (Juniper Research) grazie alla diffusione di firewall e registri, ma le perdite totali dovute alle frodi via SMS sono ancora previste intorno ai 71 miliardi di dollari nel 2026. Il fenomeno viene contenuto laddove sono implementati i controlli e rimane costoso dove questi non lo sono.
Riferimenti
- Juniper Research — Ricerca su frodi e sicurezza nelle telecomunicazioni: juniperresearch.com
- Mobile Ecosystem Forum — Segnalazioni di frodi e messaggistica A2P: mobileecosystemforum.com
- GSMA — Risorse sulla sicurezza della messaggistica e sulle frodi A2P: gsma.com