Tudo o que vale a pena saber, nada do que não vale.
Como funciona um ataque de bombeamento
A AIT abusa de qualquer formulário web ou aplicação que envie um SMS a pedido — registo, login, verificação de telefone, "reenviar código". Um fraudador programa bots para solicitar esse SMS milhares ou milhões de vezes, visando números de telefone em faixas que ele controla ou que passam por um parceiro na cadeia de entrega (um agregador ou operadora que recebe uma parte da receita). Cada mensagem enviada pelo fornecedor da marca gera uma taxa de terminação que, em parte, vai para o fraudador.
- Ponto de entrada: qualquer endpoint não autenticado do tipo "envie-me um SMS" (OTP, verificação, reenvio).
- Bots geram solicitações em massa para faixas de números controladas por fraudadores ou que atuam em conluio.
- A conivência na divisão de receitas na cadeia de distribuição converte volume em lucro.
- A marca paga; nenhum utilizador real jamais recebe valor.
A economia da fraude — porque a AIT é um negócio
AIT é uma fraude de partilha de receitas. Só funciona quando alguém na cadeia de terminação — um agregador desonesto ou uma operadora disposta a ignorar o problema — partilha a taxa de terminação inflacionada com a parte que gera o tráfego. As faixas de números internacionais de alto custo são especialmente atrativas porque cada mensagem inflacionada acarreta uma taxa maior a ser dividida. As rotas cinzentas são o meio natural, uma vez que as rotas diretas autorizadas pela operadora são monitorizadas e conciliadas.
- É necessário conluio na cadeia de terminação para monetizar.
- Destinos de alto custo maximizam o lucro do fraudador por mensagem.
- As rotas alternativas (ou rotas cinzentas) são o meio preferencial, embora mais difícil de conciliar.
- Escala industrializada — A Juniper Research estimou que o AIT conhecido representa cerca de 18% do SMS A2P internacional em 2023.
Quanto isso custa para a indústria?
As estimativas variam conforme o âmbito, portanto, cite com cuidado. A Juniper Research (publicada em março de 2024, em parceria com a VOX Solutions) estimou o custo global do AIT e do descarte de SMS para empresas em aproximadamente US$ 8,5 mil milhões em 2023, projetando que esse custo ainda chegará a cerca de US$ 23,4 mil milhões em 2027. Para contextualizar, a Pesquisa Global de Perdas por Fraude da CFCA de 2023 estimou o total de fraudes em telecomunicações em cerca de US$ 38,95 mil milhões.
- Juniper Research: Custo de aproximadamente US$ 8,5 mil milhões para as empresas em 2023; aproximadamente US$ 23,4 mil milhões até 2027.
- CFCA 2023: fraude total em telecomunicações ~US$ 38,95 mil milhões.
- Atribua cada número à sua fonte e ano — os âmbitos variam.
Sinais de deteção — como saber se você está a ser induzido ao suicídio
A TI deixa uma marca distintiva porque o tráfego é projetado para gerar taxas, não para utilizadores. O sinal mais evidente é um pico nas solicitações de OTP/verificação que não se convertem em registos, logins ou qualquer atividade subsequente — alto volume de envios, envolvimento quase nulo. Números manipulados geralmente não existem na rede, então os relatórios de entrega regressam como não entregues, com códigos de assinante ausente. Observar a conversão de envios por destino costuma ser a métrica mais reveladora.
- Aumento repentino de solicitações de OTP sem conversão em registos/logins.
- O tráfego concentrou-se repentinamente em países ou faixas de números incomuns.
- Padrões de tempo e picos de atividade definidos pela automação.
- Baixa taxa de sucesso do DLR (códigos de assinante ausente) nas faixas de frequência monitorizadas.
Defesas do lado do remetente — o que a marca controla
Como a autenticação baseada em identidade (AIT) começa no próprio endpoint da marca, a primeira linha de defesa está lá. Limite a taxa de envio e adicione CAPTCHA ou deteção de bots aos endpoints de OTP. Aplique controlos geográficos e de velocidade — bloqueie ou desafie solicitações de verificação para destinos que você não atende. Valide o número de destino com a pesquisa HLR antes de enviar; números manipulados geralmente falham. Sempre que possível, mova fluxos de alto risco para aplicações autenticadoras ou verificação silenciosa de rede, que eliminam completamente o SMS manipulável.
- Limitação de taxa e deteção de CAPTCHA/bots em endpoints OTP.
- Limites geográficos/de velocidade; bloqueie destinos que você não atende.
- Pré-validação HLR e listas de bloqueio de intervalos de números.
- Migre fluxos de alto risco para verificação de rede instantânea ou silenciosa.
Defesas do lado da rede — o que o operador e o firewall controlam
Na rede, um firewall de SMS e a monitorização de rotas detetam o que a marca não percebe. O firewall identifica concentrações anormais de solicitações de OTP e anomalias de destino, podendo limitar ou bloquear fluxos suspeitos, enquanto a reconciliação de rotas expõe as rotas alternativas e os intervalos de alto custo dos quais a AIT depende. Operar por meio de rotas diretas autorizadas pela operadora, em vez de rotas alternativas, elimina o canal preferido do fraudador e gera comprovativos de entrega precisos e confirmados pelo aparelho, facilitando a deteção de fraudes.
- Deteção de anomalias em nível de firewall com base em padrões de OTP e destino.
- Conciliação de rotas com rotas alternativas e trechos de alto custo.
- O encaminhamento direto pelo operador elimina o canal alternativo (rota cinza) do qual o AIT depende.
- Os DLRs precisos tornam visível o tráfego inflado que nunca é lido.
Como a BroadNet ajuda
O produto OTP da BroadNet (/products/myotp) vem com proteção AIT ativada por predefinição: limitação de taxa por MSISDN, por IP e por dispositivo; pré-validação de HLR; bloqueio automático de intervalos MCC/MNC sem histórico de sucesso de entrega na sua conta; e um modelo de deteção de AIT treinado em padrões de ataque entre clientes. Combinado com o encaminhamento direto da operadora, ele reduz o espaço em que o tráfego manipulado pode se esconder e ser monetizado.
- Limitação de taxa por MSISDN, IP e dispositivo por predefinição.
- Pré-validação HLR + bloqueio automático de intervalos sem entrega.
- Modelo de deteção AIT em padrões entre clientes.
- Encaminhamento direto da operadora + DLRs honestos para expor o tráfego manipulado.
Defesas AIT: lado do remetente vs. lado da rede
| Lado do remetente (a marca) | Lado da rede (operadora / firewall) | |
|---|---|---|
| Limitação de taxa + CAPTCHA em endpoints OTP | — | |
| Listas de bloqueio de geolocalização/velocidade + intervalo de números | ||
| Pré-validação HLR antes do envio | — | |
| Deteção de anomalias no firewall + limitação de largura de banda | — | |
| Encaminhamento direto da operadora + DLRs honestos | — | |
| Tirar o fluxo do SMS (autenticador / verificação silenciosa) | — |