tráfego artificialmente inflado é o padrão de fraude que transformou a aquisição de mensagens corporativas num verdadeiro pesadelo. A mecânica é simples: um script solicita verificações de OTP (palavra-passe de uso único) do fluxo de registo público de uma empresa, direcionadas a faixas de números de telemóvel onde alguma parte na cadeia de entrega — um agregador, um revendedor desonesto, ocasionalmente um funcionário de uma pequena operadora — ganha uma parte da taxa de terminação. A empresa paga por mensagens reais, entregues e totalmente inúteis. A escala não é pequena: uma plataforma social global divulgou publicamente as suas perdas anuais com AIT em cerca de US$ 60 milhões quando decidiu bloquear esse tipo de tráfego em 2023, e desde então, entidades do setor classificaram o AIT entre as principais ameaças à receita em mensagens A2P (aplicação para ponto). Todo remetente de OTP de alto volume agora cria modelos para lidar com isso; espera-se que todas as operadoras e fornecedores na cadeia tenham uma resposta.
Como funciona a bomba
- O atacante encontra uma vulnerabilidade não autenticada que dispara um SMS — um formulário de inscrição, um fluxo de login com telefone, um endpoint de reenvio de código — e automatiza solicitações contra ela.
- Os números-alvo são escolhidos a partir de intervalos que o atacante monetiza: uma parte conivente a jusante ganha receita por cada mensagem terminada, que é partilhada com quem gera o volume.
- Os códigos nunca são inseridos. A conversão nos intervalos afetados é efetivamente zero, mas todas as mensagens são faturáveis e a maioria é de facto entregue.
- O volume é manipulado para parecer plausível — distribuído ao longo de horas, misturado com tráfego orgânico, rotacionado em diferentes intervalos — precisamente para enganar alertas de picos ingénuos.
A economia explica a persistência. A terminação A2P internacional nos corredores afetados acarreta taxas tão elevadas que mesmo uma pequena parcela de propina paga pela botnet várias vezes, e longas cadeias de agregadores conferem a cada parte intermediária a possibilidade de negar a origem das solicitações.
Os sinais de deteção que funcionam
- Colapso de conversão por intervalo de destino — a assinatura definidora. A conversão orgânica de OTP varia de 70 a 95%, dependendo do fluxo; os intervalos de AIT ficam próximos de zero. A conversão deve ser medida por prefixo, por operadora, por corredor, e não como uma média global que dilui o sinal.
- Agrupamento por faixa de números — surtos concentrados em prefixos MSISDN estreitos, frequentemente faixas com pouco ou nenhum histórico orgânico prévio em relação à base de utilizadores da empresa.
- Impressões digitais do lado da requisição — tentativas de registo com IPs de datacenter, assinaturas de navegadores sem interface gráfica, geografia impossível (requisições de um país, números de outro sem sobreposição de utilizadores) e velocidade por IP ou dispositivo que nenhum ser humano produz.
- Ausência de acompanhamento — nenhuma criação de sessão, nenhuma instalação de aplicação, nenhuma atividade subsequente do número "verificado". Um utilizador verificado que nunca existiu é a fraude, visível nas análises do produto.
- Anomalias HLR — números que falham na pesquisa HLR, permanecem permanentemente inacessíveis ou pertencem a intervalos reatribuídos a serviços em vez de assinantes.
A deteção requer ambos os lados do fio.
A empresa visualiza a conversão e a telemetria do lado da requisição; o fornecedor e a operadora visualizam o encaminhamento, o comportamento dos intervalos de endereços IP e os padrões entre clientes — um intervalo de endereços IP que foi usado indevidamente numa empresa reaparece em outra em poucos dias. Nenhuma das duas visões é suficiente isoladamente, e é por isso que as implementações eficazes as combinam: a empresa envia os resultados de conversão por mensagem ou por intervalo, e os modelos do fornecedor correlacionam isso com sinais de nível de rota para pontuar os destinos antes do envio da próxima campanha. Este é um problema de aprendizagem automática no sentido estrito e útil — pontuação supervisionada em resultados de conversão rotulados — não um termo da moda: o modelo classifica os intervalos de destinos por probabilidade de fraude e a camada de encaminhamento limita ou desafia os intervalos de destino mais longos.
As defesas comerciais que sustentam
- Primeiro, limite a taxa de requisições e desafie a superfície de requisição — limites de velocidade por IP, por dispositivo, por número e uma etapa de CAPTCHA ou prova de trabalho em fluxos de reenvio. O milhão de mensagens mais barato é aquele que nunca é enviado.
- Limites de destino no contrato — tetos diários por prefixo e por país com corte automático, de modo que um alcance ampliado se autolimita em vez de durar um ciclo de faturação completa.
- Termos comerciais vinculados à conversão — cláusulas de recuperação de custos para tráfego destinado a faixas de preço com conversão abaixo de um limite mínimo acordado, ou preços de pagamento por conversão para tráfego de verificação, quando o fornecedor os oferecer.
- Transparência de rotas e direitos de auditoria — o direito contratual de saber quais parceiros a jusante acederam ao tráfego numa área contestada, o que transforma a possibilidade de negação em responsabilidade.
- Retenção em corredores anómalos — termos de liquidação que atrasam o pagamento do volume sinalizado pelos modelos de qualquer uma das partes até que os dados de conversão sejam disponibilizados.
Porque os operadores devem se importar tanto quanto as empresas
Para uma operadora, é tentador tratar o AIT como problema de terceiros — afinal, o tráfego é faturável e a receita de terminação é real. No entanto, o balanço de médio prazo mostra o contrário. O AIT é a causa direta da migração dos maiores remetentes de OTP para chamadas instantâneas, autenticação silenciosa de rede e e-mail; ele desencadeia disputas de faturas que prejudicam os relacionamentos com grossistas; e os órgãos reguladores, cada vez mais, consideram o AIT tolerado como uma falha na proteção do consumidor. Uma operadora cujas rotas de entrada são canais conhecidos de AIT está a trocar a sua posição dominante no segmento A2P por alguns trimestres de volume inflado. A solução reside no mesmo ponto que o restante da estrutura antifraude: modelos comportamentais na fronteira que pontuam o tráfego A2P de entrada por intervalo e por remetente, e uma disciplina rigorosa de verificação de parceiros nas interconexões pelas quais o tráfego chega.
A BroadNet executa uma avaliação de fraude correlacionada à conversão em todas as rotas que opera e implementa os mesmos modelos em programas antifraude de operadoras. As empresas podem combiná-la com a entrega de OTP que relata a conversão, não apenas a entrega.