必要な情報はすべて、不要な情報は一切なし
パンピング攻撃の仕組み
AITは、オンデマンドでSMSを送信するあらゆるWebまたはアプリのフォーム（新規登録、ログイン、電話番号認証、「コードの再送」など）を悪用します。詐欺師はボットをスクリプト化して、自身が管理する番号範囲や、配信チェーン内の共謀者（収益を分配するアグリゲーターや着信通信事業者）を経由する番号をターゲットに、そのSMSを数千、数百万回と要求します。ブランドのプロバイダーが送信するメッセージごとに、課金対象となる着信手数料が発生し、その一部が詐欺師へと流れる仕組みになっています。
- エントリーポイント：認証されていない「SMSを送信」エンドポイント（OTP、検証、再送）。
- ボットが、詐欺師が制御する番号範囲や共謀している番号範囲に対して大量のリクエストを生成します。
- 配信チェーンにおけるレベニューシェアの結託により、ボリュームを支払いに変換します。
- ブランドが費用を支払い、実際のユーザーには一切の価値が届きません。
不正の経済学 — なぜAITがビジネスとなるのか
AITはレベニューシェア型の詐欺です。これは、着信チェーン内の誰か（不正なアグリゲーターや、黙認する通信事業者など）が、水増しされた着信料金をトラフィックを生成している当事者と分配する場合にのみ成立します。高コストな国際電話番号帯域は、パンピングされたメッセージ1通あたりの分配手数料が大きくなるため、特に標的になりやすい傾向があります。承認された通信事業者との直接接続ルートは監視および照合が行われるため、グレールートが自然な経路となります。
- 収益化には、着信チェーンにおける共謀が必要です。
- 高コストな送信先範囲は、メッセージ1通あたりの詐欺師の取り分を最大化させます。
- グレールートは、好まれる一方で、照合が困難な経路です。
- 産業規模への拡大 — Juniper Researchの推計によると、2023年における国際A2P SMSの既知のAITは約18%に達しました。
業界への損失額
見積もりは範囲によって異なるため、引用の際はご注意ください。Juniper Research（2024年3月発表、VOX Solutionsとの共同調査）によると、企業におけるAITおよびSMSによる被害の世界的コストは、2023年には約85億米ドルに達しており、2027年までには約234億米ドルにまで増加すると予測されています。参考までに、CFCA Global Fraud Loss Survey 2023では、通信詐欺の総額を約389.5億米ドルと推定しています。
- Juniper Research：2023年の企業の損失は約85億米ドル、2027年までに約234億米ドルに達する見込み。
- CFCA 2023年：通信詐欺の総額は約389.5億米ドル。
- すべての数値にはソースと年を明記してください。範囲が異なる場合があります。
検知シグナル — SMSパンピングの判断方法
AITは、ユーザーではなく手数料を目的としてトラフィックが設計されているため、特有の痕跡を残します。最も明確な兆候は、新規登録やログイン、その他の後続のアクティビティに結びつかない、OTP/認証リクエストの急増です。送信ボリュームは非常に高いものの、エンゲージメントはほぼゼロとなります。パンピングされた番号はネットワーク上に存在しないことが多いため、配信レポートは「加入者不在」のコードとともに未達として返されます。送信数からコンバージョンへの推移を送信先ごとに監視することは、多くの場合、最も重要な指標となります。
- サインアップやログインへのコンバージョンを伴わないOTPのリクエスト急増。
- トラフィックが、通常とは異なる国や番号範囲に突然集中すること。
- 自動化によって形成される時間帯およびバーストパターン。
- SMSパンピングが行われた範囲における、低いDLR成功率（不在加入者コード）。
送信側での防御 — ブランドが制御可能な要素
AITはブランド自身のエンドポイントから始まるため、第一防衛線はそこにあります。OTPエンドポイントにレート制限を設け、CAPTCHAやボット検知を追加してください。地理的制御および速度制御を適用し、サービスを提供していない送信先への認証リクエストをブロックまたはチャレンジしてください。送信前にHLR照会で送信先番号を検証してください。パンピングされた番号は多くの場合、検証に失敗します。可能な場合は、高リスクなフローを認証アプリやサイレントネットワーク検証に移行することで、パンピング可能なSMSを完全に排除できます。
- OTPエンドポイントにおけるレート制限およびCAPTCHA/ボット検知。
- Geo/velocity制限：サービス対象外の送信先をブロックします。
- HLRの事前検証と番号範囲のブロックリスト。
- 高リスクなフローをフラッシュコールまたはサイレントネットワーク認証に移行します。
ネットワーク側の防御 — 通信事業者とファイアウォールが制御するもの
ネットワーク側では、SMSファイアウォールとルート監視がブランドが見逃してしまうものを検知します。ファイアウォールは異常なOTPリクエストの集中や送信先の異常を検知し、疑わしいフローを制限またはブロックできます。一方、ルート照合によってグレールートやAITが依存する高コストな範囲を明らかにします。グレールートではなく、承認された通信事業者との直接接続ルートを使用することで、詐欺師が好む経路を排除でき、SMSパンピングの発見を容易にする、端末で確認された正確な配信レポートを取得できます。
- OTPおよび宛先パターンに対するファイアウォールレベルの異常検出。
- グレールートや高コストなレンジを特定するためのルート照合。
- 通信事業者との直接接続により、AITが依存しているグレールートを排除します。
- 正確なDLRにより、SMSパンピングによる未読トラフィックを可視化します。
BroadNetがお役に立てること
BroadNetのOTP製品（/products/myotp）は、デフォルトでAIT保護機能が有効になっています。これには、MSISDNごと、IPごと、デバイスごとのレート制限、HLRの事前検証、お客様のアカウントで過去の配信実績がないMCC/MNC範囲の自動ブロック、および複数の顧客にわたる攻撃パターンで学習されたAIT検知モデルが含まれます。これらを通信事業者との直接接続と組み合わせることで、SMSパンピングによるトラフィックが潜伏し、収益化される隙を最小限に抑えます。
- デフォルトでMSISDN、IP、デバイスごとのレート制限を適用。
- HLR事前検証＋到達不能なレンジの自動ブロック。
- 顧客横断的なパターンに基づくAIT検知モデル。
- 通信事業者との直接接続 +パンピングされたトラフィックを暴く正確なDLR。
AIT対策：送信側vsネットワーク側
| 送信側（ブランド側） | ネットワーク側（通信事業者 / ファイアウォール） | |
|---|---|---|
| OTPエンドポイントにおけるレート制限とCAPTCHA | — | |
| 地域・速度チェック＋番号範囲ブロックリスト | ||
| 送信前のHLR事前検証 | — | |
| ファイアウォールによる異常検知 +スロットリング | — | |
| 通信事業者との直接接続＋正確なDLR | — | |
| フローをSMS（認証器 / サイレント認証）から移行する | — |